طلبوا منا اختبار اختراق — شو الفرق عن اختبار الاختراق، وأيّهما أعمل؟

تكتيك القطاع الذي لم يتغير منذ سنوات؛ تكتبه بالتركية فيصير 35 ألف ليرة، وتكتبه بمصطلح أجنبي فخم فيصير 65 ألف ليرة. ولو أضافوا بند "ethical hacking" جانبها لأكملوا الفاتورة إلى 100 ألف على ما أظن. أنصحك بالابتعاد بسرعة عن الجهة التي قدّمت ذلك العرض.

الفرق الحقيقي في القطاع هو بين فحص الأدوات والاستغلال اليدوي (exploitation). في الفحص الآلي تتحسس الأدوات المنافذ وتُخرج تقريرًا. أما في اختبار الاختراق فيجرّب الخبير الهاكر الأخلاقي الثغرة التي وجدها إلى أقصى حد. عميلك سيريد حتمًا تقرير اختبار اختراق يتضمن خطوات التحقق ورفع الصلاحيات.

ما المعيار المكتوب بالضبط في كراسة شروط التدقيق التي أرسلها عميلك؟ عادةً تشترط الشركات المؤسسية اختبار اختراق بشهادة TSE أو منهجية محددة. وأيضًا كم عدد عناوين IP الخارجية والسيرفرات الداخلية التي ستُختبر؟

نحن أيضًا مررنا بتدقيق موردين مشابه. أخذنا خدمة اختبار اختراق لـ16 عنوان IP خارجي وبوابتين ويب. دفعنا 38.000 TL، واستغرق العمل 4 أيام عمل، وقدّموا لنا تقريرًا تقنيًا موثّقًا من 32 صفحة. وافقت عليه الصناعة الأم دون مشاكل.

اسأل الشركات الجديدة التي ستتحدث معها هذه الأسئلة الثلاثة: 1) هل يتضمن الاختبار تحققًا يدويًا، 2) ما عدد الأنظمة في النطاق، 3) هل تجرون اختبار تحقق مجاني (re-test) بعد إغلاق الملاحظات؟ تابع مع من يعطي أجوبة واضحة على هذه الأسئلة.

الاثنان نفس الشيء تمامًا يا صاحبي. كتبوا سعرًا منفصلًا فقط لأنه يبدو أكثر أجنبية ومؤسسية، لا تدفعوا ذلك المبلغ العالي أبدًا. اطلبوا عروضًا من شركتين أخريين وستفهمون ما أقصد.

انتبه لهذا عند استلام التقرير: بعد انتهاء الاختبار تُمنح مهلة 15-30 يومًا لإصلاح الثغرات في التقرير. وبعد إغلاق الثغرات يجب أن تأتي الشركة وتكتب تقرير إغلاق أخير بعنوان "تمت معالجة الثغرات". تأكد عند طلب العرض أن اختبار التحقق هذا مشمول في السعر.

طيب هل هناك خطر أن تنهار أنظمة الشركة أو يتعطل الإنتاج أثناء هذا الاختبار؟ لأنه لو تعطّل سيرفر المحاسبة عندنا تتوقف كل أعمال إصدار الفواتير.

إذا لم أخطئ الفهم، فأنت تقول: إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

شكرًا جزيلًا، كان مفيدًا جدًا. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أحسنت في فتح هذا العنوان.

أوافق... الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

دعني أتركها كملاحظة، قد تكون مفيدة.

أتفق مع هذا. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

قضيت وقتًا طويلاً في هذا المجال. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

هذا العنوان مؤرشف. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

سأدافع عن الرأي المعاكس، لا تغضبوا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أعتقد أن الحديث بهذه القطعية في جانب ما هو اختبار الاختراق صعب. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

دعني أتركها كملاحظة، قد تكون مفيدة.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة... بصراحة إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.