أخذنا تقرير اختبار الاختراق بصيغة PDF مع جداول تقنية، كيف نحوّله إلى قائمة تصحيحات؟

لا تخف من سماكة عدد الصفحات. 50 صفحة على الأقل من الـ 75 هي مخرجات أدوات فحص آلية قياسية ونصوص تعريفية عامة منسوخة وملصقة. الشركات التي تنفّذ الاختبار تعرض نفس تحذير الرأس الأمني كنتيجة منفصلة في خمسين صفحة مختلفة حتى تتضخم الفاتورة ويبدو الأمر مؤسسيًا.

نحن تلقينا 42 نتيجة في تقرير مشابه. كنا على وشك إيقاف السبرنت كله بدافع الهلع، ثم عند الفحص الدقيق رأينا أن 28 بندًا من الـ 42 كانت مجرد معلومات ونقص في رؤوس منخفضة الخطورة. كان هناك فقط خطأان في منطق التفويض يهدّدان أمن البيانات فعلًا، وحللناهما في ثلاثة أيام.

رتّب فورًا اجتماع إغلاق للتقرير مدته 45 دقيقة مع شركة الاختبار. هذا الحق موجود بالتأكيد في عقدك. افتح مشاركة الشاشة واستمع مع مطوّريك إلى النتائج العالية في التقرير مباشرة من أفواههم؛ ودع مطوّريك يسألونهم مباشرة كيف استثاروا هذه الثغرة.

درجة CVSS الأساسية لا تعكس دائمًا الخطر الحقيقي. مثلًا، نتيجة تتطلب أن يكون المهاجم مستخدمًا مصرّحًا مسجّلًا في النظام قد تحصل على درجة مشابهة لثغرة تنفيذ كود عن بُعد لا تتطلب مصادقة. أعطِ الأولوية دائمًا للثغرات التي يمكن استثارتها من الخارج دون أي كلمة مرور.

صار هذا مع فريقنا أيضًا، نسخنا جدول الـ PDF إلى ورقة عمل وفتحنا بجانبه أعمدة الحالة واسم المطوّر والجهد المتوقع. أغلقناها واحدة واحدة وطلبنا إعادة اختبار من الشركة، وانتهى الأمر في أسبوعين.

الشيء الوحيد المهم لمدققي مجموعة المستشفيات التي ستتعاقد معها ليس تصفير كل النتائج. تقديم خطة تصحيح رسمية تُظهر أن الثغرات الحرجة أُغلقت وأن المخاطر المنخفضة مرتبطة بجدول تصحيح معقول غالبًا ما يكون كافيًا للموافقة المؤسسية.

أول مرة تلقّينا تقرير اختبار اختراق شعرنا جميعًا بأننا غير أكفاء جدًا؛ تنشأ نفسية كأن كل الكود الذي كتبناه مثقوب من كل جانب. لكن مع الوقت تعلمنا أن طبيعة اختبار الاختراق تفرض على الخبراء كتابة أصغر تفصيل إعدادي يجدونه في التقرير. لا تحبط معنويات فريقك، ستكتشف أن معظم البنود مجرد إعداد خادم يستغرق عشر دقائق.

أود طرح سؤال. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

لو كنت مكانك، لسلك هذا المسار.

أنصح بعدم العجلة. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

لو كنت مكانك، لسلك هذا المسار.

هناك جانب قياس لهذا الأمر أيضًا. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

أنصح بعدم العجلة. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

دعوني ألخص ما قيل حتى الآن. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. هذا كل شيء، أرجو المعذرة إذا أطالت.

سأكتب ما حدث لي، ربما يفيدكم. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

صححوا لي إن أخطأت.

أختلف معك في هذه النقطة. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

صحيح.

أعتقد أن الحديث بهذه القطعية في جانب تقرير اختبار الاختراق صعب. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

بالتوفيق.

عندنا نفس المشكلة. محاولة فعل هذا بمفردك هي أغلى الطرق.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. يعني هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.