طلبوا منا عمل اختبار اختراق لموقعنا، شو يعني هاد الشي وهل هو فعلاً ضروري؟

الـ pentest عادة بيتعمل بثلاث طرق: Black Box حيث ما بتعطى أي معلومات عن النظام، White Box حيث بيتوفر وصول للكود المصدري والسيرفر، وGray Box اللي بيتعمل بصلاحيات مستخدم. الأنسب لموقع تجارة إلكترونية هو اختبار Gray Box اللي بيحاكي مهاجم من الخارج وعميل بصلاحيات مرتفعة بنفس الوقت.

نحن عملنا قبل شهرين اختبار لموقعنا بحجم مشابه، 3 أيام ودفعنا 38,000 TL. ما كنا نخزن بطاقات بس لقوا ثغرة في المصادقة على الـ API. طلع مستخدم واحد بيقدر يشوف سجل طلبات كل العملاء وعناوين بيوتهم. بس سد هالثغرة لحاله كان يستاهل اللي دفعناه.

اسأل الشركة اللي أعطتك عرض الـ 45,000 TL عن النطاق بالتأكيد. في بالسوق كتير أماكن بتشغل برنامج أوتوماتيكي وبعد ساعتين بتسلمك مخرجات البرنامج كتقرير. هل رح يعملوا اختبار يدوي، كم رجل/يوم رح يشتغلوا، هل الخبير اللي بيعمل الاختبار عنده شهادات سارية؟ اطلب كل هاد كتابياً.

إذا شريكك بدو تقرير ما بتقدر تتهرب من هالشي. لتخفيض العرض ضيّق النطاق: 1) خلي بس تطبيق الويب ضمن الاختبار واستثني الشبكة الداخلية، 2) حدد مدة الاختبار بيومين عمل، 3) خلّي بالعقد إنه بعد سد الثغرات بدك اختبار تحقق مجاني (re-test).

السنة الماضية لما كان عندنا موقع صغير لبيع المجوهرات كنا نقول "مين بدو يعمل فينا شي". بيوم من الأيام اخترقوا قاعدة البيانات من لوحة العملاء ومسحوا كل عناوين التوصيل وطلبوا فدية. ما قدرنا نبيع لمدة أسبوعين، والرجوع من النسخة الاحتياطية وتعويض فقدان البيانات كلفنا أضعاف أضعاف رسوم الاختبار.

استخدامك لـ pos افتراضي جاهز بيضمن أمان البطاقات بس لكن بصراحة إذا انسرقت بيانات عناوين ومعلومات تواصل آلاف الأشخاص المخزنة بقاعدة بيانات الموقع، العقوبات اللي رح تواجهها ضمن KVKK بتكون أعلى بكتير من 45 ألف ليرة.

شريكك بدو تقرير تدقيق مستقل عادي، ولا بيشترط اختبار اختراق بشهادة مستوى A أو B معتمدة من TSE؟ إذا في شرط اعتماد خاص بالدفتر، لا تدفع مصاري عالفاضي لشركات تحت السلم، التقرير ما رح يتحسب.

بما إنك رح تعمله لأول مرة، لا تخلي العملية تخوفك. موقعك ما رح ينهار وقت شركة الأمن بتعمل الاختبار؛ عادة بينفذوا الاختبارات على نسخة من الموقع أو بوقت متأخر بالليل لما يكون الترافيك قليل وبشكل مسيطر عليه.

حدث معي العكس تماماً، لذلك أكتب هذا. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنت محق.

سأكتب ما حدث لي، ربما يفيدكم ثم وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أنا أيضًا متحمس لمعرفة ذلك. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. مثبت بالتجربة.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه.

عندنا نفس المشكلة.

صحيح بشكل عام، لكن هناك جزء ناقص. فعل الجميع لشيء ما لا يعني أنه صحيح.

لو كنت مكانك، لسلك هذا المسار.

أنصح بعدم العجلة وتدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

حدث معي العكس تماماً، لذلك أكتب هذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

مثبت بالتجربة.

لم أكن أعلم بهذا.