يقولون تقنيات اختبار الاختراق — أي تقنيات لازم تكون في عرضنا؟

اطلب من عميلك دفتر شروط التدقيق أو قائمة التحقق كتابياً. أغلب الشركات المؤسسية تطلب تقرير بس عن الأصول المتاحة من الخارج. وإذا دفتر الشروط ما يذكر الهندسة الاجتماعية صراحة، خلّ النطاق بالبداية بس الشبكة الخارجية وبوابة الويب ووافق على العرض على هذا الأساس.

السنة الماضية مرّينا بعملية مشابهة لشركتنا الصناعية اللي فيها 40 موظف. شلنا الهندسة الاجتماعية من العرض، وخلّينا العرض الأول اللي كان 75.000 TL ينزل لمستوى 40.000 TL باختبار الشبكة الخارجية والبوابة بس. شركة التدقيق قبلت التقرير مباشرة بدون أي نقص.

في اختبار تطبيق الويب اسأل إذا الشركة تسوي تحقق يدوي حسب معايير OWASP. إذا بس يشغّلون برنامج تلقائي ويعطونك سكرين شوت، هذا الاختبار ما له قيمة تقنية، والمدقق لما يراجع التقرير ممكن يرجّعه بسبب نقص التفاصيل.

بوابة تتبع العملاء عندكم مستضافة على سيرفر في مكتبكم ولا على سيرفر سحابي خارجي؟ وهل البوابة تخزّن بيانات شخصية لعملائكم أو فواتير تجارية؟ هذي التفاصيل تغيّر مباشرة عمق الاختبار الخارجي والتقنية المطلوبة.

بند الهندسة الاجتماعية عادة يُضاف للباكج عشان يرفع ميزانية العرض. ما تحتاج تدفع ميزانية إضافية عشان يرسلون إيميل تصيّد لثلاثة أشخاص في الشركة ويكتبون تقرير "الموظف ضغط"، هذا أقرب لتدريب موظفين من اختبار اختراق.

اطلبوا من الشركة اللي عاطية سعر غالي تفصيل تسعير خاص باختبار الشبكة الخارجية وتطبيقات الويب بس. لما تاخدوا السعر بند بند بتشوفوا التكاليف الزايدة بوضوح وتصفّوا العرض حسب ميزانيتكم.

إحنا كمان بالبداية قلنا خلّي كل شي ينشمل، بس بعدين اضطرينا نستضيف خبراء الأمان بالمكتب يومين عشان اختبار الشبكة الداخلية. لو مو إجباري لا تتعمقوا لهالدرجة وتعطلوا الشغل، بكفي تثبتوا إن الباب الخارجي مقفول كويس.

الخلاصة من هالكلام واضحة: إذا العميل ما طلب تحديداً اختبار للشبكة الداخلية أو الموظفين، بيكفي بعرضكم تكتفوا بتقنيات فحص بوابة الويب والشبكة الخارجية. تأكدوا من دفتر الشروط قبل ما تحطوا ميزانية لتقنيات إضافية.

أتفق، بل أود التأكيد على هذه النقطة. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

مثبت بالتجربة.

دعوني ألخص ما قيل حتى الآن. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

تم الحفظ.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

لو كنت مكانك، لسلك هذا المسار.

زالت حيرتي، شكراً لكم. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

أتابع الموضوع.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً. أتمنى أن يفيدك هذا.

أنت محق. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

أتفق، بل أود التأكيد على هذه النقطة. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

سأجرب ذلك.