كيف نختبر أمان موقعنا بأنفسنا، وما الذي يجب فحصه قبل اختبار الاختراق (Pentest)؟

إجراء الفحص بنفسك فكرة ممتازة جداً. إذا بدأت اختبار الاختراق وهناك ثغرة بسيطة معروفة على الخادم، فالتقرير سيمتلئ بصفحات تلومك فقط على عدم التحديث وستضيع نقودك هباءً. أقفل الأبواب بنفسك أولاً، ثم اترك للخبير مهمة محاولة كسر الأقفال.

كنا في نفس الموقف العام الماضي. لم نتمكن من تخصيص ميزانية 4.000 EUR، فقضينا 3 أيام عمل في تحديث جميع حزم البرمجيات وتصحيح ترويسات HTTP. بعد ذلك، كلفنا الاختبار ذو النطاق المحدود 1.800 EUR فقط لأن الخبير استلم نظاماً جاهزاً ومرتباً.

افعل هذا الليلة فوراً: افتح حسابين تجريبيين مختلفين من نوع B2B على النظام. سجل دخولك بأحدهما وأنشئ طلباً، ثم انسخ رقم الـ ID الموجود في رابط الطلب وحاول فتحه في متصفح المستخدم الآخر. لو ظهرت لك بيانات الشخص الثاني، فأنت كشفت أكبر ثغرة عندك وببلاش.

لا تعتمد كثيراً على برامج فحص الأمان مفتوحة المصدر الجاهزة للتحميل. عادةً ما تفرز آلاف الإنذارات الخاطئة، وسيتشتت المبرمج ولا يعرف ماذا يصلح أولاً، وقد يغفل عن ثغرات الصلاحيات الحرجة والأساسية.

قائمة الفحص الأساسية التي يمكنك القيام بها بنفسك هي: 1) منع ظهور إصدارات برمجيات الخادم وقواعد البيانات في رسائل الخطأ. 2) وضع حد لمعدل المحاولات (rate limiting) على شاشة تسجيل الدخول ضد هجمات القوة العمياء (brute force). 3) التأكد من عدم ترك ملفات النسخ الاحتياطي لقواعد البيانات في المسار العام (public).

لا يتردد المبرمج أبداً، هناك مواقع تحليل مجانية ممتازة على الإنترنت تقيم ترويسات الأمان. تكتب عنوان الموقع وتعطيك تقييماً من A إلى F. بصراحة مجرد المحاولة للوصول إلى تقييم A سيرتب النظام بشكل كبير.

الحسابات التجريبية المنسية وكلمات المرور الضعيفة في لوحة التحكم هي سبب أكثر من نصف الهجمات الخارجية، أنصحك تتأكد من كلمات مرور الجميع وتفعيل التحقق بخطوتين قبل أي فحص آلي.

احرص تماماً على إجراء اختباراتك الذاتية خارج أوقات العمل الرسمية وعلى نسخة احتياطية من النظام وليس على البيئة الحية مباشرة. كثرة الطلبات الآلية المكثفة قد تسبب تجمد قواعد البيانات أو انقطاع الخدمة في بيئة الإنتاج.

أود طرح سؤال. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أخذت ملاحظة، شكرًا لك. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

أكثر نقطة يتم إغفالها في موضوع اختبار أمان الموقع هي: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

دعوني ألخص ما قيل حتى الآن. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أخذت ملاحظة، شكرًا لك.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. يعني المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ما كُتب هنا يطابق تماماً ما عشناه لكن يعني إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأجرب ذلك.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

موضوع في الوقت المناسب تمامًا.