بله، وب اپلیکیشن شرکت شما از روز اول به امنیت سایبری نیاز دارد
اگر یک وب اپلیکیشن دارید که به کارتان خدمت می‌کند، جواب روشن است: امنیت وب اپلیکیشن همان چیزی است که اپلیکیشن شما را از توقف و داده‌های مشتریانتان را از سرقت حفظ می‌کند. وب اپلیکیشن برنامه‌ای است که در مرورگر کار می‌کند، مثل یک فروشگاه اینترنتی، یک سامانه نوبت‌دهی یا پرتالی که دانش‌آموزان وارد آن می‌شوند. این برنامه تمام روز روی اینترنت باز است و هر کسی که به اینترنت وصل باشد می‌تواند در آن را بزند. امنیت سایبری مجموعه‌ای از اقدامات است که جلوی ورود غریبه‌ها را می‌گیرد، تلاش‌هایشان را آشکار می‌کند و اگر مشکلی پیش آمد، کار را سریع دوباره راه می‌اندازد.
نظر ما صریح است: برای فکر کردن به حفاظت، منتظر نفوذ نمانید. نفوذ یعنی کسی که اجازه نداشته وارد سیستم شما شده و داده‌هایش را خوانده، تغییر داده یا سیستم را از کار انداخته است. جبران خسارت بعد از آن روزها یا هفته‌ها کار را متوقف می‌کند و شاید اعتماد بعضی از مشتریان هرگز برنگردد. اما حفاظتی که از ابتدا ساخته شده، بی‌صدا در پشت صحنه کار می‌کند و مشتریانتان آن را فقط به شکل یک حس امنیت می‌بینند.
کوچک بودن کسب‌وکارتان هم فرقی نمی‌کند. صاحب داروخانه‌ای که از سایتش دارو می‌فروشد، مدیر کلینیکی که پرونده بیماران را نگه می‌دارد و مدیر مدرسه‌ای که نتایج دانش‌آموزان را آنلاین منتشر می‌کند، همه داده‌هایی دارند که برای هکرها ارزشمند است. تفاوت میان کسی که آسیب می‌بیند و کسی که در امان می‌ماند، اغلب چند قدم ساده است که به‌موقع برداشته شده: ورود امن، به‌روزرسانی به‌موقع و نسخه پشتیبان آزمایش‌شده. بخش‌های بعدی این قدم‌ها را به زبان ساده توضیح می‌دهند و اگر به اصطلاح ناآشنایی برخوردید، معنایش را در فرهنگ اصطلاحات پیدا می‌کنید.
چرا هکرها شرکت‌های کوچک را هم هدف می‌گیرند؟
بسیاری از صاحبان کسب‌وکار فکر می‌کنند هکرها فقط دنبال بانک‌ها و شرکت‌های بزرگ هستند. همین فکر باعث می‌شود حفاظت را سال به سال عقب بیندازند. حقیقت این است که شرکت کوچک هدف راحتی است، چون حفاظتش معمولاً ضعیف‌تر است و صاحبش بر آنچه در سیستمش می‌گذرد نظارت ندارد.
خیابانی را تصور کنید که ده مغازه دارد. دزد ثروتمندترین مغازه را انتخاب نمی‌کند، بلکه مغازه‌ای را انتخاب می‌کند که درش باز مانده است. روی اینترنت هم همین اتفاق می‌افتد، با این تفاوت که اینجا دزد در زمان کوتاهی هزاران در را امتحان می‌کند.
حمله‌ها خودکارند و قربانی را با اسم انتخاب نمی‌کنند
بیشتر حمله‌ها را کسی انجام نمی‌دهد که مشخصاً پشت سایت شما نشسته باشد. آن‌ها را برنامه‌های خودکاری به نام بات انجام می‌دهند که سایت‌ها را یکی پس از دیگری می‌گردند. این برنامه‌ها دنبال صفحه ورودی هستند که رمزهای ساده را بپذیرد، یا دنبال نرم‌افزار قدیمی‌ای که نقطه ضعف شناخته‌شده‌ای دارد.
