جربت مواقع مجانية لفحص الثغرات على موقعي — ظهرت عشرات الثغرات، ما الذي يجب عليّ إصلاحه فعلاً؟

أدوات الفحص المجانية دي بتبص على الموقع من بره بس وتشوف استجابات HTTP. يعني مثلاً لو السيرفر عندك بيرجع رقم إصدار PHP أو إصدار السيرفر نفسه، بيكتبلك على طول إن دي ثغرة متوسطة الخطورة. دي مش ثغرة أصلاً، ده مجرد كشف لمعلومات. لو مفيش ثغرة حقيقية مؤكدة في الإصدار ده يبقى متصرفش فلوسك على الفاضي.

السنة الماضية وبسبب ذعر مشابه دفعنا 1.600 AED لجهة خارجية من أجل تقرير فيه 35 تحذيراً. بعد انتهاء العمل، اكتشفنا أن 28 بنداً منها كانت مجرد ثلاثة أسطر من ترويسات الأمان أضيفت إلى السيرفر. الثغرة الوحيدة التي شكلت خطراً حقيقياً كانت في إحدى الإضافات، وكان بإمكاننا حلها مجاناً بمجرد تحديث الإضافة.

افتح التقرير واكتب في شريط البحث: 'Injection' و'XSS' و'Bypass' و'Arbitrary File'. حدد الأسطر التي تحتوي على هذه الكلمات، وغالباً سيتبقى لديك 3-4 بنود فقط. اطلب من المختص لديك التأكد من هذه النقاط وإغلاقها فقط، وتجاهل الباقي في الوقت الحالي.

الهدف من مواقع الفحص المجاني في العادة هو إخافة المستخدم لبيع باقات الفحص العميق المدفوعة أو خدماتهم الاستشارية. إذا نظرت أسفل الصفحة، ستجد غالباً بجانب التقرير عروضاً مثل "حل المشكلة باحترافية وبضغطة زر واحدة". لا تصدق كل بند يظهر باللون الأحمر.

هل موقعك مبني على نظام إدارة محتوى جاهز مثل WordPress أم أنه نظام برمجة خاصة بالكامل؟ وأيضاً عند استلام المدفوعات، هل تحتفظ ببيانات البطاقات الائتمانية على خادمك الخاص، أم تعيد توجيه العميل إلى صفحة الدفع المشتركة الخاصة بمزود الخدمة؟ تحليل المخاطر يختلف كلياً بناءً على ذلك.

اهدأ، إذا لم يكن موقعك يتعرض لهجوم نشط حالياً فلا تتصرف بدافع الذعر. أدوات الفحص التلقائي تخصم نقاطاً على كل ترويسة ناقصة. في عالم الويب، لا يوجد موقع خالٍ تماماً من التنبيهات بنسبة 100%. أولويتك دائماً يجب أن تكون قاعدة بيانات العملاء، وآلية تشفير لوحة الإدارة، وحقول النماذج.

عادةً ما تجد بجانب البنود في التقرير رموزاً مثل 'CVE' أو 'CWE'. ابحث عن البنود التي لا تفهمها في الإنترنت باستخدام هذا الرمز مباشرة. إذا قرأت بضعة مقالات في المنتديات باللغة التركية أو الإنجليزية لتعرف التأثير الفعلي للثغرة، فستتحدث مع المبرمج وأنت مدرك للأمر تماماً.

سأجرب ذلك.

صحيح. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

إذا لم أخطئ الفهم، فأنت تقول: عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ. لو كنت مكانك، لسلك هذا المسار.

دعوني ألخص ما قيل حتى الآن. فعل الجميع لشيء ما لا يعني أنه صحيح.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

كل من يستعجل في موقع فحص الثغرات يتعثر في نفس النقطة. بصراحة هذا كل شيء، أرجو المعذرة إذا أطالت.

أوافق. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

هذا كل شيء، أرجو المعذرة إذا أطالت.

إذا لم أخطئ الفهم، فأنت تقول: لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

نعم، الوضع في موضوع موقع فحص الثغرات هو بالضبط هكذا. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

قضيت وقتًا طويلاً في هذا المجال. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

أتمنى أن يفيدك هذا.

لم أكن أعلم بهذا. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ليس لدي خبرة في موقع فحص الثغرات، لذا أسأل. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

لو كنت مكانك، لسلك هذا المسار.