أحدهما قدم عرضاً لفحص الثغرات والآخر لاختبار الاختراق، ما الفرق بينهما وأيهما نحتاج؟

فكروا فيها هكذا: فحص الثغرات مثل روبوت يمر بجانب المبنى وينظر من بعيد بالمنظار ليرى إن كانت النوافذ مفتوحة، وقد يظن الانعكاس نافذة مفتوحة أحياناً. أما اختبار الاختراق فهو نجار أقفال خبير يحاول فعلياً اقتحام المبنى. والعملاء المؤسسيون يطلبون دائماً رؤية تقرير النجار.

ارتكبنا نفس الخطأ قبل سنتين. أرسلنا تقرير فحص تلقائي بقيمة 1.200 دولار لصفقة بيع بـ 50.000 دولار. رفض مدير الأمان لدى العميل التقرير في 10 دقائق وقال "هذا ليس pentest، بل مخرجات ماسح عادي" وجمد العملية شهرين. وفي النهاية اضطررنا لعمل فحص كامل ودفعنا 6.000 دولار.

راجعوا ما هو مكتوب بالضبط في استبيان الأمان (security questionnaire) الخاص بعميلكم. إذا كان مكتوباً "penetration test report performed by an independent third party" فاستبعدوا عرض الـ 1.500 دولار مباشرة. تقديم فحص ثغرات للعميل سيكون مجرد مضيعة للوقت.

الشركة التي ستقوم بالفحص مقابل 1.500 دولار ستشغل على الأرجح أداة مفتوحة المصدر باتجاه خادمكم وتضع شعارها على ملف الـ PDF. يمكنكم القيام بهذه العملية بأنفسكم في ساعتين، فلا تدفعوا هذا المبلغ أبداً.

يخضع تقييم الموردين في إدارة المخاطر المؤسسية لقواعد صارمة. وبما أن برنامج الموارد البشرية لديكم سيحتوي على بيانات شخصية لموظفي العميل، فإن فرق الامتثال القانوني لن تعتمد كدليل تدقيق صالح سوى الملخص التنفيذي وتقرير المعالجة اللذين لا يوفرهما إلا اختبار الاختراق اليدوي.

فاوض الشركة اللي طالبة 6.500 دولار، حينزلوا للسعر لحدود 5.500 لكن بس خذ اختبار الاختراق بدون تردد، الخيار الثاني بيبينك هاوي قدام العميل.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

وأنتم تتفاوضون مع الشركة الثانية، تأكدوا إنكم تضيفون بند إعادة الاختبار (re-test) في العقد. بعد ما يخلص الفحص حيعطوكم قائمة بالثغرات، تسكرونها وبعدها تاخذون تقرير نهائي نظيف. هذا التقرير النظيف هو الوثيقة الأساسية اللي لازم تقدمونها للعميل.

أختلف معك في هذه النقطة. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

دعني أتركها كملاحظة، قد تكون مفيدة.

أوافق.

أتفق جزئياً، وأختلف جزئياً. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

ليس لدي خبرة في فحص الثغرات اختبار الاختراق، لذا أسأل. كل من يستعجل في فحص الثغرات اختبار الاختراق يتعثر في نفس النقطة.

لو كنت مكانك، لسلك هذا المسار.

لهذا النهج ثمن، لكنه لا يُناقش. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

هل يمكنك توضيح هذا أكثر؟ المسألة ليست الرقم، بل الأساس الذي بُني عليه.

الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً. صححوا لي إن أخطأت.

أعتقد أن الحديث بهذه القطعية في جانب فحص الثغرات اختبار الاختراق صعب. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. بصراحة لو كنت مكانك، لسلك هذا المسار.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

هذا كل شيء، أرجو المعذرة إذا أطالت.

شكرًا لكتابة هذا.

أنا مشروع صغير، دعوني أشرح من منظوري. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

بالتوفيق.

أوافق.