فحص الثغرات موجود في عرض السعر لكن لا أفهمه: ما هو وهل يكفي أم أن اختبار الاختراق ضروري؟

انظر للفحص بهذه الطريقة: عندما يتجول حارس أمن حول المبنى ويتأكد من إغلاق جميع الأبواب والنوافذ من الخارج، فهذا هو فحص الثغرات. أما الـ pentest فهو محاولته الدخول من نافذة غير مقفلة وفتح الخزنة الموجودة على المكتب. الفحص الموجود في العرض سيجري غالباً فحصاً للمنافذ والخدمات مقارنة بقاعدة بيانات جاهزة.

نحن في موقعنا لتوزيع الجملة في روما بدأنا العام الماضي فحص ثغرات بتكلفة 1.100 EUR. في التقرير الأول ظهرت 34 ثغرة تماماً، 6 منها كانت حرجة وسببها إضافة قديمة في الخادم. قمنا بالتحديثات، وفي الربع التالي انخفض عدد الثغرات الحرجة إلى صفر. كان مفيداً جداً بالنسبة لنا.

قبل قبول العرض، اسأل الشركة: "هل ستسلمونني التقرير كملف PDF خام فقط، أم أن العرض يشمل استشارة لمدة ساعة مع مسؤول الـ IT لدينا لتحديد أولويات الثغرات التي يجب إغلاقها؟" إذا كانوا سيرسلون تقريراً آلياً ويمضون، فلا تدفع هذا المبلغ.

فحوصات الثغرات الآلية تُنتج الكثير من الإنذارات الكاذبة (false positive). فقد تُظهر خطأ بسيطاً جداً في إعدادات الترويسة لا يشكل أي خطر على أنه خطر داهم. وإذا لم يكن في فريقكم من يقرأ التقرير ويميز بين الحقيقي وغير المهم، فسيظل التقرير بلا فائدة في أيديكم.

برأيي إذا كنتم لا تحتفظون ببيانات البطاقات في البوابة فالـ pentest تكلفة زائدة حالياً لكن الفحص الدوري وعدم إهمال تحديثات السيرفر ينقذ تسعين بالمئة من الشركات الصغيرة أصلاً.

وفقاً للوائح حماية البيانات في إيطاليا والاتحاد الأوروبي، يقع على عاتقكم التزام باتخاذ تدابير تقنية لضمان أمن البيانات التجارية للعملاء. ويعد إجراء فحص دوري للثغرات وأرشفة التقارير مستنداً رسمياً صالحاً يثبت جهودكم الأمنية الاستباقية في حال حدوث أي تدقيق على البيانات.

المخططات الفنية المستضافة على بوابتكم تخصكم أم هي تصاميم خاصة بالعملاء؟ إذا كنتم تستضيفون تصاميم مسجلة تعد أسراراً تجارية لعملائكم، فقد يطلب أحدهم بموجب العقد اختبار اختراق مرة سنوياً، هل راجعتم عقودكم؟

لا داعي للحيرة، اختر باقة الـ 1.200 EUR دون الضغط على ميزانيتك، ولكن اتفق مع الفريق نفسه على سد الثغرات الواردة في التقرير. دعهم يرتبون النظام ويصلحونه في السنة الأولى، وإذا توسع العمل العام القادم فكر في الـ pentest.

هذا العنوان مؤرشف.

عندنا نفس المشكلة.

عشنا تقريباً نفس التجربة العام الماضي. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

هل تعتقد أن هذا يعمل لجميع الأحجام؟ كل من يستعجل في ما هو فحص الثغرات يتعثر في نفس النقطة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

صحيح.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. بصراحة لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

سأكتب ما حدث لي، ربما يفيدكم. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أختلف معك في هذه النقطة. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بالتوفيق.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات والخطأ المرتكب من جانب ما هو فحص الثغرات قابل للإصلاح عادةً، لكنه مكلف.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.