طرق تحليل الثغرات: أيها يكفي لشركة صغيرة قبل أول اختبار اختراق؟

الفاحصات الآلية تلتقط SQL Injection أو المنافذ المفتوحة لكنها لا تجيب على سؤال 'هل يستطيع المستخدم A رؤية فاتورة المستخدم B'. أكبر خطر في برمجيات اللوجستيك B2B هو تجاوز صلاحيات تعدد المستأجرين (multi-tenancy). وهذا لا يُفهم إلا بالاختبار اليدوي.

ماذا يقول بالضبط استبيان الأمان الذي أرسله عميلكم؟ أحيانًا يقولون فقط 'هل يتم فحص الثغرات بانتظام'، وأحيانًا يشترطون صراحة شهادة معتمدة من طرف ثالث مثل 'Penetrationstest nach BSI' أو ما يشبه ذلك من المعايير. لا تصرفوا ميزانية قبل توضيح الشروط.

نحن مع فريقنا المكوّن من 12 شخصًا دفعنا 3.200 EUR في التدقيق الأول وحصلنا على اختبار هجين لتطبيق الويب لمدة يومين. أغلقنا الثغرتين عاليتي الخطورة الواردتين في التقرير خلال أسبوع وحصلنا على تقرير تحقق (re-test) ووافق العميل على العملية. 9.000 EUR مبلغ زائد بالتأكيد في البداية.

ضيّقوا النطاق (Scope). لا تعطوا الوكالة كامل بنيتكم السحابية، بل فقط تطبيق الويب الذي يرسل إليه العميل بياناته ونقاط API. عندما يضيق النطاق تنخفض تكلفة اليوم ومبلغ العرض إلى النصف.

إذا دفعت 2.500 يورو وحصلت فقط على مخرجات فحص آلي فسترمي أموالك في القمامة... على كل حال يزيّنون مخرجات أداة مفتوحة المصدر من صفحتين ويرسلونها كتقرير، ومدقق العميل المؤسسي يفهم هذا فورًا ويرفضه.

لا تتعلقوا بقول الوكالات 'مراجعة البنية إلزامية'. طبعًا يريدون بيع الباقة الأوسع نطاقًا. لكن التدقيق الكامل لبنية شركة من 10 أشخاص يستغرق أسابيع ويعطّل عملكم الأساسي في تطوير المنتج.

تأكدوا إلزاميًا في العرض الذي ستأخذونه من تضمين خدمة 'Re-test' (إعادة الاختبار). بعد إغلاق الثغرات الحرجة الواردة في التقرير، يجب على شركة التدقيق تقديم تقرير ملخص تنفيذي نهائي تشير فيه إلى أن هذه الثغرات أُغلقت.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

مثبت بالتجربة.

لا تتجاهل شيئاً: إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر. أتمنى أن يفيدك هذا.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

عندنا نفس المشكلة. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

تم الحفظ. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

هذا كل شيء، أرجو المعذرة إذا أطالت.

تم الحفظ.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك لكن يعني إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هناك شيء يجب الانتباه إليه. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

عانيت من نفس الشيء.

شكرًا جزيلاً، سأجربها اليوم.