تقرير اختبار الاختراق يقول 'يجب معالجتها خلال 30 يوم' — شو يعني معالجة الثغرات من جهتنا؟

انتبه لدرجات CVSS في التقرير. النتائج 7.0 وأعلى تكون عالية أو حرجة. عادة ثغرات المصادقة والثغرات المعروفة الناتجة عن مكتبات قديمة تأخذ هالدرجة. مبرمجوك لازم يركزون مباشرة على تحديثات المكتبات وفلاتر التحقق من المدخلات.

إحنا كمان مرينا بتدقيق مشابه. من 12 نتيجة كان 4 عالية. مبرمجونا أوقفوا كل أعمال التطوير لمدة أسبوعين وركزوا بس على هذي. الثلاث نتائج في البنية التحتية سدّيناها خلال يومين بقواعد جدار الحماية لمزود السحابة. شركة الاختبار عملت اختبار التحقق بعد 5 أيام وأعطت التقرير النظيف.

طلب العميل إنكم تسدّون كل شي بـ 30 يوم شوي انعكاس بيروقراطي. البنود منخفضة الخطورة في التقرير مثل كشف معلومات أو ظهور إصدارات ما تخلق خطر تشغيلي. اصرف طاقتك على مخاطر تسرب البيانات اللي فعلًا تأثر على العميل.

تواصل فوراً مع الشركة التي أجرت اختبار الاختراق وتأكد من عقدك إذا كان يتضمن حق إجراء اختبار مرة أخرى. إذا كان الأمر كذلك، سجّل بوضوح في تقويمك الموعد النهائي لإكمال الإصلاحات وتشغيل الاختبار.

الخطوات الأساسية في معالجة الثغرات: 1) قسّم النتائج إلى ثغرات في الكود وثغرات في السيرفر/الشبكة، 2) أعطِ الأولوية لمن درجته CVSS 7 فما فوق، 3) اجعل مطوريك يشغّلون سيناريو اختبار لكل ثغرة تُصلح في الكود، 4) عند اكتمال الإصلاح اطلب من شركة الاختبار خطاب تحقق رسمي.

أول مرة يرى فيها الواحد تقريراً بهذا الحجم قد يصاب بالذعر، وهذا طبيعي تماماً. نصف التقرير أصلاً لقطات شاشة وتعريفات عامة. عندما تجلس وتبحث فيه بهدوء ستجد أنها أخطاء منطقية يستطيع مطوروك تنظيفها في أسبوع أو أسبوعين.

الأمور على جانب السيرفر غالباً مجرد إعدادات، لكن الأخطاء المنطقية في الكود قد تأخذ وقتاً لكن يعني لا تتردد في سؤال شركة الاختبار مباشرة، فهم ملزمون بشرح تفاصيل النتيجة.

باختصار؛ الكود سيكون فريقك هو من يصلحه، وإعدادات السيرفر ستضبطها من لوحة السحابة. خلال 30 يوماً ستغلق الثغرات عالية الخطورة وتشرح الحلول المؤقتة التي توصلت إليها، وفي نهاية المطاف ستجعل نفس شركة الأمن تجري الاختبار مرة أخرى وتعطي العميل خطاب تحقق نظيف.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

دعني أترك تنبيهًا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

لو كنت مكانك، لسلك هذا المسار.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

لو كنت مكانك، لسلك هذا المسار.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. يعني القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

لو كنت مكانك، لسلك هذا المسار.

دعني أشارك تجربتي. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أنا في نفس الوضع، لذلك أسأل. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

فعل الجميع لشيء ما لا يعني أنه صحيح. لو كنت مكانك، لسلك هذا المسار.

إذا دخلنا في التفاصيل: ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

ليس لدي خبرة في معالجة الثغرات، لذا أسأل. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أتابع الموضوع.

تشتت النقاش، دعني ألخصه. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

صححوا لي إن أخطأت.