التكليف باختبار اختراق يستحق ثمنه
نحدد نطاق الاختبار، ونساعدك في اختيار مزود مؤهل، ونقرأ التقرير من جانبك، ونتابع كل ملاحظة حتى يعيد المزود اختبارها.
- من ينفذ الاختبار
- مزود تتعاقد معه مباشرة
- المزودون في المقارنة
- ثلاثة تختارهم أنت
- في المملكة
- يُتحقق من المزود في قائمة NCA العامة للمزودين المسجلين
- خارج المملكة
- مزود مرخص أو مقبول حيث تعمل
- طريقة التقديم
- عن بعد، وفي الموقع داخل المملكة عند الحاجة
لا يكون اختبار الاختراق أفضل من نطاقه. نكتب النطاق وقواعد الاشتباك، ونساعدك في مقارنة المزودين على أساس المنهجية لا السعر، ونقرأ التقرير معك، ونحوّل الملاحظات إلى خطة معالجة لها مسؤولون وموعد لإعادة الاختبار. أما الاختبار نفسه فينفذه مزود مؤهل تتعاقد معه مباشرة.
- 01 المكالمة
- 02 النطاق
- 03 القراءة
- 04 السجل
- 05 الوثائق
- 06 الخطة
موقع التكليف باختبار اختراق يستحق ثمنه هو الخطوة 4 من كيف يسير التعاقد. تستلم السجل.
كيف تُهدر اختبارات الاختراق
نادرًا ما يضيع المال أثناء الاختبار. إنه يضيع قبل أن يبدأ، وبعد أن يصل التقرير.
قبل الاختبار: تكتب النطاقَ الشركةُ التي تبيع الاختبار، فيغطي ما تبيعه. «اختبار خارجي، ثلاثة عناوين IP» بينما تعمل بوابة العملاء على خادم آخر. تصل حسابات الاختبار في اليوم الثالث من فترة مدتها خمسة أيام. وتعمل بيئة ما قبل الإنتاج بإصدار أقدم من بيئة الإنتاج. ولم يُبلغ أحدٌ مزودَ الاستضافة، وقد تشترط شروطه إبلاغه.
بعد الاختبار: يسرد التقرير ستين ملاحظة، خمسون منها معلوماتية، مرتبة بحسب درجة الخطورة التي حددها منفذ الاختبار لا بحسب ما يهمك. ويُعلن إنجاز المعالجات في رسالة بريد إلكتروني. ولا يعيد أحد الاختبار. ويكرر تقرير العام المقبل تقرير هذا العام.
وأحيانًا يكون ما يُباع على أنه اختبار اختراق فحصًا آليًا أُضيفت إليه صفحة غلاف. وطلب نموذج تقرير قبل التوقيع يكشف ذلك.
ما نقوم به في كل مرحلة
تسع مراحل، من السبب الذي يدفعك إلى الاختبار حتى يعيد المزود الاختبار. المزود ينفذ الاختبار، أما العمل قبل فترة الاختبار وبعدها فهو عملنا.
| المرحلة | ما نقوم به | ما يبقى في يدك |
|---|---|---|
| السؤال | تحديد سبب الاختبار بدقة: متطلب من عميل، أو ضابط من ضوابط ECC، أو إصدار جديد، أو شركة تأمين. | هدف في صفحة واحدة |
| النطاق | تدوين الأهداف بدقة، ونقطة انطلاق منفذ الاختبار، والحسابات، والبيئة، والاستثناءات. | وثيقة النطاق |
| قواعد الاشتباك | فترات الاختبار، وعناوين المصدر، والإجراءات المحظورة، والتعامل مع البيانات، وشروط الإيقاف، وجهات الاتصال لدى الطرفين. | قواعد الاشتباك |
| الاختيار | إرسال النطاق إلى ثلاثة مزودين تختارهم، ثم مقارنة الردود من حيث المنهجية والأشخاص ونماذج التقارير. | مصفوفة المقارنة |
| التحضير | إنشاء الحسابات وتجربتها، وإبلاغ مزود الاستضافة حيث تشترط شروطه ذلك، والتأكد من النسخ الاحتياطية، وإحاطة جهات الاتصال. | قائمة التحقق من الجاهزية للاختبار |
| أثناء الاختبار | ينفذ المزود الاختبار. نجيب عن أسئلته حول النطاق، وننقل أي ملاحظة حرجة إلى مسؤول النظام لديك في اليوم نفسه. | سجل الاتصالات |
| القراءة | مراجعة التقرير معك ومع فريق تقنية المعلومات لديك، وإعادة تقدير الخطورة في ضوء سياقك، وتجميع الملاحظات بحسب السبب. | سجل الملاحظات |
| المعالجة | مسؤولون وتواريخ لكل سبب، لا لكل ملاحظة. | خطة المعالجة |
| إعادة الاختبار | يعيد المزود اختبار البنود التي عولجت، ونحدّث السجل بناءً على تأكيده. | سجل الإغلاق، وتأكيد إعادة الاختبار الصادر عن المزود |
الملف الذي يبقى في يدك
هدف الاختبار ووثيقة النطاق
جملة واحدة عن سبب الاختبار، ثم كل هدف مكتوبًا بدقة، ونقطة انطلاق منفذ الاختبار، والحسابات، والبيئة، وكل استثناء مع سببه.
