فحص الثغرات الأمنية في الشركات الصغيرة: كيف نختار الأدوات وكيف نقرأ التقارير إن لم نكن متخصصين؟

إذا كنت تستخدم نظام إدارة محتوى جاهز على جانب الويب، فاقسم الفحص إلى قسمين: فحص المنافذ الخارجية وفحص التطبيق. إذا ذكر التقرير أن قواعد البيانات أو منافذ الإدارة مفتوحة للعالم الخارجي، فقم بتحديد هذه المنافذ في جدار حماية السيرفر لتكون متاحة فقط لعنوان IP الخاص بمكتبك، وستحل المشكلة فوراً.

مررنا بتدقيق مماثل في مستودعنا في بولونيا. وحتى لا ندفع 2.500 EUR لخبير خارجي، استخدمنا فاحصاً سحابياً ندفع له 80 EUR شهرياً. أظهر التقرير الأول 42 ثغرة. وعندما فحصها أحد معارفنا ممن يفهمون في الأمان، تبين أن 39 منها كانت أموراً غير مهمة، مثل عدم إخفاء معلومات إصدار السيرفر. استغرق إغلاق الثغرات الـ 3 الحقيقية ساعتين فقط.

التقارير التي تنتجها الفاحصات التلقائية قد لا تكون مقبولة في كل تدقيق تقوم به الشركات الكبيرة. هل ما يطلبه الطرف الآخر هو اختبار اختراق رسمي أم مجرد مخرجات فحص ثغرات قياسي؟ إن لم توضح الشروط، فقد لا يقبلون وثيقة الفحص التي أخذتها بـ 100 EUR ويفرضون عليك تقرير خبير معتمد.

قبل شراء أداة مدفوعة فوراً، افتح تذكرة دعم لدى شركة الاستضافة الحالية لديك. معظم شركات الاستضافة يقدمون بالفعل تقرير فحص أساسي للأمان والمنافذ مجاناً عبر لوحات التحكم الخاصة بهم. وهذه الوثيقة تكون بداية كافية للعديد من المدققين.

عندما نشغل هذه الأدوات ضد موقعنا الإلكتروني، هل هناك خطر من تعطل الموقع أو مسح الطلبات من قاعدة البيانات؟ نخشى بدء الفحص أثناء تلقي الطلبات مباشرة.

لا داعي للقلق، فاحصات الثغرات البحتة لا تهاجم نظامك، بل تتحقق فقط مما إذا كانت هناك أبواب مفتوحة عن طريق تجربة المقابض. ومع ذلك، وتجنباً لإجهاد حركة البيانات، فإن تشغيل الفحص خارج ساعات العمل، في منتصف الليل مثلاً، يكون دائماً الخيار الأكثر أماناً.

إذا لم تكن لديك معرفة تقنية، قم بتصفية التقرير الوارد عبر هذه الخطوات الـ 3: 1) حدد فقط البنود ذات الحالة الحرجة والعالية. 2) استبعد السطور التي تحتوي في وصفها على "كود الاستغلال متوفر". 3) أرسل هذه القائمة مباشرة إلى الدعم الفني للشركة التي استأجرت منها السيرفر واطلب منهم إغلاق هذه المنافذ.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

لا تدفع 2.000 EUR للمستشار؛ خذ التحذيرات الحمراء من التقرير الملخص في الفاحص السحابي ومررها لشركة السيرفر وتابع من هناك.

دعوني ألخص ما قيل حتى الآن ثم يعني لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

أتمنى أن يفيدك هذا.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

يجب أن نسير بالترتيب... طيب المسألة ليست الرقم، بل الأساس الذي بُني عليه.

وكيف حللتم هذه النقطة؟ تقرير الفحص الآلي ليس نفس اختبار الاختراق.

أتمنى أن يفيدك هذا.

إذا لم أخطئ الفهم، فأنت تقول: محاولة فعل هذا بمفردك هي أغلى الطرق.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هذا العنوان مؤرشف. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

سأجرب ذلك.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

صححوا لي إن أخطأت.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.