هل ينبغي أن نطلب نموذج تقرير عند تلقي عروض اختبار الاختراق وما الذي يجب أن يتضمنه التقرير؟

التستر وراء اتفاقية السرية هو العذر الأكثر شيوعاً لمن يقدمون عملاً رديئاً في هذا المجال. أي شركة جادة تملك في أرشيفها نموذج تقرير عاماً أو منقحاً بهويتها التجارية جاهزاً للإرسال.

لا تنخدع فوراً أيضاً بالتقرير المكون من 50 صفحة. تفحص الصفحات جيداً؛ فإذا كان يحتوي على صفحات طويلة من شروحات المكتبات منخفضة الخطورة والتعريفات العامة من الإنترنت، فقد يكون هو الآخر مجرد مخرجات ماسح تلقائي.

العام الماضي دفعنا 40.000 TL وحصلنا على أول تقرير pentest، وكانت 50 صفحة من أصل 60 مجرد معلومات عامة مأخوذة من الإنترنت. اعترضنا لكننا اضطررنا للدفع لأن نطاق العمل لم يكن موضحاً بوضوح في العقد.

بعد رؤية الثغرات في التقرير النموذجي، كم يستغرق فريق البرمجة لدينا لإصلاحها، وهل ندفع مبالغ إضافية لإعادة الاختبار؟

يجب البحث عن هذه النقاط بالتقرير حتماً: 1) قائمة النطاقات المستبعدة، 2) منهجية تقييم درجات CVSS، 3) جدول وشروط اختبار التحقق وإعادة الاختبار re-test.

عندما يخضع عملاؤك الكبار للتدقيق، لن يكتفوا بوجود التقرير فحسب، بل سينظرون أيضاً إلى الاعتمادات والشهادات السارية للشركة والخبراء الذين أعدوا التقرير. أضف هذا الشرط إلى كراسة الشروط أيضاً.

الشركة التي لا تقدم تقريراً غالباً ستشغل الأداة التلقائية وتعمل تصدير من الواجهة في اليوم التالي. نصيحتي لا تخاطر أبداً ولا تترك عملك للصدف.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. أتمنى أن يفيدك هذا.

أكتب هذا حتى لا تكرروا نفس الخطأ. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

أتمنى أن يفيدك هذا.

أحسنت، بارك الله في جهدك. فعل الجميع لشيء ما لا يعني أنه صحيح.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أوافق. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

أنت محق.

أتفق، بل أود التأكيد على هذه النقطة.. لكن القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ ثم على كل حال أتمنى أن يفيدك هذا.

دعوني ألخص ما قيل حتى الآن. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

نعم، الوضع في موضوع نموذج تقرير اختبار الاختراق هو بالضبط هكذا. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

حدث معنا هذا. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنت محق، لقد مررت بنفس المسار. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

أتمنى أن يفيدك هذا.