اختبار الاختراق: ما هو فعلا وكيف تقرأ تقريره

الفرق عن فحص الثغرات

وكلاهما ضروري: الفحص الدوري يكشف ما استجد، والاختبار البشري يكشف منطق الأعمال المعطوب الذي لا تراه الأدوات.

أنواع الاختبار

• صندوق أسود — المختبر لا يعرف شيئا، يحاكي مهاجما خارجيا. واقعي لكنه قد يهدر وقتا في الاستكشاف.
• صندوق رمادي — يعطى حسابا وصلاحية مستخدم عادي. الأكثر جدوى عمليا لأغلب التطبيقات.
• صندوق أبيض — يعطى الكود والوثائق. الأعمق تغطية والأكفأ استعمالا للوقت.
• الهندسة الاجتماعية — اختبار الموظفين لا الأنظمة، ويحتاج ضوابط أخلاقية وتفويضا خاصا.

قبل الاختبار

1. تفويض مكتوب موقع من صاحب الصلاحية — بدونه العمل غير قانوني.
2. نطاق محدد بدقة: أي أنظمة وأي عناوين وأي أوقات.
3. ما هو ممنوع صراحة: هجمات الحرمان من الخدمة، وتعديل البيانات.
4. جهة اتصال طوارئ من الطرفين إن حدث ما لم يتوقع.
5. اتفاق سرية يغطي ما سيطلع عليه المختبر.

قراءة التقرير

التقرير الجيد لا يقاس بعدد الثغرات. اقرأ الملخص التنفيذي أولا: ما أخطر ما وجد وما أثره على العمل. ثم لكل ثغرة: كيف استغلت خطوة بخطوة، وما البيانات التي كان يمكن الوصول إليها، وما الإصلاح المقترح تحديدا.

والثغرة بلا إثبات استغلال ولا خطوات إعادة إنتاج ليست نتيجة بل تخمين.

بعد التقرير

رتب الإصلاح بالأثر الفعلي لا بتصنيف الخطورة المجرد: ثغرة متوسطة في نظام يحمل بيانات العملاء أهم من عالية في نظام تجريبي. وحدد مالكا وتاريخا لكل بند، ثم أعد الاختبار للتحقق من الإصلاح — فالإصلاح غير المتحقق منه يترك المشكلة قائمة بشعور زائف بالأمان.

أسئلة شائعة

كم مرة نجري اختبار اختراق؟

سنويا كحد أدنى للأنظمة المهمة، وبعد أي تغيير معماري كبير أو إطلاق نظام جديد. ويكمله فحص ثغرات دوري أكثر تكرارا.

هل يعطل الاختبار أنظمتنا؟

الاختبار المحترف يصمم لتقليل الأثر ويستثني الهجمات المعطلة صراحة. ويمكن تنفيذه على بيئة مطابقة للإنتاج لتقليل المخاطرة، مع ملاحظة أن النتائج قد تختلف قليلا عن البيئة الحقيقية.

ماذا لو لم يجد المختبر شيئا؟

نتيجة نظيفة لا تعني الأمان المطلق بل أن هذه المحاولة بهذا النطاق وهذا الوقت لم تجد. واقرأ ما اختبر بالضبط وما استثني، فالتقرير الذي لا يذكر حدوده تقرير ناقص.