خلال كم يوم يفترض يوصل تقرير اختبار الاختراق — وإيش المفروض أشوف بنموذج التقرير؟

ركز بنموذج التقرير بالذات على قسم الـ 'PoC' يعني إثبات المفهوم. باختبار الاختراق الحقيقي، المختص بعد ما يلاقي الثغرة لازم يثبت بلقطة شاشة إنه قدر يسحب بيانات غير مصرح بها أو ينفذ أوامر بالنظام. والشركات اللي ما تنظف التقرير من الإنذارات الخاطئة (false positive) حقت أدوات الفحص التلقائي لا تضيع وقتك معهم.

حط هذي البنود بالعقد ضروري: 1) إرسال إشعار فوري بالإيميل خلال 24 ساعة عند اكتشاف أي ثغرة حرجة أو عالية الخطورة، 2) تسليم مسودة التقرير خلال 5 أيام عمل كحد أقصى بعد نهاية الاختبار، 3) إجراء اختبار تحقق مجاني (re-test) لمرة واحدة خلال 30 يوم من إغلاق الثغرات.

الشهر الماضي خلصنا اختبار الجوال والـ API. خلص الفحص الميداني الجمعة بالليل، والثلاثاء الصباح كان التقرير المبدئي عندنا. طلع 4 ثغرات حرجة؛ فريق التطوير قفلها بـ 10 أيام، والشركة سوت اختبار التحقق باليوم اللي بعده وسلمونا التقرير النهائي النظيف. انتظار 15 يوم عمل عشان تقرير بيعطل جدول المعالجة كامل عندك.

الشركة اللي تقول 15 يوم عمل اشترط عليهم 'تقرير دوري يومي للثغرات الحرجة'. إذا ما وافقوا استبعدهم فوراً. لأن لو طلع أثناء الفحص ثغرات حقن قواعد بيانات أو تشغيل كود عن بعد، إنك تجلس أسبوعين بدون ما تقفلها يعتبر انتحار للبزنس.

ترى بعض اللي يسلمون التقرير بـ 3 أيام ما يكتبونه أثناء الاختبار؛ يضغط 'تصدير PDF' من أداة الفحص التلقائي ويحط شعاركم على الغلاف وخلاص. زي ما يهمك قصر المدة، تأكد من النموذج إنه التقرير مكتوب يدوي وفيه تحليلات مخصصة لفريقكم.

نصيحة اللي ما يعطيك نموذج تقرير لا تقعد معه أصلاً. طيب ما يتوقع عقد بدون ما تدري وش بيطلع لك. الشركات المرتبة تاخذ إذن من عملائها وتجهز نماذج محجوبة البيانات جاهزة للعرض دايم.

انتبهوا جداً لمدة 'اختبار التحقق' (re-test) بالعقد. ترا إغلاق الثغرات بياخذ وقت بعد وصول التقرير. والتزام الشركة بإعادة فحص الأنظمة مجاناً لمدة 30 أو 45 يوم بعد تسليم التقرير خطوة ضرورية لنجاح المشروع.

إذا الاختبار مدته 5 أيام والتقرير بـ 15 يوم، غالباً المهندس اللي سوى الاختبار مشغول باختراق سيرفر عميل ثاني بدل ما يفرغ وقته لكتابة التقرير. يعني وإذا فيه ثغرة حرجة بتكتشفها بوتات الفحص بالإنترنت قبل ما تدري عنها بأسبوعين.

بالتأكيد. وإذا أردت إضافة شيء: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. دعني أتركها كملاحظة، قد تكون مفيدة.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

لدي اعتراض هنا. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أخذت ملاحظة، شكرًا لك.

موضوع في الوقت المناسب تمامًا. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أود طرح سؤال. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنت محق. يعني كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

أود طرح سؤال... إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات لكن اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

شكرًا جزيلاً، سأجربها اليوم. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. بالتوفيق.

أحسنت، بارك الله في جهدك.