الأمن
السيبراني

نبدأ مما لا تحتملون خسارته: سجلات العملاء، ومسار الدفع، وصلاحيات الإدارة، واستمرار الخدمة. نرسم لكل منها المسارات الواقعية التي قد يُوصل بها إليه، ونخرج بوثيقة نطاق تسمّي الأنظمة صراحةً وتذكر ما هو خارج النطاق، حتى لا يُفترض أن مراجعة المتجر شملت شبكة المكتب أيضاً.

ننظر إلى ما ينظر إليه المهاجم: المصادقة وإدارة الجلسات، والتحقق من الصلاحية عند كل نقطة نهاية لا في الواجهة فقط، ومسارات رفع الملفات، وأنماط الوصول إلى قاعدة البيانات، والأسرار المنسية في متغيرات البيئة والمستودع، وصلاحيات التخزين، وما تكشفه لوحة الإدارة للإنترنت. سوء الإعداد يولّد في أنظمة الشركات المتوسطة مخاطر أكثر من الثغرات النادرة.

نختبر التطبيق أثناء عمله بلا مصادقة وبكل دور من أدوار المستخدمين: الحقن، والبرمجة عبر المواقع، وتجاوز الصلاحيات بين الحسابات، والإشارة المباشرة غير الآمنة للكائنات، وتحديد معدل المحاولات ومقاومة هجمات حشو بيانات الاعتماد على صفحتي الدخول والدفع. نعمل قدر الإمكان على بيئة اختبار ببيانات شبيهة بالإنتاج، وأي فحص قد يسبب ضرراً يُتفق عليه كتابةً مسبقاً.

كل نتيجة تأتي بدليل قابل للتكرار، وتصنيف خطورة صادق، والشروط اللازمة لاستغلالها، وحل ملموس، لا برقم من أداة فحص ورابط. نرتّب حسب التعرّض الفعلي لا حسب الدرجة الخام، فيبدأ التقرير بالبنود القليلة التي تستحق العمل هذا الشهر ويقول صراحةً ما يمكن تأجيله.

ننفّذ الإصلاحات مع فريقكم أو نراجع ما نفّذه، ثم نعيد اختبار النتائج المعنية ليكون الإغلاق مُثبتاً لا مُدّعى. وبالتوازي نربط فحص الاعتماديات والأسرار والإعدادات بخط التكامل المستمر، فتُلتقط المشكلة نفسها عند طلب الدمج التالي بدل أن تظهر في التدقيق القادم.

الأمن يتآكل بصمت، لذلك نترك خلفنا روتيناً يصمد: مراجعة الصلاحيات عند التحاق الموظفين ومغادرتهم، وفرض MFA على الحسابات المهمة، وتحديث الاعتماديات وفق جدول، ومدة حفظ سجلات تكفي لإجراء تحقيق، واستعادة من نسخة احتياطية مُختبرة لا مفترضة. والتوعية المختصرة بالتصيّد للموظفين جزء من هذا أيضاً.