هل من المنطقي شراء أدوات فحص الثغرات أم الحصول عليها كخدمة من الخارج؟

اشترينا ترخيصًا قبل عامين بـ 4.800 دولار وكان لدينا 60 نقطة نهاية. في الفحص الأول أعطى 340 نتيجة حرجة وعالية. قضى اثنان من مطورينا الكبار ثلاثة أسابيع في محاولة فهم هذه المخرجات فقط، وتبيّن أن أكثر من نصفها إنذارات لا أساس لها ناتجة عن الإعدادات. كلفة الترخيص كانت 4.800 دولار لكن جهد المطورين كلفنا 10.000 دولار على الأقل.

كونوا حذرين عند الحصول على الخدمة من الخارج. كثير من شركات الاستشارات أيضًا تشغّل في الحقيقة تلك الأداة المؤسسية التي تفكرون في شرائها، وتطبع شعارها على مخرجات PDF وتبيعها لكم. إذا ستأخذون خدمة، فأدرجوا في العقد بند التحقق اليدوي وتصفية النتائج الخاطئة، وإلا ستدفعون بلا طائل.

إذا اشتريتم الأداة فسيتعين عليكم إدارة الفرق بين الفحص الموثّق (credentialed) وفحص الشبكة من الخارج. هل ستجرون تركيبًا قائمًا على وكيل، أم ستفحصون عناوين IP الخارجية فقط؟ إذا لم يوجد خبير داخلي، فحتى إعداد الوكلاء وتخويلهم قد يخلق ثغرة أمنية منفصلة.

عند اتخاذ القرار انظروا إلى ثلاث نقاط: 1) هل لدى فريقكم وقت لتفسير درجات CVSS وحالة قابلية استغلال الثغرات؟ 2) هل يشترط عملاؤكم توقيع مدقق طرف ثالث مستقل؟ 3) هل ستجرون الفحص 4 مرات فقط في السنة أم ستربطونه بعمليات النشر المستمر؟ من أجل 4 مرات في السنة، الترخيص الداخلي لا يستحق العناء.

نحن أيضًا وقعنا في نفس الحيرة. يعني اشترينا الأداة وفحصنا بحماس في الشهر الأول ثم لم ينظر إليها أحد بعد ذلك وامتلأت لوحة التحكم بإنذارات حمراء ثم إذا لم يكن لديكم كوادر داخلية فالحصول على الخدمة بالتأكيد يريح البال أكثر.

لو ثبّتنا أدوات فحص الثغرات مفتوحة المصدر والمجانية على سيرفرنا الخاص، ألا تحقق معيار التقارير المؤسسية الذي يطلبه العملاء؟ ما هو الفرق الجوهري بالضبط؟

ويكون هذا ردًا على سؤال الأخ المبتدئ أيضًا: الأدوات مفتوحة المصدر جيدة للكشف التقني لكن العملاء المؤسسيين عادة يبحثون في أسفل التقرير عن التوافق مع المعايير المعروفة والتوقيع المؤسسي. في عمليات البيع B2B ينظر المدققون إلى المنهجية التي أُنتج بها التقرير. تقرير غير معتمد تنتجه بنفسك قد يسبب تعثرًا على طاولة البيع.

اسألوا الشركة التي أخذتم منها العرض هل يشمل نطاق الخدمة الربع سنوي جلسة تصحيح (remediation call) لمدة ساعة. بدلًا من رمي نتيجة الفحص أمام مطوريكم، استماعهم من المستشار لكيفية إغلاق الثغرات الثلاث ذات الأولوية سيسرّع عملكم بشكل لا يُصدق.

سأجرب ذلك.

تشتت النقاش، دعني ألخصه. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أنا أيضًا أوافق على هذا الرأي. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أود طرح سؤال ويعني لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

هذا كل شيء، أرجو المعذرة إذا أطالت.

عندنا نفس المشكلة.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. محاولة فعل هذا بمفردك هي أغلى الطرق.

دعني أتركها كملاحظة، قد تكون مفيدة.

عشنا تقريباً نفس التجربة العام الماضي. كل من يستعجل في أدوات فحص الثغرات يتعثر في نفس النقطة.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. دعني أتركها كملاحظة، قد تكون مفيدة.

ليس لدي خبرة في أدوات فحص الثغرات، لذا أسأل. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

دعني أتركها كملاحظة، قد تكون مفيدة.

زالت حيرتي، شكراً لكم.

أنا أيضًا متحمس لمعرفة ذلك. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.