أبحث عن أدوات تحليل الثغرات — في فريق من 8 أشخاص، ماذا يمكنني استخدامه بنفسي دون إتلاف أي شيء؟

من الضروري الفصل بين الفحص النشط والغير نشط. إذا ربطت وحدات تفحص بنهج هجومي (fuzzer) أو تمطر طلبات عشوائية على نماذج الويب أو صفحات تسجيل الدخول، ستتم قفل قاعدة البيانات. حافظ على منخفض معدل الطلبات في الثانية عند فحص المنافذ على مستوى الشبكة. أما في جانب الويب، فشغّل الفحص حتماً في بيئة اختبارية هي نسخة من الإنتاج وليست مرتبطة بقاعدة البيانات الحية.

لا يمكنك إمرار عميل مؤسسي ألماني من التدقيق بتقرير الفحص الذي استخرجته بنفسك. المدقق لن يقبل منك قول "فحصنا داخليًا وكانت النتيجة نظيفة"، بل يبحث عن توقيع ومنهجية مستقلة. والتقرير المكون من مائة صفحة الذي تنتجه الأداة تكون معظمه تحذيرات غير مهمة وتتطلب خبرة لتصفيتها.

تعديل: كتبت خطأً أعلاه، أرجو المعذرة.

لإدارة الفحص بأمان اتبع هذه الخطوات: 1) خذ نسخة احتياطية من قاعدة البيانات الحية وارفعها على بيئة اختبار ووجّه الفحص لهذا العنوان الاختباري فقط. 2) حدد معدل الطلبات في أداة الفحص بحيث لا يتجاوز 3 إلى 5 طلبات في الثانية. 3) قبل بدء الفحص تأكد من فتح لوحة تحكم تراقب استهلاك موارد الخادم لحظة بلحظة.

جربنا العام الماضي على البيئة الحية وفتحنا عبر نموذج الاتصال ثمانمائة تذكرة دعم فارغة خلال ساعتين. على كل حال تعطلت أنظمة الإشعارات بالكامل، لذا استثنوا حقول النماذج تمامًا من الفحص أو اعملوا على خادم اختبار.

عند تثبيت المحركات المجانية ومفتوحة المصدر خذ هذه الاحتياطات الثلاثة حتمًا: 1) اختر وضع جمع المعلومات والتحليل السلبي فقط، وتعطيل اختبارات الاستغلال أو تعطيل الخدمة. 2) أضف الروابط الخاصة بالنماذج التي ترسل بريدًا أو رسائل قصيرة إلى القائمة السوداء. 3) ابدأ الفحص خارج ساعات العمل، في منتصف الليل.

نحن في فريقنا المكون من ثمانية أفراد نجري فحصًا أسبوعيًا آليًا للمكتبات والتبعيات. عندما ضبطناها لأول مرة ظهرت لدينا 14 ثغرة حرجية في الحزم الخارجية المستخدمة. أغلقناها جميعًا خلال 3 أيام بمجرد تحديث الإصدارات، وقللنا المخاطر بنسبة كبيرة دون إرسال حزمة اختبار واحدة إلى الخادم.

عندما نثبت هذه الأدوات ونشغلها على الخادم، هل يتبقى في النظام أي ملف دائم أو برمجية عميلة تترك ثغرة أمنية، أم أن كل شيء يعود لسابق عهده بمجرد انتهاء الفحص؟

لا تلمس الجهاز الحي أبدًا. بالنسبة لقاعدة البرمجية شَغِّل أداة تحليل الكود المصدري الساكن مفتوحة المصدر على جهازك المحلي. وبالنسبة لنظام تشغيل الخادم تشغيل الأمر الذي يعرض تحديثات الأمان من مدير الحزم فقط يكفي. هكذا تحل نصف المشكلة بصفر مخاطرة.

أنت محق.

حدث معنا هذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

تشتت النقاش، دعني ألخصه. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

أخذت ملاحظة، شكرًا لك.

دعوني ألخص ما قيل حتى الآن. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

أنصح بعدم العجلة. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

صححوا لي إن أخطأت.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أوافق.

هناك نقطة لم أفهمها. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

المسألة ليست الرقم، بل الأساس الذي بُني عليه. بالتوفيق.