هل نشتري أدوات اختبار الاختراق ونجربها بأنفسنا أم أن هذا خطأ؟

قسموا العملية إلى اثنتين: 1) فحص الثغرات هو عملية آلية، يتم فيها فحص النواقص المعروفة بمساعدة الأدوات. 2) اختبار الاختراق هو تجربة بالعقل البشري لمعرفة ما إذا كان بالإمكان اختراق البيانات خلف الثغرة المكتشفة فعلياً. عميلكم يطلب الثاني، وأنتم بالأداة لا تستطيعون سوى تنفيذ الأول.

انتبهوا عند إجراء الفحص بأداة آلية بأنفسكم: الأدوات تضخ بيانات عشوائية في نماذج الويب. إذا جربتموها على البيئة الحية، فستدخل مئات السجلات غير المفيدة في قاعدة البيانات، بل وإذا كان لديكم ربط بالدفع أو الرسائل النصية القصيرة، فقد تجري آلاف الطلبات المتتالية وتستهلك رصيد الـ API الخاص بكم في دقائق. لا تجروا الاختبار على السيرفر الحي نهائياً.

قبل سنتين ارتكبنا خطأ مشابهاً. أرسلنا لعميلنا وهو أحد البنوك تقرير فحص من أداة اشتريناها بأنفسنا. فرق الأمان لديهم واجهتنا فوراً بأن 14 تحذيراً حرجاً في التقرير كانت مجرد إنذارات خاطئة، وبالمقابل لم تكن هناك أي إشارة لثغرة بسيطة في التحقق من الصلاحيات. الخسارة في السمعة كلفتنا أكثر بكثير من توفير 4.000 GBP.

هل أنتم متأكدون من أن الشركة التي قدمت عرض 5.500 GBP ستجري الاختبار يدوياً بالفعل؟ العديد من الوكالات تشغل بالضبط نفس تلك الأدوات الجاهزة وتفرغ السجلات في تقرير من قالب جاهز، ثم تصدر فاتورة بدعوى أنهم أجروا اختبار اختراق. اسألوا الوكالة حتماً عن النطاق، والمنهجية، وكم ساعة من التحليل اليدوي سيخصصونها في التقرير.

بنود أمن المعلومات في العقود المؤسسية تلزم عادة باختبارات ينفذها مدققون حاصلون على اعتمادات مستقلة. التقرير التقييمي الداخلي الذي يعده موظفوكم لن يخفف مسؤوليتكم القانونية في حال حدوث تسريب محتمل للبيانات، بل قد يترتب عليه تعويض بسبب الإخلال بالعقد.

اطلعوا على استبيان الأمان الخاص بعميلكم. إذا كان مكتوباً فيه بصراحة اختبار اختراق مستقل من طرف ثالث فلا تضيعوا وقتكم بأداتكم الخاصة. وعند التفاوض مع الوكالة حددوا عدد عناوين الـ IP والنطاقات ضمن نطاق الاختبار، وحاولوا خفض السعر ليكون في حدود 4.000 GBP.

لا تحبطوا حماس زميلكم المبرمج ولكن اجعلوا هذه الأداة بمثابة شبكة أمان في مرحلة التطوير. إذا قمتم بالفحص داخلياً وسددتم الثغرات البسيطة قبل الدخول في الاختبار المستقل، فسيخرج تقرير الوكالة نظيفاً وتقدمون لعميلكم تقريراً أكثر مكانة وموثوقية.

تعديل: كتبت من الهاتف، أرجو المعذرة عن الأخطاء الإملائية.

تم الحفظ.

لا أستطيع الموافقة تمامًا على هذا. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

المسألة ليست الرقم، بل الأساس الذي بُني عليه. أتمنى أن يفيدك هذا.

لم أكن أعلم بهذا. الناس يدافعون عن العادات وليس العمليات. بصراحة المقاومة تأتي من هناك.

بالتوفيق.

أوافقك الرأي تمامًا لكن طيب لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

أتمنى أن يفيدك هذا.

الإجابة أعلاه لخصت جوهر الأمر. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

مثبت بالتجربة.

عشنا تقريباً نفس التجربة العام الماضي. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. مثبت بالتجربة.

دعني أترك تنبيهًا. محاولة فعل هذا بمفردك هي أغلى الطرق.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتابع الموضوع.

عشنا تقريباً نفس التجربة العام الماضي. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنا أيضًا متحمس لمعرفة ذلك.