طُلب منا إجراء اختبار اختراق — ما هو بمثال حقيقي، وهل نحتاجه فعلاً؟

شركات التجزئة الكبرى تخشى جداً من مخاطر سلاسل الإمداد. طالما أن بيانات متاجرهم أو أرباحهم ستكون في قاعدة بياناتك، فلن يتمكنوا من تبرير الأمر لمجلس إدارتهم إذا حدث اختراق. لا تفكر أبداً في تقديم مخرجات أداة فحص ثغرات آلية على أنها اختبار اختراق؛ ستكتشف فرق الأمان ذلك من أول صفحة وتفسد الصفقة على نفسك.

قمنا بإجراء الاختبار لأول مرة الخريف الماضي لبرنامج خدمات لوجستية بنفس الحجم تقريباً. استمر الاختبار 4 أيام عمل ودفعنا 3.200 GBP. وجدوا 6 ثغرات إجمالاً إحداها كانت حرجة. كنا واثقين جداً من كودنا، لكن من خلال تسريب في ترويسات الخادم كان إصدار قاعدة بياناتنا مكشوفاً بالكامل. أصلحنا المشكلة في أسبوع، وبمجرد أن رأى العميل التقرير وقع العقد فوراً.

خليكم حذرين جدًا وقت عمل اتفاقية النطاق. لا تُدخلوا مزوّد استضافة السيرفرات للبنية السحابية ضمن النطاق، ضمّنوا فقط الأكواد اللي كتبتوها بنفسكم وآليات التصريح وواجهات API. وإلا رح يحاولوا يفحصوا خدمات مزوّد السحابة ويضاعفوا مدة الاختبار وميزانيتكم.

لا تندفعوا وراء أول العروض اللي ترسلها شركات الأمن. كثير من الوكالات تطلب أسعار مبالغ فيها مثل 10.000 GBP وتنجز معظم الشغل بأدوات آلية وبس. خذوا 2-3 عروض مختلفة من خبراء معتمدين مستقلين أو من شركات صغيرة متخصصة. تأكدوا إن التقرير رح يُكتب وفق منهجيات معترف بها دوليًا.

بالنسبة لعقد بيجيب إيراد 52.000 GBP سنويًا، تكلفة اختبار حوالي 3.000 GBP هي بكل تأكيد تكلفة اكتساب عميل لازم تتحملوها. وكمان بعد ما تاخذوا هذا التقرير رح تقدروا تقدموه كدليل ثقة لعملاء مؤسسيين آخرين رح تجلسوا معهم على الطاولة خلال الـ 12 شهر الجاية.

إذا انوجدت ثغرات بالنظام أثناء الاختبار وما قدرنا نسدّها فورًا، شو بيصير؟ شركة الأمن بترسل التقرير مباشرة للعميل ولا بتعطينا إياه أول؟

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

المسار القياسي للعملية بيتكوّن من 4 خطوات: 1) تحديد النطاق وتوقيع اتفاقية السرية، 2) محاكاة الهجوم في بيئة اختبار (سيرفر نسخة مطابقة بدون بيانات حقيقية)، 3) تسليم التقرير المرحلي اللي بيسرد الثغرات لفريقكم وإجراء التصحيحات، 4) التحقق من التصحيحات وتجهيز التقرير النهائي النظيف اللي بيُقدَّم للمؤسسة.

سأكتب ما حدث لي، ربما يفيدكم. طيب معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

مثبت بالتجربة.

وكيف حللتم هذه النقطة؟ إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. هذا كل شيء، أرجو المعذرة إذا أطالت.

أعتقد أن الحديث بهذه القطعية في جانب مثال اختبار اختراق صعب. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

لو كنت مكانك، لسلك هذا المسار.

أخذت ملاحظة، شكرًا لك.

أنا أيضًا متحمس لمعرفة ذلك. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

شكرًا لكتابة هذا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

كل من يستعجل في مثال اختبار اختراق يتعثر في نفس النقطة. مثبت بالتجربة.

أتفق جزئياً، وأختلف جزئياً. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

دعني أشارك تجربتي. كل من يستعجل في مثال اختبار اختراق يتعثر في نفس النقطة.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أتفق، بل أود التأكيد على هذه النقطة. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أحسنت، بارك الله في جهدك.

الإجابة أعلاه لخصت جوهر الأمر. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها. مثبت بالتجربة.