فحص الثغرات

فحص الثغرات هو فحص آلي يبحث عن نقاط ضعف معروفة سلفًا. فالبرنامج يزور موقعك أو تطبيقك كما يزوره أي زائر، ويجرب قائمة طويلة من المشكلات التي أوقعت غيرك، ثم يسلمك تقريرًا. وهو يستغرق دقائق أو ساعات، وتكلفته قليلة، ويمكن تكراره متى شئت.

وهو بارع في المعروف والممل، وهذا بالضبط ما تُخترق منه الشركات العادية. تبدأ القائمة من برنامج متأخر ثلاث نسخات وفيه ثغرة منشورة، وتصل إلى صفحة دخول تسمح بمحاولات لا تنتهي. ويلتقط كذلك نسخة احتياطية متروكة في مجلد مفتوح للجميع، أو صفحة تجريبية من العام الماضي ما زالت تعمل وفيها أسماء زبائن حقيقيين. ومن هذه الأبواب يدخل المهاجمون، لأنهم يشغلون برامج فحص أيضًا ويفحصون الجميع لا الكبار فقط.

أما ما يفوته فهو كل ما يحتاج إلى حكم بشري، فالبرنامج لا يعرف أن الزبون يستطيع تغيير رقم واحد في شريط العنوان فيقرأ فاتورة غيره. ولا يعرف أن خصمك يمكن استخدامه مرتين، ولا يرى أن موظفة الاستقبال الجديدة تصل إلى شاشة الرواتب. وهذه أخطاء في قواعد العمل لا في البرمجة، ولذلك لا يكتشفها إلا شخص يختبر النظام بيده. وهذا الاختبار يكلف أضعافًا ويستغرق أسبوعًا، لكنه يستحق ذلك قبل أن يتعامل النظام مع المال أو البيانات الصحية. ولهذا تفصل لينكي سوفت لنظم المعلومات بين العملين وتسعرهما بشكل منفصل في أي مشروع أمن سيبراني.

أما التوقيت فسهل، فشغّل الفحص بعد كل تحديث تنشره، ومرة كل شهر حتى لو لم يتغير شيء. والسبب أن قائمة الثغرات المعروفة تكبر بينما تبقى برمجتك كما هي، ما يعني أن الفحص صحيح ليوم تشغيله فقط. وتقرير نظيف في الدرج من مارس الماضي لا يخبرك بشيء عن هذا الصباح.

واستعد لتقرير مزعج، لأن نصف ما يذكره برنامج الفحص إما خطأ أو غير مؤثر في حالتك. وتمييز النصفين هو المهارة الحقيقية، وهنا يذهب المال لا في الفحص نفسه. وتذكر فرق التكلفة، فالفحص رخيص. أما أن يخبرك زبون بأن موقعك يعرض طلبات الآخرين فيكلفك ذلك الزبون، وكل من يخبرهم، والأسبوع الذي تقضيه في الرد. ولهذا تشغّل لينكي سوفت فحصًا قبل تسليم أي تطبيق ويب، وتقرأ التقرير مع العميل سطرًا سطرًا.