كيف ننقل نتائج اختبار الاختراق للمطورين — ما هي الوثائق وترتيب الأولويات؟

درجة CVSS في التقرير لا تعكس دائماً الخطر الحقيقي. مثلاً، قد تحصل ثغرة XSS داخل لوحة الإدارة على تقييم عالٍ، بينما ضعف سياسة كلمات المرور في صفحة تسجيل الدخول المفتوحة للإنترنت يحصل على تقييم متوسط. قدم أولاً الثغرات التي يمكن استغلالها مباشرة من الخارج وتسبب تسريب البيانات.

انسخ خطوات إعادة إنتاج الثغرة بحذافيرها داخل كل تذكرة. إذا لم يتمكن المبرمج من تكرار الثغرة في بيئته المحلية فلن يستطيع حلها، وسيغلق التذكرة بحجة 'شغالة عندي تمام'.

العام الماضي أرسلت تقريراً من 110 صفحات للمبرمجين في بريد جماعي. بعد شهرين وعند التدقيق وجدنا أنه لم يتم إصلاح شيء لأن كل شخص ظن أن الآخر سيقوم بالمهمة. طالما لم تفتح تذاكر منفصلة وتعينها لأشخاص محددين فلن يقرأ أحد هذا التقرير.

إرسال ملف pdf للمبرمج أكبر غلط... ما في حدا رح يقعد يقرأ 80 صفحة إنشاء أمني... اكتب الرابط والمعامل في نظام التذاكر وعين المهمة وخلصنا.

لا تثق بتقارير شركات الاختبار بشكل أعمى. أحياناً ولكي يزيدوا عدد الصفحات، يضعون 10 نتائج تافهة من مخرجات الفاحص التلقائي مثل 'كشف معلومات الإصدار' ويصنفونها كعالية، مما يشتت المبرمجين على الفاضي.

يجب أن تضيف جدول SLA للمعالجة ضمن إجراءات أمن المعلومات الداخلية لشركتك. يجب الالتزام خطياً بإغلاق الثغرات الحرجة خلال 3 أيام، والعالية خلال 15 يوماً، والمتوسطة خلال 45 يوماً.

نحن أيضاً لدينا فحص قريباً، هل تقوم شركة الاختبار بالتحقق مجاناً بعد إغلاق المبرمجين للثغرات أم يصدرون فاتورة جديدة؟

اجمع فريق التطوير مع شركة الاختبار في اجتماع واحد، وخلال نصف يوم ستتضح كل الملاحظات.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

أتمنى أن يفيدك هذا.

أنصح بعدم العجلة. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

هناك نقطة لم أفهمها ثم الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأكون ممتنًا لو شاركت النتيجة.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

بالتوفيق.

دعني أشارك تجربتي. على كل حال الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

يجب أن نسير بالترتيب. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

أتفق، بل أود التأكيد على هذه النقطة. على كل حال المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار. بصراحة صححوا لي إن أخطأت.

يجب أن نسير بالترتيب. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

دعني أتركها كملاحظة، قد تكون مفيدة.

أخذت ملاحظة، شكرًا لك. الخطأ المرتكب من جانب تسليم نتائج اختبار الاختراق قابل للإصلاح عادةً، لكنه مكلف.