الوكالة تقترح اختبار اختراق الويب، ما فرقه عن الاختبار القياسي وهل يحتاجه موقع صغير؟

في اختبار الشبكة يتم البحث عن منافذ SSH المفتوحة أو نواة Linux غير المحدثة. أما في web pentest فيتم فحص ثغرات استعلامات SQL في الكود، ومخاطر XSS، وأخطاء تثبيت الجلسات. إذا كانت بوابتك مبنية على كود مخصص، فلن تظهر الثغرات المنطقية التي تركها المبرمج إلا عبر web pentest.

قمنا العام الماضي بعمل اختبار ويب لنظام الـ B2B الخاص بنا ودفعنا 190.000 RUB. كان خادمنا نظيفاً تماماً، لكن اختبار الويب كشف ثغرة صلاحيات حرجة تتيح للوكلاء رؤية كشوف حسابات بعضهم البعض. وبالمقارنة مع الخسائر التي كانت ستلحق بسمعتنا، فقد كان ما دفعناه يستحق كل قرش.

هل يتم تخزين بيانات البطاقات الائتمانية في موقعكم، أم تُسجل الطلبات فقط كذمم على الحساب الجاري؟ وهل بوابة الوكلاء مبنية على برنامج جاهز أم مبرمجة خصيصاً لكم من الصفر؟ هذه التفاصيل تحدد مدى ضرورة الاختبار بشكل مباشر.

اطلب من الوكالة وثيقة المنهجية المتبعة قبل قبول العرض. واسألهم عن المعايير التي سيُعد التقرير بناءً عليها. إذا كانوا سيشغلون ماسحاً تلقائياً ويطبعون تقريراً فستكون 240.000 RUB رمياً للمال في القمامة؛ أما إذا كانوا سيبحثون يدوياً عن الأخطاء المنطقية، فالأمر يستحق النقاش حينها.

في السوق كثير من شركات الأمن تشغّل أداة فحص أمني أوتوماتيكية لمدة ساعتين وتطبع ناتجها بـ50 صفحة PDF وتبيعه على أساس إنه pentest. إذا ما كان بند "اختبار منطق العمل اليدوي" مكتوب بوضوح في العرض، لا تدفعوا هذا المبلغ أبداً.

الوكالة معها حق للأسف، اختبار الشبكة شي وweb pentest شي ثاني. إذا الوكلاء يشوفون سعر خاص وأحد يسرق سعر الثاني بتصير مشاكل كبيرة. بصراحة قللوا النطاق واطلبوا خصم بس لا تمررون الاختبار كله على السريع.

تحتوي قواعد بيانات B2B على اتفاقيات عملاء ذات طبيعة سر تجاري. قبل الحصول على خدمة web pentest، يُعد توقيع اتفاقية سرية شاملة والنص في البروتوكول على تنفيذ الاختبار خارج ساعات العمل أمراً أساسياً لأمنكم القانوني.

أنا أيضًا متحمس لمعرفة ذلك.

شكرًا جزيلًا، كان مفيدًا جدًا.

عشنا تقريباً نفس التجربة العام الماضي. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

دعني أشرح كيف يتم التطبيق عملياً. بصراحة فعل الجميع لشيء ما لا يعني أنه صحيح.

بالتأكيد ووإذا أردت إضافة شيء: المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

الإجابة أعلاه لخصت جوهر الأمر. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

هذا كل شيء، أرجو المعذرة إذا أطالت.

دعوني ألخص ما قيل حتى الآن... الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

لم أكن أعلم بهذا.

أتفق جزئياً، وأختلف جزئياً. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

دعني أتركها كملاحظة، قد تكون مفيدة.

قضيت وقتًا طويلاً في هذا المجال. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف. مثبت بالتجربة.

لا أعتقد أن هذه النصيحة تناسب الجميع. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار. طيب صححوا لي إن أخطأت.