قواعد الاشتباك
فترات الاختبار مع المنطقة الزمنية، وعناوين المصدر، والإجراءات المحظورة، والتعامل مع البيانات، وشروط الإيقاف، وجهات اتصال محددة بالاسم، جاهزة لتوقيع الطرفين.
مصفوفة مقارنة المزودين
ثلاثة عروض جنبًا إلى جنب من حيث المنهجية، والأشخاص الذين سينفذون الاختبار، وعدد الأيام لكل هدف، ونموذج تقرير محجوب البيانات، والتعامل مع البيانات، وشروط إعادة الاختبار. والسعر هو العمود الأخير.
قائمة التحقق من الجاهزية للاختبار
إنشاء الحسابات وتجربتها، وإبلاغ مزود الاستضافة حيث يلزم، والتأكد من النسخ الاحتياطية، وإحاطة جهات الاتصال، وكل ذلك قبل أن تبدأ فترة الاختبار.
سجل الملاحظات
كل ملاحظة مع مسؤول النظام المعني ودرجة الخطورة التي حددها منفذ الاختبار، وبجانبها درجة خطورة أُعيد تقديرها في ضوء أعمالك. قد تكون الملاحظة الحرجة على خادم مختبر لا بيانات فيه أقل أهمية من ملاحظة متوسطة على الصفحة التي تستقبل المدفوعات.
خطة المعالجة
مكتوبة على أساس الأسباب، لكل سبب مسؤول وتاريخ. أربعة عشر تصحيحًا غير مثبت هي ملاحظة واحدة عن عملية تثبيت التصحيحات، وليست أربع عشرة مهمة.
سجل الإغلاق
كل سبب يُسجل مغلقًا استنادًا إلى تأكيد إعادة الاختبار الصادر عن المزود، فيجتمع ما اكتُشف وما عولج وما أُعيد اختباره في مكان واحد.
مقارنة المزودين بما يغيّر النتيجة
خمسة أمور تغيّر نتيجة الاختبار، لذلك تُقارن أولًا. ويأتي السعر بعدها، لأن العرض الأرخص بنصف أيام الاختبار يكون غالبًا نصف اختبار.
- 01
المنهجية
كم من الاختبار يُنفذ يدويًا، وأي منهجية منشورة يتبعها، مثل OWASP Web Security Testing Guide أو NIST SP 800-115. نسأل كل مزود كيف سيختبر ميزة فعلية من ميزات نظامك.
- 02
الأشخاص
من سينفذ الاختبار فعلًا، وما المؤهلات التي يحملها. نادرًا ما يكون موظف المبيعات هو من يجلس إلى لوحة المفاتيح.
- 03
نموذج تقرير محجوب البيانات
من تعاقد حقيقي. يخبرك بأكثر مما يخبرك به العرض، وفيه ينكشف الفحص الآلي الذي أُضيفت إليه صفحة غلاف.
- 04
التعامل مع البيانات، وشروط إعادة الاختبار، والملاحظات الحرجة
أين تُحفظ لقطات الشاشة التي تظهر فيها بياناتك ومتى تُحذف، وهل إعادة الاختبار مشمولة، وبأي سرعة يتصلون بك بشأن أمر خطير.
- 05
الوضع النظامي
في المملكة، ينبغي أن يكون المزود مدرجًا في قائمة NCA العامة للمزودين المسجلين. تحقق من القائمة وقت التعاقد. وفي غيرها، يجب أن يكون المزود مرخصًا أو مقبولًا في ولايتك القضائية، وتعتمد بعض الأسواق برامج اعتماد مثل CREST.
