كيف نحدد نطاق الإذن الكتابي لاختبار الاختراق وما الذي يجب أن يتضمنه المستند؟

ضع بندًا في المستند عن الإبلاغ بعنوان IP المصدر بلا استثناء. يجب أن يكون مكتوبًا من أي عناوين IP خارجية ثابتة سيقوم الفريق المنفذ للاختبار بالفحص. بهذه الطريقة يمكنك تمييز الاختبار عن هجوم سيبراني حقيقي في جدار الحماية لتطبيق الويب، ويمكنك بسهولة تصفية أنشطة الاختبار إذا احتجت لإجراء تحقيق في الأدلة الجنائية الرقمية في السجلات.

يجب تنظيم الشروط الجزائية وأحكام السرية في العقد في إطار مواد الجرائم المعلوماتية في قانون العقوبات التركي وقانون حماية البيانات الشخصية. يجب تعريف بروتوكول الإشعار الفوري والحذف الآمن الذي سيُطبق في حال الوصول إلى بيانات العملاء أو السجلات المالية الحساسة أثناء الاختبار بشكل ملزم قانونيًا.

لا تفتح قاعدة بياناتك الحية للاختبار مباشرة. جهّز بيئة اختبار نسخة طبق الأصل من بيئة الإنتاج، وأخفِ هوية بيانات العملاء الحساسة، وأجرِ الاختبار هناك. ما يهم البنوك هو الثغرات في البنية والكود؛ لا داعي أبدًا للمخاطرة بجدول العملاء في البيئة الحية.

حتى لو أعددت مستند النطاق، كثير من الشركات في السوق تشغّل أدوات الفحص الآلي القياسية للثغرات وتكتفي بذلك. إذا لم تضع في العقد قيدًا مثل "لا يجوز أن يتجاوز معدل طلبات الفاحصات الآلية هذا العدد من الطلبات في الثانية"، فستتجمد بوابة API لديك وسيتلقى العملاء أخطاء.

في اختبار مشابه العام الماضي سمحنا بفترة ما بين 02:00 و05:00 فجرًا. عندما حمّل الخبير المنفذ للاختبار بالخطأ على طابور prod بدلًا من staging، انهار خادم المراسلة لدينا 40 دقيقة. لحسن الحظ كان بند الإيقاف الطارئ موجودًا، وأوقفنا الاختبار في 3 دقائق. لولا ذلك البند لما لحقنا بدوام الصباح.

تعديل: صححت بعض الأخطاء الإملائية.

هل سيكون نوع الاختبار صندوقًا أسود أم صندوقًا أبيض؟ إذا سيُعطى الفريق الكود المصدري أو توثيق API، تصبح بنود حماية الملكية الفكرية في المستند وإتلاف الأكواد بعد انتهاء الاختبار أكثر حيوية بكثير.

لا تسمح حتى ببينغ واحد على منفذ واحد دون إذن كتابي؛ جريمة الوصول غير المصرح به قد تضع الطرفين مباشرة أمام النيابة العامة.

أنت محق، لقد مررت بنفس المسار. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

صححوا لي إن أخطأت.

سأجرب ذلك. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أنت محق تمامًا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أحسنت في فتح هذا العنوان.

أوافق.

دعوني ألخص ما قيل حتى الآن. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أخذت ملاحظة، شكرًا لك. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

المسألة ليست الرقم، بل الأساس الذي بُني عليه.

شكراً لكتابة هذا، فهو صحيح تماماً. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

لم أكن أعلم بهذا.. ثم المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أنصح بعدم العجلة. كل من يستعجل في إذن كتابي لاختبار الاختراق يتعثر في نفس النقطة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.