استلمنا تقرير تقييم ثغرات مليان بدرجات الخطورة — كيف نحوّله لخطة عمل؟

درجات CVSS توضح مدى الخطورة العامة، لكنها لا تعكس وحدها احتمالية التهديد في العالم الواقعي. عند مراجعة نتائج التقرير، انظروا فيما إذا كان كود الاستغلال (exploit) متاحاً للعامة. فالثغرة التي يتوفر لها سكربت استغلال جاهز على الإنترنت، حتى لو كانت درجتها 7.5، تكون أخطر بكثير من ثغرة بدرجة 9.0 لكن استغلالها معقد جداً.

لا تشغلوا فريق التطوير بأكمله بالأمان في نفس الوقت. خصصوا مطوراً واحداً من الفريق هذا الأسبوع للتركيز فقط على الإصلاحات الأمنية، بينما يواصل الباقون العمل على خطة التطوير المعتادة. تحديث إصدارات المكتبات يحل نصف المشكلة عادة؛ حدثوا حزم الخوادم أولاً لتروا كم من النتائج ستُغلق تلقائياً.

العام الماضي ظهرت لدينا 52 نتيجة في تدقيق مماثل. وعندما فحصناها، وجدنا أن 18 منها كانت ناتجة فقط عن مكتبتين مفتوحتي المصدر في JavaScript أصبحتا قديمتين. استغرق منا تحديث هاتين المكتبتين وتنظيف التبعيات نصف يوم فقط، وأُغلقت ثلث نتائج التقرير تقريباً بضربة واحدة.

لإدارة هذه العملية، أنصحكم باتباع هذا الترتيب: 1) ضعوا الثغرات الحرجة والعالية في الخوادم المكشوفة للإنترنت ضمن أول sprint، 2) اجمعوا ثغرات التشفير ونقص الترويسات (headers) المتعلقة بالإعدادات في تذكرة واحدة لفريق DevOps، 3) انقلوا الثغرات المتوسطة والمنخفضة المتبقية إلى قائمة الديون التقنية ووزعوها بواقع واحدة أو اثنتين في كل دورة تطوير.

سنجري فحصاً مماثلاً قريباً، لكن ما هو بالضبط الإيجابي الكاذب (false positive) الذي تتحدثون عنه؟ يعني هل يمكن أن تظهر ثغرة في تقرير شركة الأمن بينما هي غير موجودة في نظامنا أصلاً؟

أحياناً تكتفي شركات الأمن بتشغيل أداة الفحص التلقائي وتسليم ملف PDF خام من 70 صفحة للعميل مباشرة. إذا لم تتضمن نتائج التقرير إثباتات استغلال مدعمة بلقطات شاشة، فمن حقكم أن تطلبوا من الشركة مراجعة التقرير يدوياً والتحقق منه؛ فدفع 4.800 USD لا ينبغي أن يكون مجرد ثمن للضغط على زر.

الجميع يصاب بالذعر عند استلام التقرير الأول، وهذا طبيعي جداً. تلك القوائم تبدو مخيفة في العادة لأن حتى أبسط تسريب للمعلومات يجعل التقرير طويلاً. ركزوا على البنود الـ 6 الحرجة وقوموا بإغلاقها، واعرضوا خطتكم على العميل؛ فالشركات الكبرى يهمها كيف تديرون هذه الثغرات أكثر من وجود الثغرات نفسها.

باختصار؛ قبل أن تصابوا بالذعر، استبعدوا الإيجابيات الكاذبة، وأغلقوا الثغرات الحرجة المكشوفة للإنترنت فوراً عبر التحديثات، وأرسلوا جدولاً زمنياً لخطة العمل لمدة 30 يوماً لعميلكم المؤسسي وانتظروا الفحص الثاني.

أحسنت في فتح هذا العنوان. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أخذت ملاحظة، شكرًا لك.

يجب أن نسير بالترتيب. الناس يدافعون عن العادات وليس العمليات... المقاومة تأتي من هناك.

دعني أتركها كملاحظة، قد تكون مفيدة.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

موضوع في الوقت المناسب تمامًا.

لدي رأي مختلف. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. أتمنى أن يفيدك هذا.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

صححوا لي إن أخطأت.

أكتب هذا حتى لا تكرروا نفس الخطأ. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أكتب هذا حتى لا تكرروا نفس الخطأ. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

دعني أتركها كملاحظة، قد تكون مفيدة.