وصلنا تقرير اختبار الاختراق بس ما فهمناه — إيش يحكي التقرير وعلى إيش لازم نركز؟

حجة مسؤول الأنظمة إن "النظام شغال" مضللة. كون تطبيق ويب يعمل شيء، وكونه آمن شيء مختلف تمامًا. مثلًا لو فيه ثغرة SQL injection، النظام يظل يستقبل الطلبات بشكل ممتاز، بس واحد سيئ النية يقدر عبر رابط URL باستعلام واحد يصدّر كل جدول العملاء والأرصدة عندك. لازم تطالع أدلة النتائج في التقرير.

هذا رد مسؤول الأنظمة الكلاسيكي للأسف، يقول مبالغ فيه عشان ما يجيه شغل. على كل حال اللي يسويه المدير هو إنه ينقل السطور المكتوب فيها "حرج" و"عالي" في التقرير إلى جدول إكسل، ويحدد تاريخ تسليم للمسؤول ويخلّيه يوقّع. الباقي مجرد مضيعة وقت.

تعديل: كتبت من الهاتف، أرجو المعذرة عن الأخطاء الإملائية.

اتصل بشركة الأمن السيبراني اللي عملت الاختبار واطلب اجتماع إغلاق للتقرير لمدة ساعة إذا كان ضمن نطاق العقد. دخّل مسؤول الـIT في الاجتماع واسأل خبير الاختبار مباشرة: "هل يمكن باستخدام هذه الثغرة إيقاف بوابة طلبات B2B عندنا أو سرقة بيانات العملاء؟" النقاش ينتهي هناك.

أحيانًا شركات الأمن تنسخ المخرجات الخام لأدوات الفحص الآلي وتقدمها كتقرير من 40 صفحة. في هذي الحالة ممكن تظهر إنذارات كاذبة (false positive). يمكن اعتراض مسؤول الـIT مبني على هذا. تأكد في التقرير هل وراء كل نتيجة دليل استغلال حقيقي تم يدويًا.

الطريق عند تحويل التقرير إلى إجراءات: 1) حدد جدول ترقيع عاجل خلال 7 أيام للنتائج الحرجة. 2) جرّب التصحيحات في بيئة اختبار مو على النظام المباشر وتأكد إن مسار الطلبات ما تعطّل. 3) استخدم حقك في إعادة الاختبار المجانية (retest) المذكور في العقد لإغلاق النتائج.

كشخص أدار عمليات تدقيق لسنوات أقدر أقول: التقرير تشخيص، والمسؤولية الحقيقية في تطبيق العلاج. موظف IT واحد ممكن يتعب وهو يدير العمليات ويغلق ثغرات ويب معقدة في نفس الوقت. إذا لزم الأمر، خذ دعم من الوكالة الخارجية اللي عملت موقع الويب وساعد مسؤول الأنظمة عندك.

هل لازم ندفع لشركة الأمن السيبراني من جديد من الصفر عشان اللي يسمونه اختبار التحقق؟ ما شفت بند عن إعادة الاختبار في عرضنا، هل في الإجراءات العامة تُحسب هذه الخدمة ضمن السعر؟

أتفق مع هذا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

وكيف حللتم هذه النقطة؟ لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. دعني أتركها كملاحظة، قد تكون مفيدة.

الإجابة أعلاه لخصت جوهر الأمر. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أنت محق.

بالتأكيد. وإذا أردت إضافة شيء: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً... بصراحة معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

عانيت من نفس الشيء.

تشتت النقاش، دعني ألخصه. كل من يستعجل في ما هو تقرير اختبار الاختراق يتعثر في نفس النقطة.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. هذا كل شيء، أرجو المعذرة إذا أطالت.

أنت محق تمامًا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. أتمنى أن يفيدك هذا.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

لو كنت مكانك، لسلك هذا المسار.