تقييم ثغرات أم اختبار اختراق: أيهما تحتاجون؟

يظهر الاثنان في قائمة الشراء نفسها ويُسعّران غالبًا وكأنهما الخدمة نفسها بأسعار مختلفة. وهما ليسا كذلك. أحدهما يقدّم الاتساع والآخر العمق، والخيار الصحيح يعتمد على ما تعرفونه أصلًا عن أنظمتكم.

ما الذي يفعله تقييم الثغرات

يستهدف تقييم الثغرات التغطية. فهو يحدد نقاط الضعف المعروفة عبر نطاق متفق عليه: مكوّنات قديمة، وتصحيحات ناقصة، وإعدادات ضعيفة، وخدمات مكشوفة. والعمل في معظمه أدوات آلية، مع تحقق يدوي لتأكيد النتائج واستبعاد الإنذارات الكاذبة.

وهو يجيب عن سؤال: ما المشكلات المعروفة الموجودة عبر أنظمتنا الآن؟ وهذا مفيد فعلًا، خصوصًا في المرة الأولى التي ينظر فيها أحد. وهو قابل للتكرار، وسريع نسبيًا، ويمنحكم قائمة مرتّبة بالأولوية للعمل عليها.

ما الذي يفعله اختبار الاختراق

يستهدف اختبار الاختراق العمق. يعمل المختبِر نحو هدف محدد، مثل الوصول إلى سجلات العملاء أو التصعيد إلى صلاحية مشرف أو الانتقال بين البيئات، ثم يحاول يدويًا استغلال نقاط الضعف وربطها للوصول إلى هناك.

وهو يجيب عن سؤال مختلف: ما الذي يستطيع مهاجم تحقيقه فعلًا؟ وهذا التمييز مهم، لأن نتائج منخفضة الخطورة منفردة قد تتجمع في مسار هجوم خطير لن تبلّغ عنه أي أداة فحص. وعيوب منطق العمل خصوصًا لا تكتشفها الأتمتة تقريبًا أبدًا، لأن أداة الفحص لا تملك تصورًا عن الغرض من تطبيقكم.

أداة الفحص تخبركم أن النافذة غير مقفلة. واختبار الاختراق يخبركم أن تلك النافذة تفضي إلى الغرفة التي تُحفظ فيها المفاتيح.

كيف تختارون

إن لم تُجروا مراجعة أمنية من قبل، فابدأوا بتقييم. لا قيمة في دفع تكلفة اختبار يدوي عميق لتكتشفوا أنكم تشغّلون مكوّنات بثغرات معروفة على نطاق واسع؛ أصلحوا الطبقة الواضحة أولًا، ثم انظروا أعمق.

• لا مراجعة سابقة، أو جرد غير واضح: تقييم ثغرات
• خط أساس معروف، ومعالجة بيانات حساسة أو مدفوعات: اختبار اختراق
• تطبيق جديد مهم أو إصدار كبير: اختبار اختراق قبل الإطلاق
• انضباط دوري مستمر بين التعاقدات الأعمق: تقييم متكرر
• متطلب تعاقدي أو متطلب عميل: تحققوا مما هو محدد بالاسم، فهما غير قابلين للتبادل

ما يتطلبه كلاهما منكم

تفويض كتابي من شخص يملك صلاحية منحه، ونطاق محدد بوضوح، وجهات اتصال تقنية، واتفاق على نوافذ الاختبار. اختبار الأنظمة دون إذن مخالف للقانون في معظم الولايات القضائية. وأي مزوّد مستعد لتخطي تلك الخطوة يخبركم بشيء مهم عن طريقة عمله.

ما لن يمنحكم إياه أي منهما

لا ينتج أي منهما نظامًا آمنًا، ولا أحدهما دائم. كلاهما تمرين مرتبط بلحظة زمنية ضد نطاق محدد. والنشر التالي قد يُدخل شيئًا جديدًا. قيمتهما في إظهار موقعكم الحقيقي وما ينبغي إصلاحه أولًا، وهو أفضل كثيرًا من الافتراض.