استلمنا تقرير اختبار اختراق من 40 صفحة — هل يوجد تقرير نموذجي للمقارنة؟

إذا لم يوجد دليل استغلال في التقرير فذلك الاختبار لم يُجرَ. مثلًا إذا قالوا إنهم وجدوا ثغرة SQL Injection، فعليهم أن يعرضوا خطوة بخطوة كيف استخرجوا بيانات غير ضارة من قاعدة البيانات. لا يمكنهم فقط وضع تحذير الأداة بأن ثغرة موجودة والمضي قدمًا.

نحن أيضًا وقعنا ضحية تقرير مشابه قبل عامين مقابل 2.500 جنيه إسترليني. مدقق الأمن لدى عميلنا رفض التقرير بمجرد أن رآه وقال إن هذا ليس اختبار اختراق بل مجرد فحص ثغرات. اضطررنا للعمل مع خبير آخر من جديد.

3.500 جنيه إسترليني ميزانية محدودة جدًا في السوق البريطاني لاختبار يدوي شامل. بهذه الأسعار عادةً يشغّلون الأداة ويطبعون التقرير. الاختبار الحقيقي يتطلب على الأقل 3-5 أيام عمل يدوي للشخص الواحد وتُحتسب الفاتورة على هذا الأساس.

أعيدوا التقرير إلى الشركة واطلبوا شيئين: أولًا ملخص من صفحة واحدة عن الخطر والأثر للإدارة، وثانيًا خطوات ملموسة ليتمكن فريقكم البرمجي من التحقق من الإصلاحات. إذا كان في عقدكم بند الاختبار اليدوي فعليهم تصحيح ذلك.

ماذا ينص عقد الخدمة لديكم بالضبط على نوع الاختبار؟ فحص ثغرات أم اختبار اختراق؟ للأسف الخدمتان تُخلطان كثيرًا في القطاع، وإذا كان مكتوبًا في العقد فحص ثغرات فسيصعب اعتراضكم.

لا تنخدعوا بعدد الصفحات أبدًا. تقرير من 15 صفحة نظيف ومكتوب يدويًا ويصيب الهدف تمامًا يساوي عشرة أضعاف تقرير من 80 صفحة من مخرجات فاحص آلي.

من مصلحتكم أن تطلبوا من مزود الأمن مراجعة التقرير قبل إرساله مباشرة إلى عميلكم المؤسسي. المدقق المؤسسي ذو الخبرة سيلاحظ فورًا مخرجات الفحص الآلي وسيضر ذلك بسمعتكم.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

لفحص التقرير الذي بين أيديكم انظروا إلى هذه النقاط الثلاث: 1) هل جرى تصفية النتائج الخاطئة أم أُضيف كل تحذير إلى التقرير؟ 2) هل دُرجت درجات الخطر وفق سياق عملكم؟ 3) هل يفهم مطوركم عند قراءته كيف يصلح الكود؟

موضوع في الوقت المناسب تمامًا.

أنت محق.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.

أنا مشروع صغير، دعوني أشرح من منظوري. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

دعني أتركها كملاحظة، قد تكون مفيدة.

شكرًا جزيلًا، كان مفيدًا جدًا. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

صحيح بشكل عام، لكن هناك جزء ناقص. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

كل من يستعجل في تقرير اختبار الاختراق يتعثر في نفس النقطة.

صحيح نظرياً، لكنه لا يسير هكذا عملياً. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أوافق.

بعد تجربة ذلك، تغيرت نظرتي للأمور. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

كنت أفكر في نفس الشيء. تقرير الفحص الآلي ليس نفس اختبار الاختراق.