وقتی این برنامه‌ها دری باز پیدا کنند، بدون پرسیدن از اندازه یا نام شرکت وارد می‌شوند. به همین دلیل یک کلینیک کوچک در محله‌ای آرام با همان تلاش‌هایی روبه‌رو می‌شود که یک سایت بزرگ. پرسش درست این نیست که آیا کسی برای ورود تلاش می‌کند یا نه، بلکه این است که وقتی تلاش کند، در را بسته می‌بیند یا نه.
داده‌های شما برای دیگران ارزش دارد
شاید در فهرست مشتریانتان چیز خاصی نبینید، اما هکر آن را گنج می‌بیند. نام، شماره تلفن و آدرس مشتریان فروخته می‌شود و در پیام‌های کلاهبرداری به کار می‌رود. پرونده بیماران، نتایج دانش‌آموزان و اطلاعات کارکنان هم اطلاعات حساسی هستند که می‌شود با آن‌ها از صاحبشان باج گرفت.
نوع دیگری از حمله هم هست که چیزی نمی‌دزدد، بلکه فایل‌های شما را قفل می‌کند و برای باز کردنشان پول می‌خواهد. به این نوع باج‌افزار می‌گویند و به شرکت‌هایی ضربه می‌زند که نسخه پشتیبان سالم ندارند. در این حالت هر روز توقف یک ضرر مستقیم است، حتی اگر یک فایل هم دزدیده نشده باشد.
این‌ها خسارت‌هایی است که نفوذ پشت سر خود به جا می‌گذارد
صحبت درباره نفوذ تا وقتی صبح روز بعد را نبینید، نظری به نظر می‌رسد. خسارت فقط به یک دستگاه یا یک فایل محدود نمی‌شود، بلکه به مشتریان، کارکنان و اعتبار شما می‌رسد. شناختن جزئیات این خسارت‌ها به شما کمک می‌کند ارزش حفاظت را واقع‌بینانه بسنجید.
مثال‌های زیر اغراق نیستند. این همان چیزی است که صاحب کسب‌وکار وقتی اپلیکیشنش بدون آمادگی هک می‌شود با آن روبه‌رو می‌شود. هر کدام از آن‌ها را می‌شود با قدم‌های شناخته‌شده‌ای که در ادامه می‌آوریم، پیشگیری کرد یا اثرش را کم کرد.
داده‌های مشتریان از دستتان خارج می‌شود
اولین اتفاق معمولاً نشت داده است، یعنی رسیدن داده‌ها به دست کسانی که حق دیدنشان را ندارند. در یک فروشگاه اینترنتی ممکن است آدرس، شماره و سابقه خرید مشتریان نشت کند. بعد از آن مشتریان شما پیام‌های جعلی با نام فروشگاهتان دریافت می‌کنند که اطلاعات کارت یا کدی را که روی گوشی‌شان آمده از آن‌ها می‌خواهد.
مشتری بین هکر و شما فرقی نمی‌گذارد، چون نام شما را روی پیام می‌بیند. برای همین خود سیستم فروشگاه باید بر پایه حفاظت خوب ساخته شده باشد، مثل سیستم مدیریت فروشگاه Storek که فروش، موجودی و داده‌های مشتریان را در یک جای امن کنار هم نگه می‌دارد.
کار در بدترین زمان متوقف می‌شود
حمله روز آرامی را انتخاب نمی‌کند. ممکن است سایت شما در فصل عید، در هفته ثبت‌نام مدرسه یا در روز شلوغ نوبت‌های کلینیک از کار بیفتد. یکی از شناخته‌شده‌ترین حمله‌ها این است که سایت را با درخواست‌های بسیار زیاد غرق کنند تا دیگر پاسخ ندهد و مشتریان واقعی نتوانند به آن برسند.
در زمان توقف سفارش تازه‌ای نمی‌آید، مشتریان عصبانی تلفن می‌زنند و کارکنان به جای کار کردن مشغول عذرخواهی می‌شوند. اگر مشکل نفوذ باشد و فقط فشار نباشد، ممکن است سیستم چند روز بسته بماند تا بررسی، پاک‌سازی و راه‌اندازی دوباره با امنیت انجام شود.
