نراجع كوداً استلمناه للتو — من أين نبدأ مراجعة الكود وفق قائمة OWASP Top 10؟

البحث اليدوي عن الأنماط داخل النصوص مفيد جداً: 1) استدعاءات قواعد البيانات التي تدمج المتغيرات مباشرة داخل الاستعلام، 2) المفاتيح السرية المتروكة في الكود دون تشفير، 3) كتل معالجة الأخطاء (catch) التي تُرجع معلومات نظام حساسة إلى العميل. البحث عن هذه الأنماط لن يستغرق سوى بضع ساعات.

عندما استلمنا بوابة بحجم مماثل، اكتشفنا بالمراجعة اليدوية 5 ثغرات تجاوز صلاحيات مختلفة خلال يومين. أدوات الفحص التلقائي لم تر هذه الثغرات إطلاقاً، لأن تحديد البيانات التي يفترض إظهارها ولمن يعود فهمه فقط للشخص الذي يقرأ منطق العمل.

ابدأوا أولاً بتدقيق تبعيات المكتبات الخارجية في المشروع. شغّلوا أوامر التدقيق الأمني المدمجة في مدير الحزم لديكم وقوموا بتحديث الحزم التي تحتوي على ثغرات أمنية معروفة. عادةً ما تأتي أكبر الثغرات التي تتركها الوكالات من المكتبات القديمة.

من الصعب جداً على مطورَين لم يكتبا الكود أصلاً أن يجعلا بنية شخص آخر آمنة بمجرد النظر إلى قائمة OWASP. إذا كان وقتكم محدوداً، فركزوا فقط على صلاحيات الوصول واستعلامات قواعد البيانات، ولا تضيعوا وقتكم في التفاصيل التشفيرية المعقدة الأخرى.

ركزوا خصوصاً على تغيير بارامتر الـ id في الـ url وشوفوا هل تقدرون توصلون لطلبات غيركم ولا لأ، الوكالات عادةً ينسون ضوابط الصلاحيات ذي في الـ backend

تعديل: صححت بعض الأخطاء الإملائية.

عند توقيع العقود مع عملاء الخدمات اللوجستية من الشركات، من الطبيعي جداً أن تطلب الأطراف تقرير تدقيق أمني مستقل. هذا الفحص الداخلي الذي تجرونه يقوي النظام، لكنه قد لا يحل قانونياً محل تقرير تدقيق خارجي.

هل النظام لديكم متعدد المستأجرين (Multi-tenant)؟ بمعنى هل يتشارك جميع عملاء الخدمات اللوجستية نفس قاعدة البيانات؟ إن كان الأمر كذلك، فيجب أن يكون التركيز الأكثر أهمية في المراجعة هو آلية العزل التي تمنع تسلل أي عميل إلى جداول بيانات شركة أخرى.

رغم أن الأمر قد يبدو مخيفاً للفرق الصغيرة، إلا أن تحويل دليل OWASP إلى قائمة تدقيق والتقدم خطوة بخطوة يمنح فريقكم رؤية هندسية مذهلة. ومع اكتشاف ثغرات منطق العمل، ستصبح بنيتكم البرمجية أكثر متانة بمراحل.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

موضوع في الوقت المناسب تمامًا. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أتفق جزئياً، وأختلف جزئياً. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

دعوني ألخص ما قيل حتى الآن. الخطأ المرتكب من جانب مراجعة كود OWASP Top 10 قابل للإصلاح عادةً، لكنه مكلف.

دعني أتركها كملاحظة، قد تكون مفيدة.

هناك نقطة لم أفهمها. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

فعل الجميع لشيء ما لا يعني أنه صحيح. بالتوفيق.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

مثبت بالتجربة.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

محاولة فعل هذا بمفردك هي أغلى الطرق. لو كنت مكانك، لسلك هذا المسار.

تم الحفظ.

صحيح بشكل عام، لكن هناك جزء ناقص. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

بالضبط هكذا. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

محاولة فعل هذا بمفردك هي أغلى الطرق.