قمت بفحص أمان الموقع عبر الإنترنت ظهرت ثغرات خطيرة، هل نصدق ذلك؟

الفواحص عادة تقرأ فقط رقم إصدار Apache أو Nginx في ترويسة الخادم وتطبع كل الثغرات القديمة لذك الإصدار من قاعدة البيانات العامة في التقرير. بينما قد يكون الترقيع لهذه الثغرة مثبتاً في الخلفية على خادمك. إذا أخفيت معلومات الإصدار عن الخارجي، ستختفي معظم التنبيهات في التقارير.

معظم المواقع التي تقدم فحصاً مجانياً هي مجرد قمع تسويقي (marketing funnel). يضعون أمامك شعارات حمراء ودرجات مخيفة ويضعون أسفلها مباشرة زر 'تنظيف الثغرات بنقرة واحدة'. لا يوجد اختبار اختراق حقيقي هنا، بل سيناريو رعب مصمم لبيع الخدمات.

أدير مواقع تجارة إلكترونية منذ سنوات؛ معظم تقارير العملاء الذين جاءوني بذعر لم تكن تحتوي على خطر حقيقي. الأدوات الآلية تعطي فكرة لكنها لا ترسم خارطة طريق. نصيحتي لك، زد تكرار النسخ الاحتياطي اليومي للموقع وثبّت التحقق بخطوتين للوحة التحكم.

لا تنفق ميزانية فوراً. أولاً اغير رابط لوحة التحكم في موقعك عن العنوان الافتراضي. ثم تحقق مما إذا كان جدار حماية الويب نشطاً على جانب الخادم. هاتان الخطوتان البسيطتان تعطلان بالفعل معظم الفحوصات الآلية القادمة من الخارج.

في موقعنا استخدمنا أداة مشابهة وطلعت لنا 5 ثغرات خطيرة. ولما خليت المبرمج يفحصها طلع 4 منها إنذارات كاذبة، وواحدة بس كانت بسبب إضافة قديمة لنموذج التواصل. حذفنا الإضافة وركبنا بديل لها في نص ساعة، وما صرفنا ولا روبل واحد من ميزانيتنا.

الأدوات الأوتوماتيكية في الغالب تقرأ العناوين السطحية بس زي الروبوت. ما تجرب النماذج واحد واحد وتشوف هل يقدروا يسرقوا بيانات ولا لا. برايي قبل ما تتصرفوا بانتك وتدفعوا فلوس، جربوا أداة فحص ثانية مجانية ومفتوحة المصدر.

كيف ماشية عملية الدفع عندكم في الموقع؟ هل بتاخدوا بيانات البطاقة مباشرة في نموذج على موقعكم، ولا بتوجهوا الزبون لصفحة بنك خارجية؟ إذا بتستخدموا دفع خارجي فغالباً ما في خطر تسريب بطاقات، الخطر بيكون بس على قائمة عناوين الزبائن.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

نلخص الموضوع: لا تشوف التحذيرات الحمراء في التقرير وتروح تطلع 45.000 Ruble فوراً. معظم الثغرات بتكون مجرد رقم الإصدار أو نقص في عناوين الحماية (security headers). حدثوا البرامج عندكم، وفعلوا التحقق بخطوتين، وإذا لزم الأمر خذوا استشارة خبير لإضافات معينة فقط.

أنت محق تمامًا. كل من يستعجل في فحص أمان الموقع يتعثر في نفس النقطة.

لو كنت مكانك، لسلك هذا المسار.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ. بصراحة مثبت بالتجربة.

سأكون ممتنًا لو شاركت النتيجة.

صحيح. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أخذت ملاحظة، شكرًا لك.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

عانيت من نفس الشيء. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

أود طرح سؤال. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. أتمنى أن يفيدك هذا.