اقترحوا علينا "اختبار اختراق" — هل هو ضروري فعلاً لحجم شغلنا، وما فائدته؟

من غير المنطقي أن تفحص الوكالة الكود الذي كتبته بنفسها. لا يمكنك أن تتوقع منهم اكتشاف أخطائهم والإبلاغ عنها بحيادية. حتى لو قررت إجراء الاختبار، اطلب عروض أسعار من شركة متخصصة فقط في الأمن السيبراني ومستقلة تماماً عن الشركة المطورة.

في اختبار الاختراق، يتم التركيز تحديداً على ثغرات 'Broken Object Level Authorization' أي الوصول لبيانات بدون صلاحية. مثلاً، بعد تسجيل دخول الموزع (أ)، لو غيّر رقم الفاتورة في المتصفح من 101 إلى 102، هل يستطيع رؤية فاتورة الموزع (ب)؟ جدار الحماية لا يكتشف هذا إطلاقاً، هذا الأمر يُكشف فقط باختبار الاختراق.

العام الماضي دفعنا 35.000 TL لخبير مستقل لفحص بوابة لدينا تخدم 20 موزعاً بنطاق مشابه. النتيجة في التقرير أظهرت أن بعض الموزعين كان بإمكانهم رؤية نسب الخصم الممنوحة للآخرين. لو انتشر هذا الأمر في السوق لتضررت سمعتنا التجارية بالكامل، المبلغ كان يستحق كل ليرة بصراحة.

الوكالة على الأغلب ستشغل برنامج فحص آلي وتطبع لك ملف pdf. يعني اطلب منهم وثيقة نطاق العمل وتأكد إن كان التقرير يوضح عدد ساعات الاختبار اليدوي.

تعديل: كتبت من الهاتف، أرجو المعذرة عن الأخطاء الإملائية.

هل تستقبلون مدفوعات بالبطاقات الائتمانية عبر البوابة؟ إذا كانت بيانات البطاقات تُحفظ في النظام أو تمر عبر سيرفركم الخاص بدلاً من بوابة دفع خارجية، فالاختبار ليس رفاهية بل إلزامي تماماً.

قبل الموافقة على العرض، اسأل الوكالة: "هل الاختبار سيكون Gray Box أم Black Box، وهل يتضمن السعر إعادة الفحص للتأكد من إغلاق الثغرات المكتشفة؟" إذا لم يكن هناك فحص تحقق، فسيكون التقرير مجرد ورقة لا فائدة منها.

قبل سنتين تم اختراق بوابة أحد معارفي يعمل بتجارة الأقمشة بالجملة، وباع المخترقون قائمة العملاء والأسعار بالكامل لمنافسيه. لم ينفعه النسخ الاحتياطي ولا شهادة SSL. من يومها جعلنا الفحص الأمني إجراءً روتينياً مع كل تحديث كبير.

أود طرح سؤال. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

تم الحفظ. الناس يدافعون عن العادات وليس العمليات ثم المقاومة تأتي من هناك.

ملخص سريع للجدد: نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. بالتوفيق.

أتفق، بل أود التأكيد على هذه النقطة. يعني كل من يستعجل في ما هو اختبار الاختراق يتعثر في نفس النقطة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هل تعتقد أن هذا يعمل لجميع الأحجام؟ المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

تشتت النقاش، دعني ألخصه. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

لم أكن أعلم بهذا.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

لو كنت مكانك، لسلك هذا المسار.

أحسنت في فتح هذا العنوان.

أحسنت، بارك الله في جهدك. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

لو كنت مكانك، لسلك هذا المسار.

أود طرح سؤال. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ. أتمنى أن يفيدك هذا.