قالوا لنا لازم نسوي اختبار اختراق، شو هو وهل فعلاً ضروري؟

فحص الثغرات ينظر لنظامك ويقول لك قفل الباب موديل قديم. أما اختبار الاختراق فيفتح هالقفل بمفتاح احتياطي، ويدخل، ويحاول يفتح الخزنة، ويحط في التقرير بيانات مزيفة جابها من الداخل كدليل. عميلك يبي هالتقرير المدعوم بالأدلة.

شو مكتوب بالضبط في عقد عميلك؟ أحياناً يطلبون اختبار اختراق الصندوق الرمادي، وأحياناً اختبار الشبكة الخارجية فقط يكفي. لا تجمع عروض أسعار قبل ما توضح نوع الاختبار، وإلا راح تحسب أسعار خدمات خارج النطاق بلا فايدة.

السنة الماضية استلمنا طلب مشابه. في تورينو سوينا اختبار اختراق مع خبير مستقل فقط لـ API الخارجي وواجهة دخول العملاء. أصدرولنا فاتورة 3.200 EUR لشغل 3 أيام والعميل قبل التقرير على طول.

في السوق كثير مستشارين تحت اسم اختبار الاختراق يشغلون فاحص آلي ويبيعون للعميل مخرج PDF من 40 صفحة. لما تطلب عرض سعر اسأل بالضرورة عن نموذج تقرير وعن أي منهجية يدوية راح يتبعون، لا تدفع فلوس على تقرير فاضي.

لا توقّع عرض السعر على طول. أول شي اجلس مع مدير النظام وسوّوا وثيقة نطاق: كم صفحة ثابتة، كم نموذج ديناميكي، كم نقطة API راح تُختبر؟ أعط هالقائمة لثلاث شركات مختلفة وراح تشوف كيف ينزل السعر.

من الناحية القانونية من الأهمية بمكان أن توقّع اتفاقية سرية شاملة مع الطرف اللي راح ينفذ الاختبار، وأن تربط أوقات الاختبار كتابياً ببروتوكول بحيث لا تعطّل سير عملك.

إحنا كمان أول ما سمعنا حسبناها مصروف زايد بس بالتقرير طلع إنه يمكن الوصول غير المصرّح به للوحة المحاسبة. الميزانية تتعب صح بس أحسن من تخسر عميل أو تنسرق بياناتك.

زالت حيرتي، شكراً لكم.

بالتأكيد. وإذا أردت إضافة شيء: لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

فعل الجميع لشيء ما لا يعني أنه صحيح. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أخذت ملاحظة، شكرًا لك.

أنت محق تمامًا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أحسنت في فتح هذا العنوان.

أتابع الموضوع. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

أتمنى أن يفيدك هذا.

موضوع في الوقت المناسب تمامًا.

أحسنت، بارك الله في جهدك.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أتمنى أن يفيدك هذا.

لهذا النهج ثمن، لكنه لا يُناقش. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. بالتوفيق.