تلقينا عرض سعر لاختبار اختراق قياسي بسعر ثابت، ما الفرق الدقيق بينه وبين الاختبار الشامل؟

الخطر الحقيقي في الباقات القياسية هو التغاضي عن ثغرات التحكم في صلاحيات الوصول على مستوى الكائنات (Broken Object Level Authorization). الأدوات الآلية تجارب طلبات HTTP ببرامترات عشوائية، لكنها لن تفكر في تجربة سحب بوليصة شحن الشركة A باستخدام توكن الشركة B في لوحة التحكم اللوجستية. هذه الفحوصات يجب أن تتم يدوياً.

أرسل هذه الأسئلة الثلاثة كتابياً للشركتين المقدمتين للعروض: 1) كم عدد ساعات الاستغلال اليدوي (Manual Exploitation) التي ستنفذ خلال الاختبار؟ 2) هل نقاط API وواجهات التطبيقات للجوّال مشمولة بالنطاق؟ 3) هل يتم تقديم اختبار إعادة تحقق مجاني (Re-test) بعد إغلاق الثغرات المكتشفة؟ الإجابات ستوضح لك الفرق فوراً.

العام الماضي دفعنا 14.000 SAR لباقة قياسية من أجل صفقة مماثلة في جدة. التقرير جاء في 18 صفحة، منها 15 صفحة معلومات عامة ومخرجات فحص آلي. فريق الأمن لدى الجهة الأخرى رفض التقرير واعتبره غير كافٍ، وفي النهاية اضطررنا لإنفاق 32.000 SAR إضافية لإجراء اختبار شامل.

ألم تسألوا الشركة صاحب العرض الرخيص عن نطاق الفحص مطلقًا؟ على الأغلب سيرخلون نطاق IP ويشغلون الأداة، وبعد ثلاثة أيام يسلمونكم تقرير PDF. لو كان مدير الأمن لدى عميلكم يفهم في العمل قليلاً، سيرفض هذا التقرير فوراً.

الاختبارات القياسية عادة تكون سطحية جداً. إن لم يطلبوا السورس كود أو وثائق API فسيقومون بالفحص الآلي فقط، مستحيل إنهاء فحص يدوي في ثلاثة أيام.

أرسلوا وثيقة تحديد النطاق (scoping document) إلى مدير أمن المعلومات لدى الطرف الآخر مسبقاً. لا تدفعوا لأي شركة قبل الحصول على تأكيد كتابي بنوع الاختبار المقبول لديهم.

كيف تم تعريف نطاق اختبار الاختراق في اتفاقية السرية والخدمة مع العميل؟ هل المطلوب صندوق أسود (Black Box) أم صندوق أبيض (White Box)؟ وهل يحتوي نظامكم على دفع إلكتروني أو بيانات عملاء حساسة؟

مع أول عميل B2B لنا حاولنا التوفير واشترينا حزمة اختبار جاهزة، وفرحنا لأن النظام ظهر نظيفاً. بعد شهرين اكتشف محاسب العميل أنه قادر على تحميل فواتير الشركة المنافسة بمجرد تغيير رقم في رابط URL. يومها عرفنا أن الاختبار القياسي مجرد وهم.

سأكون ممتنًا لو شاركت النتيجة. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. لو كنت مكانك، لسلك هذا المسار.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة. أتمنى أن يفيدك هذا.

أوافق.

أحسنت في فتح هذا العنوان.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

دعني أتركها كملاحظة، قد تكون مفيدة.

صحيح. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

بالتوفيق.

عانيت من نفس المشكلة قبل عامين. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أود طرح سؤال. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

دعني أتركها كملاحظة، قد تكون مفيدة.

أتابع الموضوع.

هل يمكنك توضيح هذا أكثر؟ إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.