بيقترحوا علينا أدوات فحص ثغرات تلقائية — هل دي تغني عن اختبار الاختراق ولا دي حاجة تانية؟

أدوات الفحص بتبص بس على أكواد حالة HTTP وتواقيع CVE المعروفة. مثلاً لو في بوابة B2B مستخدم غير قيمة السلة لعدد بالسالب وأكد الطلب، مفيش أي أداة تلقائية هتلقط ثغرة منطق الشغل دي. عشان كده الاختبار اليدوي ضروري.

اقرأ الشروط اللي طلبها العميل بالحرف. مكتوب 'Penetration testing' ولا 'Vulnerability assessment'؟ لو العميل شركة كبيرة، يوم ما تديهم تقرير فحص تلقائي هيرجعوا العقد في وشك ويطلبوا pentest، وتكون الـ 1.400 EUR راحت عليك.

قبل ما تاخد قرار اتبع الخطوات دي: 1) اسأل فريق الامتثال عند العميل عن شكل التقرير المقبول عندهم. 2) كمل تحديثات نظام التشغيل والمكتبات مع فريقك الداخلي. 3) وجه باقي الميزانية لاختبار يدوي محدد يستهدف الـ API الحساسة بس.

السنة اللي فاتت وقعنا في نفس الغلطة مع عميل في مدريد. دفعنا 1.100 EUR وقدمنا تقرير فحص تلقائي. فريق التدقيق رفضه بعد يومين وقالوا 'ده مجرد مخرجات أداة، مفيش إثبات استغلال'. واضطرينا ندفع فوقيهم 3.000 EUR كمان عشان نعمل اختبار يدوي.

شركة الاستشارات اللي طالبة 1.400 EUR دي غالباً كل اللي هتعمله إنها تكتب الدومين بتاعك في برنامج فحص مدفوع وتدوس 'Start'. وهيسلموك ملف PDF في 40 صفحة ورسومات ملونة. قبل ما تدفع المبلغ ده، تقدر تعمل نفس الفحص ده بنفسك بأدوات مفتوحة المصدر.

هل في بوابتك في نظام دفع أو بيانات شخصية حساسة؟ وإيه اللوائح اللي بيخضع ليها عميلك بالظبط؟ بعض المناقصات الحكومية في إسبانيا بتطلب تقرير pentest معتمد مباشرة بسبب معايير ENS.

المفهومين بيتلخبطوا كتير متقلقش. الفحص التلقائي زي تحليل الدم، بيوريك الوضع العام. أما اختبار الاختراق فهو دكتور جراح بيدخل يتدخل ويطلع المشكلة الأساسية. لو عايز تقنع عميلك يبقى لازم جراح.

رايي تسأل العميل مباشرة هل مستني تقرير اختبار اختراق ولا فحص ثغرات يكفي.. لكن بلاش تصرف 3500 يورو من الأول على الفاضي لو كل اللي عايزينه مجرد ورقة فحص شكلية.

أتابع الموضوع.

موضوع في الوقت المناسب تمامًا.

أتفق، بل أود التأكيد على هذه النقطة. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

تم الحفظ.

أنت محق.

أنا في نفس الوضع، لذلك أسأل. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

دعني أتركها كملاحظة، قد تكون مفيدة.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

صححوا لي إن أخطأت.

أوافق.

صحيح.