نجيب أدوات اختبار اختراق تطبيقات الويب ونجربه بنفسنا، ولا نوكلها لواحد؟

أكبر مأزق للأدوات الآلية هو التلاعب بالمعاملات والعمليات اللي تحتاج سياق. في مسار دفع متعدد الخطوات، الفاحص ما يفهم إنك تتخطى خطوة وسطية وتوصل للنتيجة. خلي فريق البرمجة يشغّل الفحص وتتنظف الثغرات الأساسية مثل حقن SQL وتنفيذ السكربتات عبر المواقع، بس فحوصات الصلاحيات تحتاج تدخل بشري إلزامي.

السنة الماضية جربنا نفس الشي بفريق من 3 أشخاص. شغّلنا فاحص مفتوح المصدر مشهور، وطلع لنا بالضبط 184 تحذير أمني. مطورنا قضى أسبوعين وفي النهاية طلع 168 منها إنذارات كاذبة. راتب المطور اللي راح على الفاضي كلفنا أصلًا أكثر من فلوس الاختبار اللي كنا رح ندفعها لبرا.

خلي بالكم كمان لما تتعاقدوا مع شركة من بره. في السوق كتير من الشركات اللي بتقول إنها أمن سيبراني وبتاخد 2000-3000 دولار على الفحص، بتشغّل نفس السكربتات مفتوحة المصدر اللي إنت ممكن تجهزها بنفسك وبتلزق المخرجات في قالب فيه لوجو الشركة وبتسلّمها لك على إنها تقرير. لو هتتعاقدوا مع حد، لازم تكتبوا صراحة في العقد إن اختبارات منطق العمل اليدوية داخلة في النطاق.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

امشوا خطوة خطوة: الأول ادمجوا أدوات تحليل الكود مفتوحة المصدر في خط التطوير بتاعكم. ده بينضّف الكود بدون أي تكلفة. بعد كده اتكلموا بصراحة مع العميل واسألوه عن أقل معيار شهادة أو اعتماد ممكن يقبله. أحيانًا مجرد حصر النطاق على الواجهة الخارجية بس بيخفّض سعر العرض للنص على طول.

عايز أسأل حاجة، لو حطينا جدار حماية سحابي محترم قدام تطبيق الويب بتاعنا وفلترنا الترافيك، مش ده هيلغي الحاجة لاختبارات الاختراق دي خالص؟ على كل حال العملاء مش شايفين ده كافي؟

جدار الحماية زي حارس الأمن على الباب، أما اختبار الاختراق فهو المهندس اللي بيفحص عيوب التصميم في المبنى. جدار الحماية بيوقف أنماط الهجوم المعروفة بس مش عارف الأخطاء في التصميم والصلاحيات جوه التطبيق نفسه. عملاؤك عايزين يشوفوا الكود اللي ورا الجدار ده آمن قد إيه، فالجدار مش بديل عن التقرير.

إحنا كمان أول بيعة مؤسسية لينا عشنا نفس الصدمة، لما جالنا عرض بـ6000 دولار إيدينا ورجلينا رجفت. على كل حال قلنا للعميل بصراحة إننا شركة ناشئة في مرحلة مبكرة وضيّقنا النطاق على النقاط الحرجة، واتفقنا مع خبير أمن مستقل فريلانسر بـ2500 دولار وطلعنا التقرير المعتمد. نصيحتي متقطعوش التواصل.

تقريرك بنفسك مستحيل المشتريات المؤسسية تقبله للأسف. الفكرة كلها في إن التقرير ده جهة مستقلة تختم عليه. على كل حال استخدم الأدوات للتنضيف بس، وإلا هتضيع وقتك على الفاضي.

عند النظر إلى العملية ككل، تتغير الصورة. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتفق مع هذا. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

وكيف حللتم هذه النقطة؟ أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

دعوني ألخص ما قيل حتى الآن. فعل الجميع لشيء ما لا يعني أنه صحيح.

دعني أترك تنبيهًا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

صححوا لي إن أخطأت.

عانيت من نفس الشيء.

عندنا نفس المشكلة.

أتابع الموضوع. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

أنا أيضًا متحمس لمعرفة ذلك. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالتوفيق.

أنا مشروع صغير، دعوني أشرح من منظوري. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.