- 06
السعر
يُقارن أخيرًا، ومقابل عدد الأيام لكل هدف. العرضان للنطاق نفسه بسعرين متباعدين جدًا يختلفان عادة في عدد الأيام، والأيام الأقل تعني اختبار جزء أقل من تطبيقك.
أول تقرير لمراجعة يطلبها عميل
شركة برمجيات تبيع منصة ويب لعملاء مؤسسيين في المملكة العربية السعودية والإمارات. تطلب المراجعة الأمنية للموردين لدى عميل جديد تقرير اختبار اختراق لم يمضِ على إصداره عام، ولم يسبق أن كان لدى الشركة تقرير كهذا.
السؤال الحقيقي لدى العميل هو هل يمكن الوصول إلى بياناته من مستأجرين آخرين أو من الإنترنت. وهذا يشير إلى اختبار لتطبيق الويب وواجهة API بعد تسجيل الدخول، إضافة إلى فحص لإعدادات السحابة. يسرد النطاق رابط التطبيق، وإصدار واجهة API، وحسابين لكل دور في مستأجرَين اختباريين منفصلين، وبيئة ما قبل الإنتاج محدّثة من بيئة الإنتاج مع إخفاء البيانات الشخصية. اختبار حجب الخدمة محظور، وتكون فترة الاختبار ليلًا.
يتسلم النطاق ثلاثة مزودين تختارهم الشركة. يتبين أن أحد العروض آلي في معظمه، ويؤكد ذلك نموذج تقريره، فتتعاقد الشركة مع مزود آخر.
تتجمع ملاحظات التقرير في سببين: غياب التحقق من الصلاحيات في إحدى وحدات واجهة API، وترويسات الأمان التي لم تُضبط قط. تسمّي خطة المعالجة مطورَين اثنين وتحدد تاريخًا، ويعيد المزود الاختبار. وفي يد الشركة النطاق، وقواعد الاشتباك، ومصفوفة المقارنة، وخطة المعالجة، وسجل الإغلاق، وتأكيد إعادة الاختبار الصادر عن المزود، وهذا ما طلب عميلها الاطلاع عليه.
ابدأ بالسؤال، ثم اختر الاختبار
يطلب المشترون «اختبار اختراق». والسؤال المفيد هو ما الذي تحتاج إلى معرفته، وكل اختبار يجيب عن سؤال مختلف. ينفذ كل اختبار منها مزود أو فريق تقنية المعلومات لديك، ودورنا هو مطابقة الاختبار مع السؤال وكتابة نطاقه.
هل يستطيع أحد على الإنترنت الدخول إلى أنظمتنا؟
هذا اختبار البنية التحتية الخارجية، ويُنفذ على عناوينك وأسماء المضيفين لديك المتاحة على الإنترنت.
- لن يخبرك بشيء عما يستطيع المستخدم فعله بعد تسجيل الدخول
هل يستطيع عميل رؤية بيانات عميل آخر؟
هذا اختبار لتطبيق الويب بعد تسجيل الدخول، يُنفذ بحسابين لعميلين مختلفين. ومن دون الحساب الثاني، يصعب جدًا العثور على هذا الخلل.
- يحتاج النطاق إلى حسابين لكل دور، في حسابَي عميلين منفصلين
- لن يخبرك هل الخادم الذي يقوم عليه التطبيق مُحدَّث بالتصحيحات
هل واجهة API التي يعتمد عليها تطبيقنا للهاتف آمنة؟
هذا اختبار لواجهة API، يشمل نقاط النهاية الموثقة وغير الموثقة.
- لن يخبرك كيف يخزن التطبيق البيانات على الهاتف
ماذا يستطيع المهاجم أن يفعل بعد دخوله شبكة المكتب؟
هذا اختبار البنية التحتية الداخلية. أما هل سيلاحظ أحد ذلك فسؤال آخر، يجيب عنه تمرين الفريق الأحمر الذي ينفذه فريق متخصص، ولا يكون ذلك إلا بعد أن تكتمل الأساسيات المذكورة في هذه التبويبات. تمرين الفريق الأحمر على منشأة لا تملك قائمة بأصولها يثبت في الغالب أنها لا تملك قائمة بأصولها، ونقول ذلك قبل أن تشتريه.
