فحصت خادمي بأداة فحص الثغرات — هل الثغرات المكتشفة تمثل خطرًا حقيقيًا؟

ثغرات إصدار الحزم عادةً ما تكون ناتجة عن تصحيحات أُدرجت بشكل خلفي. توزيعات لينكس تطبّق التصحيح الأمني دون تغيير رقم الإصدار الرئيسي للحزمة، لكن أداة الفحص تقرأ فقط معلومات البانر فتظن أن هناك ثغرة. تحقق من سجل التغييرات في مدير الحزم لديك للتأكد مما إذا كان رقم النشرة المعنية قد تم إغلاقه أم لا.

أول شيء يجب أن تفعله هو تشديد قواعد جدار الحماية. على السيرفر يجب أن تبقى فقط المنفذان 80 و443 مفتوحين للخارج. إذا ربطت جميع خدمات الإدارة بما فيها SSH بالشبكة المحلية أو بعنوان IP الثابت لمكتبك، فستختفي نصف التحذيرات في التقرير على الأقل خلال ساعة.

في منصتنا ظهرت 62 ثغرة في الفحص الأول، جلسنا مع مطوّرنا يومين نفحصها. من بين 6 ثغرات حرجة، تبيّن أن 5 منها مجرد إنذارات كاذبة علقت فقط على فحص الإصدار. أما الثغرة الحرجة المتبقية فكانت منفذ قاعدة بيانات اختبارية متروكاً مفتوحاً للخارج. بمجرد إغلاقه تحسّنت النتيجة فوراً.

هل فحصت مع المصادقة أم شغّلت الفحص فقط عبر IP الخارجي؟ إذا فحصت من الخارج دون إعطاء بيانات اعتماد ومع ذلك كشفت إصدارات الحزم الداخلية، فهذا يعني أن بانرات خدماتك تسرّب معلومات أكثر من اللازم للخارج؛ أخفِ هذه الترويسات أولاً.

أدوات الفحص الآلي هي الطريقة الأكثر استخداماً من شركات الاستشارات لتضخيم التقارير. يطبعون صفحات من الرسوم البيانية الملوّنة ويخلقون مناخاً من الخوف. المهاجم الحقيقي لا يهاجم كل ما تشير إليه الأداة الآلية؛ بل ينظر إلى نقص ضوابط الصلاحيات ومنطق API. لا تُصِب بالذعر.

لا تقسُ على نفسك، في كل سيرفر تظهر جداول مشابهة في الفحص الأول. أولاً حدّث مجموعات التشفير الآمنة عبر أدوات اختبار مجانية على الإنترنت تفحص إعدادات SSL لخادم الويب لديك. ثم أعد تشغيل نظام التشغيل وكرّر الفحص، وستطمئن عندما ترى النتيجة.

عندنا أيضاً حدث نفس الذعر. على كل حال بحثنا عن أرقام CVE واحداً واحداً ونظرنا هل نُشر كود استغلال فعلاً أم لا. معظمها كانت أشياء تتطلب صلاحيات مستخدم محلي، يعني عمل شخص تسلل أصلاً إلى السيرفر. أغلقوا المنافذ الأساسية وأجّلوا الباقي مع الوقت.

عند ترتيب أولويات النتائج لا تثق ثقة عمياء بدرجة CVSS. أولويتك يجب أن تكون دائماً للثغرات التي يمكن تفعيلها عبر الشبكة دون مصادقة. إذا كانت الثغرة تتطلب حساب مستخدم محلي على السيرفر أو كان المنفذ المفتوح مغلقاً أمام العالم الخارجي، فحتى لو كانت حرجة فإن أولويتها التشغيلية منخفضة.

ما كُتب هنا يطابق تماماً ما عشناه. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ. لو كنت مكانك، لسلك هذا المسار.

بالتأكيد. وإذا أردت إضافة شيء: الخطأ المرتكب من جانب أداة فحص الثغرات قابل للإصلاح عادةً، لكنه مكلف.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

تشتت النقاش، دعني ألخصه. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنا في نفس الوضع، لذلك أسأل ثم طيب بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة. مثبت بالتجربة.

دعني أترك تنبيهًا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

صحيح.

أتابع الموضوع. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

عندنا نفس المشكلة.

أحسنت، بارك الله في جهدك. كل من يستعجل في أداة فحص الثغرات يتعثر في نفس النقطة.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. بالتوفيق.

سأجرب ذلك.