كيف يتم اختبار الاختراق، لا أريد طلب عروض أسعار قبل فهم كل خطوات العملية

ابتعدوا عن الشركات التي تزعم إنهاء الاختبار في يومين. في الغالب سيشغلون برنامج فحص تلقائي ويضعون شعارهم على ملف الـ PDF الناتج فقط. تطبيق لواجهات API ولوحات تحكم بنتها شركة من 14 شخصاً يحتاج لاختبار رمادي شامل ما لا يقل عن 5 إلى 7 أيام عمل.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

في مرحلة التجهيز اطلبوا من فريق الاختبار عناوين IP الثابتة الخاصة بهم. يجب إدراج هذه العناوين في القائمة البيضاء على جدار الحماية وطبقة حماية الويب لديكم، وإلا سيقوم الجدار بحظرهم من الدقيقة الأولى وتضيعون الوقت بلا فائدة.

عند مقارنة العروض، أرسلوا هذه الأسئلة الثلاثة للشركات كتابيًا: 1) ما هي الشهادات المعتمدة في هذا المجال التي يحملها موظفو الاختبار، وهل سيجرون الاختبارات بأنفسهم مباشرة؟ 2) هل تم تصميم منهجية الاختبار وفق المعايير الدولية؟ 3) هل يحق لنا الحصول على اختبار تحقق مجاني بعد إغلاق الثغرات؟

حصلنا العام الماضي على الخدمة لتطبيقين ويب وتطبيق جوال ببنية مشابهة. دفعنا 65.000 TL، واستغرق الاختبار 8 أيام عمل. تم اكتشاف 12 ثغرة في المجمل، 3 منها كانت متعلقة بتجاوز الصلاحيات. قام المبرمجون لدينا بإغلاق الثغرات خلال 10 أيام، ثم أُجري اختبار التحقق في يومين وأُغلق التقرير.

لما سويناها اول مرة جربوا على قاعدة البيانات الحية وكانت بيانات الاختبار كلها بتدخل ببعض. ابدا لا تخلونهم يستخدمون قاعدة البيانات الحية في الفحص او سووا نسخة مطابقة وافحصوها في بيئة staging والا بتندمون.

هل يطلب عميلكم تقرير الاختبار بالكامل أم صفحة الملخص التنفيذي فقط؟ تسليم التقرير الفني الذي يحتوي على تفاصيل جميع النتائج للعميل يُعد مخاطرة من ناحية السياسة الأمنية، اطلبوا نموذج الملخص التنفيذي أيضاً عند أخذ عروض الأسعار.

احرصوا على كتابة ساعات الاختبار وشخص الاتصال في حالات الطوارئ داخل العقد. يجب أن يكون لديكم خط تنسيق يتيح إيقاف الاختبار فوراً بمكالمة هاتفية واحدة في حال حدوث توقف مفاجئ أو ضغط زائد على النظام.

إذا لم أخطئ الفهم، فأنت تقول: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

أتمنى أن يفيدك هذا.

قضيت وقتًا طويلاً في هذا المجال. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

مثبت بالتجربة.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. فعل الجميع لشيء ما لا يعني أنه صحيح.

صححوا لي إن أخطأت.

أكتب هذا حتى لا تكرروا نفس الخطأ. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أنا مشروع صغير، دعوني أشرح من منظوري. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أشارك تجربتي. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أتفق جزئياً، وأختلف جزئياً وإذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أكثر نقطة يتم إغفالها في موضوع خطوات عملية اختبار الاختراق هي: المسألة ليست الرقم، بل الأساس الذي بُني عليه.

محاولة فعل هذا بمفردك هي أغلى الطرق. بالتوفيق.

إذا دخلنا في التفاصيل: الخطأ المرتكب من جانب خطوات عملية اختبار الاختراق قابل للإصلاح عادةً، لكنه مكلف.

إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى. يعني مثبت بالتجربة.

حدث معنا هذا. بصراحة لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

أتمنى أن يفيدك هذا.