كثيرًا ما يسمع المشترون مصطلحَي «اختبار الاختراق» و«فحص الثغرات» يُستخدمان كأنهما يعنيان الشيء نفسه. والأمر ليس كذلك. ففحص الثغرات تحقق آلي يقارن الأنظمة بقاعدة بيانات لنقاط الضعف المعروفة. أما اختبار الاختراق فتمرين محدد النطاق يقوده إنسان، يفحص فيه المختبِر ما إذا كان يمكن فعلًا استغلال نقاط الضعف ضد هدف متفق عليه، ويوثّق الأدلة. وكلاهما مفيد. ويتوقف الاختيار الصحيح على السؤال الذي تحتاج إلى إجابته، ومدى نضج بيئتك، ومن سيقرأ النتائج.
ما هو
يُشغّل فحص الثغرات أداةً على الخوادم أو المواقع الإلكترونية أو التطبيقات، فتُبلغ عن المشكلات التي تستطيع التعرف عليها: التحديثات الناقصة، وإصدارات البرمجيات القديمة، والخدمات المكشوفة، وإعدادات TLS الضعيفة، أو أخطاء الإعدادات الشائعة. وعمليات الفحص سريعة وقابلة للتكرار، ما يجعلها مناسبة للنظافة الأمنية الدورية. لكن حدودها معروفة جيدًا. فأدوات الفحص تُنتج نتائج إيجابية كاذبة، وتغفل عن المشكلات التي تعتمد على منطق الأعمال، ولا تستطيع أن تخبرك ما إذا كانت نتيجة منخفضة التصنيف تصبح خطيرة عند اقترانها بأخرى. أما اختبار الاختراق فيبدأ من نطاق مكتوب وقواعد اشتباك (Rules of Engagement). ويستخدم المختبِر الأدوات، بما فيها أدوات الفحص، ثم يعمل يدويًا: يتحقق من النتائج، ويختبر المصادقة والتفويض، ويفحص كيفية الفصل بين الأدوار والمستأجرين، ويتتبع المسارات الواقعية التي قد يجرّبها المهاجم. والمخرج تقرير يتضمن الأدلة ودرجة الخطورة وإرشادات المعالجة، لا قائمة خام بمخرجات الأدوات. وباختصار، يخبرك الفحص بما قد يكون خاطئًا؛ ويخبرك اختبار الاختراق بما هو خاطئ على نحو يمكن إثباته ضمن النطاق المتفق عليه ولماذا يهم.
لمن هذا؟
هذه المقارنة مفيدة للفرق التي:
- تلقت طلبًا من عميل أو شريك أو شركة تأمين لإجراء «اختبار أمني» وتحتاج إلى فهم المطلوب فعلًا
- تُجري عمليات فحص منتظمة بالفعل وتريد معرفة ما إذا كان الاختبار اليدوي سيضيف رؤية ذات قيمة
- تُطلق تطبيق ويب أو واجهة API أو تطبيقًا للهاتف المحمول جديدًا وتحتاج إلى تحديد عمق الاختبار قبل الإطلاق
- تحتاج إلى أن تشرح للإدارة لماذا يبدو عرضان لـ«الاختبار» مختلفين جدًا في الجهد والمخرجات
ما يساعد على توضيح
تساعد قراءتهما جنبًا إلى جنب على توضيح:
- ما إذا كان سؤالك يتعلق بالنظافة الأمنية للمشكلات المعروفة (الفحص) أم بمخاطر قابلة للاستغلال في نظام محدد (اختبار الاختراق)
- النتائج في تقرير فحص قائم التي يُرجَّح أنها ضوضاء، وتلك التي تستحق تحققًا يدويًا
- كيف يقع منطق الأعمال والتحكم في الوصول ومسارات الهجوم متعددة الخطوات خارج ما تكشفه الأدوات الآلية عادةً
- الأدلة التي يتوقع صاحب المصلحة أن يراها في التقرير النهائي
ما هو متضمن
- قائمة التحقق للفحص: حدّد قائمة الأصول، وجدول عمليات الفحص بانتظام، وعيّن مالكًا لفرز النتائج، وتابع المعالجة بمرور الوقت
