يحاولون بيعنا "خدمة اختبار الاختراق Pentest" — ما هذا، وهل هو ضروري لشركتنا حقاً؟

لا تقعوا في فخ أسلوب التخويف الذي يتبعه مسؤولو المبيعات. خدمة Pentest تدقيق مفيد بلا شك، لكن معظم الشركات التي تستخدم لهجة 'إذا لم تشتروا فوراً ستفلسون' لا تقدم عملاً عالي الجودة. حددوا أولاً ما تحتاجون إليه ولا تسلموا أنفسكم لباقاتهم.

يجب فهم الفرق بين الفحص الآلي للثغرات واختبار الاختراق الحقيقي. الأداة الآلية تبحث عن الثغرات المعروفة لكنها لا تكتشف الأخطاء المنطقية. على سبيل المثال، ثغرة الوصول لفاتورة شخص آخر بمجرد كتابة رقم الطلب 106 بدلاً من 105 لا يلاحظها إلا خبير يقوم بالاختبار اليدوي.

دفعنا العام الماضي 40.000 TL للوحة طلبات ذات نطاق مماثل. نتيجة الاختبار أظهرت وجود ثغرتين حرجتين في الصلاحيات. قام المبرمج بحلهما في يومين. لو تم استغلال تلك الثغرات، لتمكن الوكلاء المنافسون من تحميل قوائم الأسعار الخاصة لبعضهم، لذا فالأمر استحق كل ليرة دفعناها.

وصلتنا رسالة مشابهة وما قبلنا بعدين خلينا مبرمجنا يسوي فحص اساسي بأدوات مفتوحة المصدر وماشية الأمور للحين بس اكيد لو متوفرة الميزانية شغل المختصين غير.

بصوا على مراجع الشركة اللي طالبة 60.000 TL. كتير من الوكالات بيشغلوا أدوات مجانية نزلوها من السوق لمدة ساعتين وبعدين يعطوك تقرير عام من 80 صفحة. إذا ما في داخل التقرير تحليل ملموس لكود موقعك أو لسير العمل، فلوسك بتروح على الفاضي.

وقت ما تقيّم العرض، وضّح هالأمور الثلاثة: 1) هل الاختبار رح يكون بطريقة الصندوق الرمادي، يعني رح يعطوك حساب مستخدم للاختبار؟ 2) هل في خطر إن الموقع يتعطل أثناء الاختبار؟ 3) هل التقرير اللي بيطلع له صفة وثيقة تدقيق مستقلة معتمدة في إجراءات قانون التجارة التركي أو KVKK؟

لا توقّع العقد على طول. اطلب اجتماع تحديد نطاق من شركتين مختلفتين على الأقل للأمن السيبراني. اطلب عرض سعر لحسابَي اختبار وكالة بس للوحة B2B، وخلّي البنية التحتية للسيرفر على جنب.

ممكن أسأل شي، وقت ما ينعمل هالاختبار، نظام الطلبات عندنا بيتوقف شوي ولا الوكالات بيضلوا يقدروا يطلبوا من ورا؟

عانيت من نفس الشيء. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

إذا لم أخطئ الفهم، فأنت تقول: تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أكثر نقطة يتم إغفالها في موضوع ما هي خدمة pentest هي: المسألة ليست الرقم، بل الأساس الذي بُني عليه.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

هل يمكنك توضيح هذا أكثر؟ لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. لو كنت مكانك، لسلك هذا المسار.

شكراً لكتابة هذا، فهو صحيح تماماً. طيب لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

عشنا تقريباً نفس التجربة العام الماضي. فعل الجميع لشيء ما لا يعني أنه صحيح.

أتمنى أن يفيدك هذا.

دعني أترك تنبيهًا. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

لو كنت مكانك، لسلك هذا المسار.

أتابع الموضوع.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.