هل فحص الثغرات واختبار الاختراق نفس الشيء، وأيهما يكفينا؟

الفاحصات الآلية تطلع نتائج إيجابية كاذبة كثيرة. يعني ممكن تبلّغ عن حالة ما تشكّل خطر على نظامك وكأنها ثغرة حرجة. أو بالعكس، ممكن تتجاهل تمامًا عمليات معقدة مثل ثغرة تجاوز التحقق بخطوتين. فرق السعر بينهم هو جهد الخبير المبذول.

لو قبلت الفحص اللي قالوا عليه 12.000 TL، راح يرسلون لك مخرجات خام إنجليزية من 80 صفحة مأخوذة من برامج جاهزة في السوق. وعشان تفهم وتفلتر النتائج في ذاك التقرير راح تضطر تدفع لمبرمج ساعات طويلة.

إحنا وقعنا في هذا الخطأ قبل سنتين، أخذنا تقرير فحص لأنه رخيص. طلع في التقرير 15 ثغرة بإنذار أحمر، مبرمجنا فحصها واتضح إن 12 منها مجرد تحذيرات من بورتات مقفلة. بصراحة دخلنا في حالة ذعر على الفاضي، والفلوس راحت هدر.

عشان تفهم الفرق انظر لفرقين أساسيين: 1) فحص الثغرات يخلص بأدوات آلية خلال ساعات ويكتشف. 2) اختبار الاختراق يستمر أيام، ويحاول فعليًا استغلال الثغرة المكتشفة للوصول لقاعدة البيانات ويولّد أدلة.

الشهر الماضي عملنا اختبار اختراق لموقعنا. في صفحة الملف الشخصي للعضو اللي الفحص الآلي ما لقى فيها شي، انكشف خطأ صلاحيات يسمح لك تشوف عناوين وتفاصيل طلبات مستخدم ثاني. هذي الثغرة ما كان الفاحصون راح يلقونها أبدًا.

طبعًا تقدر تدفع 12.000 TL وتشتري زر 'صح' أخضر. تنام مرتاح بس لما تتسرب بيانات بطاقات الائتمان من موقعك ما راح تقدر تعرض تقرير الفحص وتشرح الوضع لعملائك.

باختصار؛ لو ميزانيتك محدودة جدًا، عمل فحص ولو بسيط خطوة، بس أمان الأكواد اللي كتبتها بنفسك ما يحله الفحص. إذا كنت في التجارة الإلكترونية، اختبار الاختراق بـ 55.000 TL مو مصروف، هو تكلفة تأمين مباشرة.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

صححوا لي إن أخطأت.

ما كُتب هنا يطابق تماماً ما عشناه. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أوافق.

إذا دخلنا في التفاصيل: انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

لو كنت مكانك، لسلك هذا المسار.

أود طرح سؤال ثم يعني الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

لو كنت مكانك، لسلك هذا المسار.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً. مثبت بالتجربة.

زالت حيرتي، شكراً لكم. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

صحيح بشكل عام، لكن هناك جزء ناقص. محاولة فعل هذا بمفردك هي أغلى الطرق.

ليس لدي خبرة في معنى فحص الثغرات، لذا أسأل. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.