- قائمة التحقق لاختبار الاختراق: اتفق كتابيًا قبل بدء العمل على الأهداف والبيئات ونافذة الاختبار وطريقة الوصول وجهات الاتصال المسمّاة وشروط الإيقاف
- تأكد من الحصول على تفويض كتابي من مالك النظام، ومن أي مزوّد استضافة أو مورّد يشغّل أنظمة ضمن النطاق
- قرّر ما إذا كان الاختبار بعد المصادقة مطلوبًا (حسابات اختبار لكل دور) لتمكين فحص مشكلات التحكم في الوصول
- اتفق على كيفية تصنيف النتائج وكيفية مشاركة الأدلة بأمان مع جهات الاتصال المسمّاة
- خطط لنافذة لإعادة الاختبار للتأكد من النتائج التي أُصلحت بعد المعالجة
ما لا يشتمل عليه
- ادعاء بأن الفحص وحده يثبت أن التطبيق آمن
- ادعاء بأن اختبار الاختراق يكتشف كل نقطة ضعف؛ فهو يفحص نطاقًا متفقًا عليه خلال وقت متفق عليه
- تعليمات للاستغلال أو اختبار أنظمة لا تملكها أو لا تملك إذنًا باختبارها
- شهادة أو اعتماد امتثال أو رأي تدقيق رسمي
متى تختارها
اختر الفحص حين تحتاج إلى رؤية منتظمة وواسعة عبر أصول كثيرة ولديك عملية لفرز ما يُبلغ عنه وإصلاحه. واختر اختبار الاختراق حين يكون نظام محدد مهمًا للأعمال، أو حين يطلب عميل أو شريك أدلة على اختبار يدوي، أو قبل إطلاق مهم، أو بعد تغييرات كبيرة في المصادقة أو المدفوعات أو معالجة البيانات. وتستخدم مؤسسات كثيرة الاثنين معًا: عمليات فحص مجدولة للحفاظ على ثبات النظافة الأمنية، واختبار اختراق دوري لفحص الأنظمة الأكثر عرضة للمخاطر. وإن لم تكن قادرًا بعد على حصر أصولك أو مالكيها، فقد تكون مراجعة أساس أوسع خطوة أولى أكثر فائدة من أيٍّ منهما.
نهجنا
ابدأ بالقرار الذي تحتاج إلى اتخاذه. فإذا طلب استبيان أحد العملاء اختبار اختراق سنويًا، فإن تقرير الفحص لن يفي بذلك عادةً. وإذا كنت تريد فقط معرفة ما إذا كانت الخوادم المكشوفة على الإنترنت محدّثة، فقد يكون الاختبار اليدوي الكامل أكثر مما تحتاج. ثم أكّد النطاق: التطبيقات وواجهات API والبيئات وأدوار المستخدمين المشمولة، وتلك المستبعدة صراحةً. واتفق على نافذة الاختبار ومن يمكنه إيقاف العمل مؤقتًا. تتبع خدمتنا «Penetration Testing» هذا النمط: النطاق، والتفويض الكتابي، والاختبار ضمن قواعد الاشتباك المتفق عليها، وتقرير مكتوب بالنتائج مع إرشادات معالجة مرتبة حسب الأولوية، وجلسة لمناقشة النتائج، وإعادة اختبار النتائج المتفق عليها حيثما كان ذلك مشمولًا. وأيًّا كان المزوّد الذي تستعين به، اطلب الاطلاع على تقرير نموذجي قبل الالتزام، وتحقق من أنه يفصل بين النتائج المؤكَّدة والملاحظات المعلوماتية. وأخيرًا، خصّص وقتًا للمعالجة. فالاختبار الذي يُنتج نتائج لا يملك أحد الوقت لإصلاحها لا يضيف قيمة تُذكر، لذا وائم موعد الاختبار مع قدرة فريقك على التصرف بناءً على النتائج.
الأسئلة المتكررة
مقالات ذات صلة
ابدأ
هل تريد مساعدة في الاختيار بين الفحص واختبار الاختراق؟
شاركنا الأنظمة المعنية، ومن يطلب الاختبار، والقرار الذي تحتاج إلى اتخاذه. وسنساعدك على تحديد نطاق متناسب.
اطلب نطاقًا مكتوبًا