اكتشف الثغرات قبل أن يكتشفها غيرك

اختبار الاختراق هجوم مُصرَّح به ومحدد بوقت. نتفق أولاً على النطاق: أي التطبيقات، وأي البيئات، وأي الحسابات، وأي الأساليب ممنوعة. هذا الاتفاق، أي قواعد الاشتباك، يُوقَّع قبل إرسال أي طلب. وهو يحميك ويحمينا، ويسمح لنا باختبار بيئة الإنتاج بأمان حين تحتاج ذلك.

يجري الاختبار على مراحل. نرسم سطح الهجوم، ونختبر المصادقة والتحكم بالصلاحيات، ونبحث عن ثغرات الحقن وأخطاء المنطق، ونحاول ربط مشكلات صغيرة لتصبح مشكلة أكبر. الأدوات تكشف المشكلات الروتينية بسرعة، أما الوقت المهم فيقضيه شخص يقرأ سلوك تطبيقك ويسأل ما الذي لا ينبغي أن يُسمح به، مثل أن يطلع عميل على فاتورة عميل آخر بمجرد تغيير رقم في الطلب.

تستغرق أغلب اختبارات الويب وواجهات API من أسبوع إلى ثلاثة أسابيع بحسب حجم التطبيق وعدد أدوار المستخدمين. نفضّل نسخة تجريبية ببيانات واقعية مع فحص قصير لإعدادات الإنتاج. وتختار بين الصندوق الأسود (دون معلومات داخلية)، والرمادي (حسابات اختبار لكل دور)، والأبيض (اطلاع على الكود). الصندوق الرمادي يكشف عادة أكبر قدر مقابل الوقت المبذول.

كثير من المشترين السعوديين يطلبون الاختبار لأن تنظيماً أو عقد عميل يوجبه. تتوقع الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني أن تختبر الجهات وضعها الأمني وتراجعه، بما في ذلك إدارة الثغرات واختبار اختراق الأنظمة المكشوفة للإنترنت. نكتب النطاق والتقرير بحيث يصلحان دليلاً في جهود الجاهزية لهذه الضوابط، لكن التقرير دليل لتقييمك الداخلي وليس موافقة من أي جهة.

المؤسسات المالية العاملة وفق أطر البنك المركزي السعودي (ساما)، والشركات التي تخدمها، يُطلب منها عادة اختبار مستقل سنوي وإثبات إصلاح الثغرات عالية الخطورة. والجهات الحكومية وشبه الحكومية تطلب الأمر نفسه في المشتريات. نصيغ التقرير بملخص تنفيذي بالعربية والإنجليزية، ليقرأه عضو مجلس إدارة غير تقني أو مسؤول امتثال دون الحاجة إلى مترجم.

ومكان الاستضافة مهم أيضاً. قد تحتوي بيانات الاختبار ولقطات الشاشة والتقارير على بيانات شخصية يشملها نظام حماية البيانات الشخصية. نحتفظ بملفات العمل داخل المملكة إذا طلبت، ونشاركها عبر قناتك أنت، ونحذفها في تاريخ متفق عليه. أخبرنا مبكراً إن كان نظامك يحوي بيانات صحية أو مالية أو بيانات أطفال، لأننا سنبني خطة الاختبار على ذلك.

لا تختبر كل شيء مرة واحدة. اختبر ما يحمل خطراً. مسار دفع عام، أو واجهة API يستخدمها الشركاء، أو لوحة إدارة، أو تطبيق جوال يخزن رموز الدخول، كلها تستحق عمقاً أكبر. أما موقع تسويقي ثابت فلا. نساعدك على ترتيب أنظمتك بحسب ما سيكسبه المهاجم، ونسعّر العمق على هذا الأساس.

التوقيت لا يقل أهمية عن النطاق. أرخص لحظة لاكتشاف الخلل هي قبل الإطلاق حين يكون الإصلاح تعديلاً في الكود. وأغلاها بعد أن يكتشفه عميل أو جهة رقابية. الإيقاع المعقول هو اختبار كامل قبل الإطلاقات الكبيرة، ومرة في السنة للأنظمة الحرجة، واختبار موجّه أصغر بعد أي تغيير كبير في المصادقة أو المدفوعات أو الاستضافة.

والاختبار لا يغني عن التطوير الآمن. إذا تكررت الأنواع نفسها من الثغرات فالحل في المنبع: مراجعة الكود وفحص المكتبات واختبارات أمنية داخل مسار البناء. خدمة دورة التطوير الآمنة لدينا مصممة لذلك، ويسعدنا أن ننقل الأنماط من تقرير الاختبار مباشرة إليها.