اعتماد از بین می‌رود و شاید پیامدهای قانونی هم در پی داشته باشد
مشتری‌ای که داده‌هایش از سایت شما دزدیده شده، این را تا مدت‌ها به یاد می‌آورد. بعضی از مشتریان بی‌سروصدا می‌روند و بعضی تجربه‌شان را در شبکه‌های اجتماعی می‌نویسند. موتورهای جستجو هم ممکن است کنار سایت هک‌شده هشدار بگذارند و بازدیدکننده تازه پیش از ورود مردد شود.
در بسیاری از کشورها قوانینی هست که شرکت را به حفاظت از داده‌های مردم ملزم می‌کند، مثل مقررات اروپایی حفاظت از داده که با نام GDPR شناخته می‌شود. شرکتی که در حفاظت کوتاهی کند، ممکن است مجبور شود توضیح دهد چه اتفاقی افتاده، به آسیب‌دیدگان اطلاع دهد و نشان دهد اقدامات لازم را انجام داده است. این‌ها کاغذبازی، زحمت و زمانی است که می‌شد از آن دوری کرد.
نقاط ضعف وب اپلیکیشن‌ها معمولاً کجا پنهان می‌شوند؟
نقطه ضعف یا آسیب‌پذیری، یک خطای کوچک در سیستم است که به کسی اجازه می‌دهد کاری را بکند که مجاز نبوده است. وقتی هر روز با سیستم کار می‌کنید آن را نمی‌بینید، چون همه چیز عادی به نظر می‌رسد. اما برای کسی که دنبالش می‌گردد، زود پیدا می‌شود.
به تجربه ما، آسیب‌پذیری‌ها در چند جای شناخته‌شده تکرار می‌شوند. اگر آن‌ها را بشناسید، می‌توانید با نام از تیم یا تأمین‌کننده‌تان درباره‌شان بپرسید.
ورود فقط با رمز عبور
صفحه ورود در اصلی اپلیکیشن شماست. اگر ورود فقط به رمز عبور وابسته باشد، دزدیدن یک رمز برای باز کردن در کافی است. کارکنان اغلب رمزهای ساده انتخاب می‌کنند یا یک رمز را در چند سایت تکرار می‌کنند، و اگر از سایت دیگری دزدیده شود، سیستم شما را هم باز می‌کند.
راه‌حل شناخته‌شده ورود چندمرحله‌ای است. بعد از نوشتن رمز، سیستم کدی می‌خواهد که به گوشی کارمند یا یک اپلیکیشن روی موبایلش می‌رسد. حتی اگر هکر رمز را بداند، بدون گوشی وارد نمی‌شود. کنار آن، حساب را بعد از چند تلاش اشتباه پشت سر هم برای مدتی قفل می‌کنیم تا بات‌ها نتوانند هزاران رمز را امتحان کنند.
نرم‌افزارها و افزونه‌هایی که به‌روز نشده‌اند
هر وب اپلیکیشن روی نرم‌افزارهای دیگری بنا شده است: سیستم‌عامل سرور، زبان برنامه‌نویسی، پایگاه داده و افزونه‌های آماده. سرور همان دستگاهی است که سایت شما روی آن در اینترنت کار می‌کند. وقتی کسی در این نرم‌افزارها آسیب‌پذیری پیدا می‌کند، شرکت سازنده به‌روزرسانی‌ای برای بستن آن منتشر می‌کند و شرح آسیب‌پذیری برای همه معلوم می‌شود، از جمله برای هکرها.
خطر واقعی همین‌جاست. سایتی که ماه‌ها به‌روز نشده، آسیب‌پذیری‌های منتشرشده‌ای دارد که هکر راه ورود از آن‌ها را بلد است. برای همین به‌روزرسانی باید یک کار منظم با زمان و مسئول مشخص باشد، نه چیزی که هنگام مشکل یادش بیفتیم. هاستینگ مدیریت‌شده و تحت نظارت، مثل هاستینگ Hostrena، این بار را در سطح سرور از دوش شما برمی‌دارد.
