متعهد البرمجيات يقترح التحليل الساكن للكود بدلاً من اختبار الاختراق، هل يغني هذا عن Pentest؟

التحليل الساكن ينظر فقط إلى نص الكود الذي كتبته. المنفذ المفتوح بالخطأ في الخادم، أو خادم الويب غير المحدث، أو صلاحيات الوصول المتروكة مفتوحة للخارج في قاعدة البيانات السحابية لا تظهر داخل الكود. هذه الثغرات لا تُكتشف إلا عبر الـ pentest أثناء تشغيل التطبيق في البيئة الحية.

ارتكبنا نفس الخطأ في بنيتنا التحتية للتجارة الإلكترونية في قازان. أعطانا المقاول تقرير تحليل ساكن وقدمناه للعميل. فريق التدقيق لدى العميل اكتشف في أول ساعتين وصولاً بدون كلمة سر لوحة التحكم. تأخر المشروع شهرين، واضطررنا لدفع 400.000 روبل على عجل للتعاقد مع فريق pentest خارجي.

ما المكتوب بالضبط في النص الفني للعقد مع عميلك؟ إذا كان ينص صراحة على اختبار اختراق أو تدقيق أمني مستقل، فإن القسم القانوني أو قسم التدقيق سيرفض تقرير التحليل الساكن فورًا. هل تحققت من التعريف الدقيق في العقد؟

النقاط الأساسية التي تفصل بين الطريقتين هي: 1) التحليل الساكن يتم بمسح النصوص دون تشغيل الكود، والـ pentest يطبق ديناميكيًا على نظام شغال. 2) الأدوات الساكنة لا تفهم ثغرات منطق العمل، بينما خبير الاختراق يهاجم النظام بتفكير بشري. 3) تدقيق العملاء يعتمد تقرير pentest المستقل فقط كإثبات رسمي.

عرض المقاول لا يبدو لي صادقًا. التحليل الساكن ينفذونه برفع الكود إلى أداة فحص قياسية أو مفتوحة المصدر في السوق والحصول على تقرير آلي خلال بضع ساعات. طلب 120.000 روبل لتقرير جاهز يحصلون عليه بضغطة زر واحدة أمر مبالغ فيه جدًا.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

أرسل بريدًا إلكترونيًا مباشرة إلى المسؤول التقني لدى عميلك. واسأله كتابيًا عما إذا كان تقرير تحليل الكود المصدري الاستاتيكي مقبولاً أم لا. بنسبة تسعين بالمائة سيقولون إن اختبرا الاختراق شرط أساسي. وبذلك تنقذ نفسك من دفع 120.000 روبل للمقاول دون فائدة.

المبرمجون يتجنبون اختبار الاختراق المستقل عادةً لأن فريقًا تقنيًا آخر سيأتي ويوثق للمدير بالتقارير أخطاء عملهم والإهمال في إعدادات السيرفر. طيب بأي حال، أعتقد أنهم يفكرون في عدم كشف ثغراتهم وليس في الميزانية.

بلمشروع عندنا كمان عملنا فحص استاتيكي وطلع صفحات تحذيرات مالها داعي وما اكتشف ثغرة الصلاحيات الأساسية. العميل المؤسسي مستحيل يقبل فيه لا تضيعوا فلوسكم على الفاضي.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. بصراحة تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. بالتوفيق.

تشتت النقاش، دعني ألخصه. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

بعد تجربة ذلك، تغيرت نظرتي للأمور. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أشارك تجربتي. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

زالت حيرتي، شكراً لكم. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بالتوفيق.

أنصح بعدم العجلة. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

محاولة فعل هذا بمفردك هي أغلى الطرق. دعني أتركها كملاحظة، قد تكون مفيدة.

أتفق مع هذا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

الخطأ المرتكب من جانب التحليل الساكن للكود قابل للإصلاح عادةً، لكنه مكلف. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتفق جزئياً، وأختلف جزئياً. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

فعل الجميع لشيء ما لا يعني أنه صحيح. لو كنت مكانك، لسلك هذا المسار.

أتفق مع هذا. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

هذا كل شيء، أرجو المعذرة إذا أطالت.