اختبار الاختراق أم تقييم الثغرات: ما الفرق؟

يُستخدم المصطلحان بالتبادل في المنافسات وأوراق مجالس الإدارة، وهذا الخلط مكلف. أحدهما يخبرك بما قد يكون خاطئاً، والآخر يخبرك بما يستطيع المهاجم فعله به.

نراجع بانتظام تقارير "اختبار اختراق" يتبين أنها مخرجات أداة فحص آلية عليها شعار على الغلاف. ونقابل أيضاً مؤسسات تدفع شهرياً مقابل اختبارات يدوية معمقة في حين يخدمها الفحص المستمر على نحو أفضل. كلا الخطأين ينبع من معاملة تقييم الثغرات واختبار الاختراق كخدمة واحدة. وهما ليسا كذلك، وفي الغالب تحتاج إلى كليهما.

تقييم الثغرات: الاتساع

يبحث تقييم الثغرات عبر بيئتك عن نقاط الضعف المعروفة: التحديثات الناقصة، والبرمجيات القديمة، والإعدادات الضعيفة، والخدمات المكشوفة، وبيانات الاعتماد الافتراضية. ويعتمد كثيراً على أدوات الفحص، مع محلل يتحقق من النتائج ويستبعد الإنذارات الكاذبة.

والمخرج قائمة مرتبة حسب الأولوية. وقوته في التغطية: يستطيع التقييم الجيد فحص آلاف الأنظمة وإخبارك بثقة معقولة بالمشكلات المعروفة الموجودة ومدى خطورتها على الورق.

وحدّه أنه نادراً ما يثبت الأثر. فأداة الفحص تستطيع أن تخبرك بأن خادماً ينقصه تحديث، لكنها لا تستطيع أن تخبرك بأن هذا التحديث الناقص، مقروناً بكلمة مرور مكررة لحساب خدمة وشبكة مسطحة، يمنح المهاجم قاعدة بياناتك المالية كاملة قبل الظهر.

اختبار الاختراق: العمق

اختبار الاختراق هجوم مضبوط يجريه مختبرون مهرة ضمن قواعد متفق عليها. يستخدمون الأدوات، لكن القيمة تأتي من الحكم البشري: ربط نقاط ضعف صغيرة معاً، واستغلال منطق الأعمال، وتصعيد الصلاحيات، والتنقل داخل الشبكة كما يفعل خصم حقيقي.

وينبغي أن يُقرأ المخرج كقصة لما حدث: كيف دخل المختبرون، وإلى ماذا وصلوا، وما الأدلة التي جمعوها، وما يعنيه كل خطوة للأعمال. والتقرير الجيد يوضح أي الإصلاحات تقطع سلسلة الهجوم وأيها أقل أولوية.

الفروق جنباً إلى جنب

متى تحتاج كلاً منهما

استخدم تقييم الثغرات نظافةً روتينية. افحص الأنظمة المكشوفة على الإنترنت باستمرار أو شهرياً على الأقل، والشبكات الداخلية كل ربع سنة على الأقل، وبعد أي تغيير كبير. وأدخل النتائج في عملية للتحديث والإعدادات بمهل زمنية متفق عليها بحسب الخطورة.

استخدم اختبار الاختراق للتحقق. اطلب اختباراً قبل إطلاق تطبيق جديد أو خدمة موجهة للعملاء، وبعد تغييرات كبيرة في البنية التحتية، وسنوياً على الأقل للأنظمة الحرجة، وكلما اشترطته جهة تنظيمية أو عميل. فمعيار PCI DSS مثلاً يشترط اختبار الاختراق مرة في السنة على الأقل وبعد التغييرات الكبيرة، والضوابط الأساسية للأمن السيبراني من الهيئة الوطنية تتضمن اختبار الاختراق ضمن ضوابط التعزيز.

