تتفاوت عروض «اختبار الاختراق» كثيرًا لأن المزودين يبيعون أشياء مختلفة في الغالب. وأرخص العروض كثيرًا ما تكون فحصًا آليًا للثغرات مع قالب تقرير. لهذا الفحص فائدته، لكنه ليس اختبار اختراق، ولن يُرضي مدققًا أو استبيان أمان من بنك.
اختبار الاختراق مقابل فحص الثغرات
- فحص الثغرات: آلي وسريع ورخيص. يكتشف التحديثات الناقصة وأخطاء الإعداد المعروفة. يُفضّل إجراؤه شهريًا.
- اختبار الاختراق: مختبر مؤهل يحاول الاختراق يدويًا، فيربط نقاط الضعف ببعضها ويختبر منطق العمل مثل الأسعار والصلاحيات وبيانات المستخدمين الآخرين. يُجرى سنويًا على الأقل وبعد كل تغيير كبير.
- فحص أمان المواقع المجاني لدينا فحص خارجي سريع، وهو خطوة أولى مفيدة، لكنه لا يغني عن أي منهما.
ما يحدد التكلفة والمدة
- عدد تطبيقات الويب وحجمها، وعدد أدوار المستخدمين في كل منها.
- نقاط نهاية API (REST وGraphQL)، وعادةً من 5 إلى 10 أيام لأقل من 50 نقطة نهاية.
- تطبيقات الجوال: iOS أو Android أو كلاهما مع نظام خلفي مشترك.
- نطاقات عناوين IP للشبكات الخارجية والداخلية والحسابات السحابية وActive Directory.
- أسلوب الاختبار: الاختبار دون معلومات (الصندوق الأسود) يستغرق وقتًا أطول من الاختبار مع حسابات ووثائق (الصندوق الرمادي).
- إعادة الاختبار بعد الإصلاح، وأي ربط بمعايير الامتثال (PCI DSS وISO 27001 وSOC 2).
ما يتضمنه تقرير اختبار الاختراق الجيد
- ملخص تنفيذي تستطيع الإدارة قراءته في خمس دقائق.
- كل ثغرة مع درجة خطورة (CVSS) والأصل المتأثر والدليل وخطوات إعادة الإنتاج.
- توصيات إصلاح واضحة ومحددة للمطورين.
- النطاق والمنهجية (مثل OWASP وPTES) وتواريخ الاختبار.
- إعادة اختبار مجانية أو مخفضة للتأكد من الإصلاحات.
كيف تختار المزوّد
اسأل من سيجري الاختبار فعليًا وما شهاداته، واطلب نموذج تقرير، وتأكد أن الاختبار يدوي ويشمل منطق العمل، واتفق كتابيًا على قواعد الاختبار قبل البدء. وكثيرًا ما تحتاج الشركات في مصر والخليج أيضًا إلى مزوّد يكتب التقرير بالعربية للجهات الرقابية أو مجالس الإدارة.
الفحص يخبرك بما هو قديم بشكل ظاهر، أما اختبار الاختراق فيخبرك بما يستطيع المهاجم فعله به فعلًا.