التقرير هو الجزء الباقي من اختبار الاختراق. فالاختبار يجري على مدى بضعة أيام أو أسابيع؛ أما التقرير فهو ما يستند إليه مطوّروك في الإصلاح، وما تقرؤه الإدارة، وما قد تشاركه مع عميل أو شريك. والتقرير الضعيف قد يُظهر اختبارًا دقيقًا بمظهر هزيل، في حين يحوّل التقرير الواضح النتائج إلى قرارات. يشرح هذا الدليل ما يتضمنه تقرير اختبار الاختراق الاحترافي عادةً، وكيف تقرؤه، وما الذي ينبغي طلبه قبل بدء التكليف.
ما هو
تقرير اختبار الاختراق سجل مكتوب لما جرى اختباره، وكيف، وفي أي ظروف، وما الذي اكتُشف. وينبغي أن يكون مقروءًا لجمهورين. فأصحاب المصلحة غير التقنيين يحتاجون إلى ملخص موجز للمخاطر الإجمالية وأهم المشكلات والأولويات الموصى بها. أما الفرق التقنية فتحتاج إلى تفاصيل كافية عن كل نتيجة لفهمها وإعادة إنتاجها في بيئة آمنة وإصلاحها. ويسجّل التقرير الجيد أيضًا حدوده الخاصة: ما كان خارج النطاق، وما تعذّر اختباره، وأي ظروف أثّرت في التغطية، مثل عدم توفر حسابات الاختبار أو تقليص النافذة الزمنية. ومن دون هذه الحدود، قد يفترض القرّاء أن التقرير يغطي أكثر مما يغطيه فعلًا.
لمن هذا؟
هذا الدليل مفيد لـ:
- المشترين الذين يقارنون العروض ويريدون معرفة المخرج الذي سيحصلون عليه فعلًا
- قادة الفرق الهندسية الذين سيتسلّمون النتائج ويحتاجون إلى التخطيط للمعالجة
- المديرين الذين يتعين عليهم مشاركة ملخص مع عميل أو شريك أو مدقق أو مجلس إدارة دون المبالغة في النتيجة
- الفرق التي تلقت تقريرًا سابقًا ووجدت صعوبة في التصرف بناءً عليه
ما يساعد على توضيح
تساعدك معرفة البنية المتوقعة على التحقق من:
- ما إذا كان النطاق وقواعد الاشتباك الواردة في التقرير تطابق ما جرى الاتفاق عليه
- ما إذا كانت لكل نتيجة أدلة وتصنيف واضح لدرجة الخطورة وإرشادات عملية للمعالجة
- المشكلات التي تحتاج إلى إجراء فوري وتلك التي يمكن التخطيط لها ضمن دورات التطوير المعتادة
- العبارات التي يمكن مشاركتها خارجيًا بأمان وتلك التي تخص الموظفين التقنيين وحدهم
ما هو متضمن
- الملخص التنفيذي: الصورة العامة، وأهم النتائج، والأولويات الموصى بها بلغة واضحة
- النطاق وقواعد الاشتباك: الأهداف، والبيئات، وأدوار المستخدمين، والتواريخ، ونافذة الاختبار، والاستثناءات
- ملخص المنهجية: النهج المتّبع والأطر المرجعية المستخدمة، مثل إرشادات OWASP لتطبيقات الويب
- سجل النتائج: كل مشكلة مع عنوانها ودرجة خطورتها والأصل المتأثر ووصفها ومرجع الدليل وأثرها على الأعمال
- التفاصيل التقنية: خطوات يمكن لفريقك استخدامها لفهم المشكلة وإعادة إنتاجها بأمان
- إرشادات المعالجة: إصلاحات عملية، وتدابير تخفيف قصيرة الأمد حيثما كان ذلك مفيدًا
- القيود: ما تعذّر اختباره ولماذا
- قسم إعادة الاختبار: حالة النتائج المتفق عليها بعد أن يصلحها فريقك، حيثما كانت إعادة الاختبار مشمولة
ما لا يشتمل عليه
- إفادة بأن النظام آمن أو لم تتبقَّ فيه ثغرات بعد الاختبار
- نتائج خارج النطاق المتفق عليه تُعرض كأنها اختُبرت
- شهادة أو اعتماد امتثال أو رأي تدقيق رسمي
- تنفيذ الإصلاحات، ما لم يُتفق على ذلك بشكل منفصل
متى تختارها
اقرأ هذا الدليل قبل توقيع عرض الاختبار، لتتمكن من طلب تقرير نموذجي والتأكد من البنية. وهو مفيد أيضًا عند وصول التقرير: استخدم الأقسام المذكورة أعلاه قائمةَ تحقق لترى ما إذا كان هناك شيء ناقص. وإذا طلب منك أحد أصحاب المصلحة «إرسال تقرير اختبار الاختراق»، فقرّر مسبقًا ما إذا كان يحتاج إلى الوثيقة التقنية الكاملة أم إلى ملخص تنفيذي وخطاب بحالة المعالجة. فمشاركة التفاصيل التقنية الكاملة على نطاق واسع تزيد المخاطر، لأنها تصف نقاط الضعف في أنظمتك.
نهجنا
اطلب وضوحًا بشأن تصنيف الخطورة قبل بدء الاختبار. يستخدم كثير من المزوّدين مقياسًا قائمًا على الاحتمالية والأثر، يستند أحيانًا إلى CVSS؛ والمهم أن يكون متسقًا ومشروحًا. واتفق على كيفية تخزين الأدلة ومشاركتها، وعلى جهات الاتصال المسمّاة لديك. وحين يصل التقرير، حدّد موعدًا لجلسة مناقشة النتائج حتى يتمكن المطوّرون من طرح الأسئلة والسياق لا يزال حاضرًا. وحوّل سجل النتائج إلى تذاكر لها مالكون وتواريخ مستهدفة، وأصلح المشكلات الأعلى خطورة أولًا. ثم اطلب إعادة اختبار النتائج المتفق عليها حتى يتمكن التقرير من تسجيل ما جرت معالجته. تقدّم خدمتنا «Penetration Testing» ملخصًا تنفيذيًا، وملخصًا للنطاق وقواعد الاشتباك، وسجلًا للنتائج مصنّفًا حسب درجة الخطورة مع مراجع الأدلة، وتفاصيل تقنية لكل نتيجة، وخارطة طريق للمعالجة مرتبة حسب الأولوية، ونتيجة إعادة الاختبار حيثما كانت إعادة الاختبار مشمولة. وأيًّا كان المزوّد الذي تختاره، احتفظ بكل إصدار من التقرير، وسجّل النتائج التي قُبلت بوصفها مخاطر بدلًا من إصلاحها، ودوّن من اتخذ ذلك القرار. فهذا السجل كثيرًا ما يكون بقيمة الاختبار نفسه في المرة التالية التي يسأل فيها أحدهم عن وضعك الأمني.
الأسئلة المتكررة
مقالات ذات صلة
ابدأ
هل تريد تقريرًا يستطيع فريقك التصرف بناءً عليه فعلًا؟
أخبرنا بالأنظمة التي تحتاج إلى اختبار ومن سيقرأ النتائج. وسنؤكد كتابيًا النطاق وقواعد الاشتباك وبنية التقرير.
اطلب نطاقًا مكتوبًا