أنواع اختبار الاختراق

• الشبكة الخارجية: ما يستطيع مهاجم على الإنترنت الوصول إليه واستغلاله.
• الشبكة الداخلية: ما يستطيع فعله مهاجم وصل إلى جهاز واحد، أو موظف سيئ النية، من الداخل.
• تطبيقات الويب وواجهات البرمجة: المصادقة والتفويض ومنطق الأعمال وثغرات الحقن، وعادة وفق قائمة OWASP Top 10.
• تطبيقات الجوال: التطبيق نفسه والخدمات الخلفية التي يتصل بها.
• الشبكات اللاسلكية: شبكة المؤسسة وشبكة الضيوف، ومدى الفصل بينهما.
• السحابة: الهويات والصلاحيات والإعدادات في حساباتك السحابية.
• الهندسة الاجتماعية: التصيد والانتحال الهاتفي ومحاولات الدخول المادي التي تستهدف موظفيك.

ويمكن أيضاً إجراء الاختبارات بمستويات معرفة مختلفة. في اختبار الصندوق الأسود يبدأ المختبرون من الصفر كأي شخص من الخارج. وفي الصندوق الرمادي يحصلون على بعض المعلومات أو حساب مستخدم عادي. وفي الصندوق الأبيض يطّلعون على البنية وأحياناً على الشيفرة. والصندوق الرمادي يعطي عادة أفضل قيمة للوقت، لأن المختبرين يقضون أيامهم في اكتشاف مشكلات حقيقية بدلاً من إعادة اكتشاف ما كان بإمكانك إخبارهم به.

كيف تحكم على تقرير اختبار الاختراق

قبل اعتماد التقرير، تحقق من أنه:

• يشرح مسار الهجوم، لا يكتفي بقائمة ملاحظات.
• يتضمن دليلاً لكل ملاحظة، مثل لقطات الشاشة أو أزواج الطلب والاستجابة، ليتمكن فريقك من إعادة إنتاجها.
• يقدّر الخطورة في سياقك. فالثغرة الحرجة على خادم اختبار معزول ليست كمثيلتها على بوابة الدفع لديك.
• يقدم إرشادات معالجة محددة يستطيع مهندسوك تنفيذها.
• يتضمن ملخصاً تنفيذياً يقرؤه عضو مجلس الإدارة في دقيقتين.
• يعرض إعادة اختبار للتأكد من نجاح الإصلاحات.

واحذر التقارير التي تضم مئات الملاحظات بلا رواية، أو ملاحظات منسوخة مباشرة من مخرجات أداة الفحص، أو تخلو من أي دليل على اختبار يدوي. تلك فحوص ثغرات تُباع بسعر اختبار الاختراق.

كيف تحصل على أقصى فائدة من الاختبار

1. حدّد النطاق بدقة. اسرد نطاقات العناوين والنطاقات والتطبيقات والحسابات المشمولة، وكل ما هو مستثنى صراحة.
2. اتفق على قواعد الاشتباك. نوافذ الاختبار، والأساليب الممنوعة، وطريقة التعامل مع البيانات الحساسة المكتشفة، ومتى يجب أن يتوقف المختبرون ويتصلوا بك.
3. سمِّ جهات اتصال من الطرفين يمكن الوصول إليها أثناء الاختبار تحسباً لأي طارئ.
4. أبلغ فريق المراقبة، أو قرر عمداً ألا تبلغه. فالاختبار غير المعلن يقيس أيضاً هل يلاحظ مركز العمليات الأمنية.
5. خطط لوقت المعالجة قبل وصول التقرير، لتُصلح الملاحظات لا أن تُحفظ في الأدراج.

باختصار

تقييم الثغرات يحافظ على نظافتك يوماً بيوم، واختبار الاختراق يخبرك هل تكفي هذه النظافة. افحص باستمرار، واختبر بعمق وفق جدول وبعد التغييرات، وتأكد من أن كل تقرير ينتهي بإصلاحات وإعادة اختبار.

إن لم تكن متأكداً من وتيرة الاختبار في مؤسستك اليوم، فالسؤال الرابع عشر في تقييم النضج المجاني لدينا يسأل عن ذلك تحديداً.