- لن يخبرك هل سيلاحظ أحد ذلك
هل سيسلم الموظفون كلمة مرور؟
هذا تمرين للهندسة الاجتماعية، يُتفق عليه كتابة مع الموارد البشرية قبل أن يبدأ.
- لن يخبرك هل أنظمتك سليمة من الناحية التقنية
ما الثغرات المعروفة الموجودة لدينا؟
هذا فحص للثغرات، ينفذه فريق تقنية المعلومات لديك أو مزود. وهو ليس اختبار اختراق. ينبغي أن تكون أغلب الاختبارات الأولى من نوع التبويب الثاني أو الثالث: بين العملاء، أو خلف التطبيق.
- لن يخبرك هل يمكن استغلال أي منها فعلًا
أسئلة يطرحها المشترون أولًا
لماذا لا نترك شركة الاختبار تكتب النطاق؟
يمكنها ذلك، وكثير منها يفعل. لكن المشكلة أن الشركة التي تبيع الاختبار تصبح هي من يقرر ما يُختبر. أما النطاق الذي يُكتب من جانبك فيبدأ مما تحتاج إلى معرفته.
كم مزودًا ينبغي أن نسأل؟
ثلاثة يكفون عادة لرؤية فروق حقيقية في المنهجية. إن كانوا أقل فلن يكون لديك ما تقارنه، وإن كانوا أكثر أصبحت المقارنة هي المشروع.
كم مرة ينبغي أن نجري الاختبار؟
بعد أي تغيير كبير في نظام، وعلى فترات تحددها سياستك. وإن كنت ضمن نطاق ضوابط ECC أو حدد عقد مع أحد العملاء تكرارًا معينًا، فذلك يحدد الحد الأدنى.
ماذا يحدث إذا وجد منفذ الاختبار أمرًا حرجًا خلال فترة الاختبار؟
قواعد الاشتباك تحدد ذلك مسبقًا: مكالمة هاتفية في اليوم نفسه إلى شخص محدد بالاسم. ننقل الملاحظة إلى مسؤول النظام لديك، وهو من يقرر معالجتها فورًا أو استمرار الاختبار مع تجنبها.
من يعيد اختبار المعالجات؟
المزود الذي اكتشف المشكلة. وهذا يبقي التأكيد مستقلًا عن الأشخاص الذين خططوا للمعالجة. ونحدّث السجل بناءً على تأكيد إعادة الاختبار الصادر عن المزود، سببًا سببًا.
نحن خارج المملكة. هل يمكنكم المساعدة مع ذلك؟
نعم. يُقدم العمل عن بعد وباللغة الإنجليزية. ويجب أن يكون المزود مرخصًا أو مقبولًا في ولايتك القضائية، ويُتحقق من ذلك ضمن المقارنة.
اقرأ قبل أن تكلف أحدًا بالاختبار
كيف تحدد نطاق اختبار الاختراق
السؤال، والأهداف، ونقطة الانطلاق، والقواعد، مع قائمة تحقق ونموذج لفقرة نطاق.
اقرأ المزيددليلما يحتويه التقرير الجيد
الأجزاء التسعة للملاحظة الجيدة، واثنا عشر سطرًا تقيس عليها نموذج التقرير قبل أن توقع.
اقرأ المزيددليلمن التقرير إلى خطة المعالجة
إعادة تقدير الخطورة، وتجميع الملاحظات بحسب السبب، وحجز موعد إعادة الاختبار قبل اعتماد الخطة.
اقرأ المزيددليلفحص أم اختبار اختراق
أي اختبار يجيب عن أي سؤال، والترتيب الذي ينبغي أن تشتريها به أغلب المنشآت.
اقرأ المزيدITF Digitalحين تكون المعالجات في البرمجيات
يبني ITF Digital التطبيقات، ويستطيع العمل على الأسباب التي يرجعها التقرير إلى شيفرة التطبيق.
اقرأ المزيدجزء من نظام واحد
كل قطاع يحفظ سجلاته وفق المعيار نفسه، فيعمل القطاع الثاني الذي تحتاجه بالطريقة التي عمل بها الأول.
ابدأ بالنطاق
تبدأ جلسة تحديد النطاق من سبب الاختبار، وتنتهي بالأهداف ونقطة الانطلاق والحسابات التي سيحتاجها منفذ الاختبار، مكتوبة.