كيف تسير عملية اختبار الاختراق وما الذي يجب علينا كشركة تجهيزه قبل البدء

إذا كان التقرير سيُقدم لعميل مؤسسي فاطلب مباشرة اختبار تطبيق ويب بأسلوب الصندوق الرمادي. ففحص الصندوق الأسود ينظر للنظام من الخارج فقط ولا يكشف ثغرات تجاوز الصلاحيات داخل منطق التطبيق. واحرص على توفير حسابين تجريبيين على الأقل بصلاحيات مختلفة للفريق.

جهز قائمة فوراً تضم كل عناوين IP لخوادمكم المفتوحة للخارج، ورابط تسجيل الدخول للموقع المستهدف، وعدد الخدمات في الخلفية. إرسال هذه القائمة عند طلب الأسعار يوضح النطاق فوراً للشركات ويسرع تلقي العروض خلال ثلاثة أيام.

لا تنس هذه الخطوات الأربع أثناء التجهيز: 1) أخذ نسخة احتياطية كاملة (Image) للسيرفرات. 2) إضافة عناوين IP الخاصة بفريق الفحص للقائمة البيضاء في جدار الحماية. 3) تقييد خدمات إرسال البريد ورسائل SMS في بيئة الاختبار. 4) إخطار مزود الاستضافة السحابية بموعد الفحص مسبقاً.

انتبهوا جداً لقاعدة البيانات إذا كان الاختبار سيتم على البيئة الحية. أثناء تجربة أوامر عشوائية في الحقول قد تصل مئات الفواتير التجريبية أو رسائل SMS لعملائكم بالخطأ. عطلوا خدمات الإشعارات مؤقتاً أثناء الاختبار.

هل عميلكم من الشركات طالب فحص لتطبيق الويب بس، ولا اشترط كمان فحص الشبكة الداخلية واختبارات التصيد الاحتيالي للموظفين؟ لو النطاق مقتصر على تطبيق الـ SaaS فقط فميزانية 70.000 TL راح تكفي وتزيد.

الشهر الماضي عملنا فحص لربط مماثل في قطاع التجزئة، شمل تطبيق ويب واحد و 6 عناوين IP خارجية. الاختبار أخذ 5 أيام، والتقرير المبدئي طلع فيه ثغرتين خطيرتين و 4 متوسطات. إغلاق الثغرات وإنهاء فحص التحقق أخذ منا 20 يوم بالإجمال.

بالسوق في شركات بس بتشغل برنامج فحص ثغرات تلقائي وبتطلع لك ملف PDF من 100 صفحة وتقول عنه اختبار اختراق (pentest). لما تطلب عروض أسعار، احرص يكتبوا لك تعهد خطي إنه الفحص فيه تحقق يدوي وتدقيق لثغرات منطق الأعمال (business logic).

بالمختصر، احصر قائمة عناوين الـ IP وروابط الـ URL، اتفق معهم على منهجية الصندوق الرمادي (gray box)، جهز بيئة اختبار وخذ نسخة احتياطية، وتأكد تماماً إن السعر يشمل فحص التحقق بعد المعالجة. الموضوع كله بياخذ عادة شهر ويخلص بالكامل.

كنت أفكر في نفس الشيء. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

دعني أوضح الجانب التقني قليلاً. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

بالتوفيق.

صحيح بشكل عام، لكن هناك جزء ناقص. الخطأ المرتكب من جانب كيفية اختبار الاختراق قابل للإصلاح عادةً، لكنه مكلف.

معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة. مثبت بالتجربة.

أخذت ملاحظة، شكرًا لك.

تم الحفظ.

عشنا تقريباً نفس التجربة العام الماضي. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

دعني أتركها كملاحظة، قد تكون مفيدة.

لا تتجاهل شيئاً: نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

هذا كل شيء، أرجو المعذرة إذا أطالت.

قضيت وقتًا طويلاً في هذا المجال. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

أكثر نقطة يتم إغفالها في موضوع كيفية اختبار الاختراق هي: معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

بالتأكيد. وإذا أردت إضافة شيء: وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.