فرم‌ها و دسترسی‌هایی که بیش از اندازه باز هستند
فرم جستجو، فرم تماس و بخش بارگذاری فایل همه جاهایی هستند که بازدیدکننده هر چه بخواهد در آن‌ها می‌نویسد. اگر سیستم آنچه نوشته می‌شود را بررسی نکند، هکر می‌تواند به جای متن دستور بنویسد و پایگاه داده را بخواند یا تغییر دهد. این یکی از شناخته‌شده‌ترین خطاها در فهرست OWASP Top 10 است، فهرستی جهانی از خطرناک‌ترین ایرادهای وب اپلیکیشن‌ها.
دسترسی‌های باز هم خطر مشابهی دارند. کارمند پذیرش کلینیک نیازی به حذف پرونده بیماران ندارد و کسی که در فروشگاه داده وارد می‌کند نیازی به تغییر قیمت همه محصولات ندارد. وقتی هر حساب بیش از کارش اختیار داشته باشد، دزدیده شدن هر حسابی به جای یک مشکل محدود، به فاجعه تبدیل می‌شود.
لایه‌های پایه‌ای که در هر اپلیکیشن می‌سازیم
حفاظت خوب به یک قفل تکیه نمی‌کند. لایه‌هایی است روی هم، که اگر هکر از یکی بگذرد، لایه دیگری جلویش است. مثل خانه‌ای که در قفل‌شده، دوربین و یک گاوصندوق در داخل دارد.
در Linkysoft این لایه‌ها را از مرحله برنامه‌ریزی درون وب اپلیکیشن‌ها و سیستم‌های مدیریت می‌سازیم، نه بعد از پایان برنامه‌نویسی. دلیلش ساده است: افزودن حفاظت به سیستمی که آماده شده، سخت‌تر و طولانی‌تر از ساختن آن همراه سیستم از ابتداست.
رمزنگاری داده‌های دزدیده‌شده را بی‌فایده می‌کند
رمزنگاری یعنی تبدیل داده‌ها به کدهایی که فقط کسی که کلید درست را دارد می‌فهمد. داده‌ها را در مسیر رمزنگاری می‌کنیم، یعنی وقتی بین دستگاه مشتری و سرور جابه‌جا می‌شوند، تا کسی روی اینترنت آن‌ها را نخواند. وقتی هم در پایگاه داده ذخیره شده‌اند، آن‌ها را رمزنگاری می‌کنیم.
فایده این کار در بدترین روز معلوم می‌شود. اگر کسی به فایل‌های پایگاه داده برسد، به جای نام و شماره مشتریان، کدهایی بی‌معنا می‌بیند. کلیدهای رمزنگاری را هم در گاوصندوق‌های جداگانه و دور از خود داده‌ها نگه می‌داریم تا کلیدها و داده‌ها با هم دزدیده نشوند.
هر کارمند فقط آنچه را لازم دارد می‌بیند
دسترسی‌ها را بر اساس نقش شغلی تقسیم می‌کنیم. پزشک پرونده بیماران خودش را می‌بیند، حسابدار فاکتورها را و کارمند پذیرش نوبت‌ها را. به این روش دسترسی بر اساس نقش می‌گویند و هر خطا یا سرقت حساب را به بخش کوچکی از سیستم محدود می‌کند.
این موضوع به‌خصوص در سیستم‌هایی که داده حساس دارند مهم است، مثل سیستم مدیریت کلینیک و بیمارستان Docmz، یا سیستم‌های مدرسه که اطلاعات کودکان را نگه می‌دارند. کنار آن برای حساب‌های مهم، به‌خصوص حساب مدیران که اختیارات بیشتری دارند، ورود چندمرحله‌ای می‌گذاریم.
نسخه‌های پشتیبان آزمایش‌شده و ثبت هر کار
نسخه پشتیبان، نسخه‌ای از داده‌های شماست که جای دیگری نگه داشته می‌شود تا اگر اصلش از بین رفت، به آن برگردید. اما نسخه‌ای که هیچ‌وقت امتحان نشده، ممکن است روزی که لازمش دارید شما را ناامید کند. برای همین نسخه‌های پشتیبان را رمزنگاری و محافظت می‌کنیم و بازگردانی آن‌ها را واقعاً آزمایش می‌کنیم تا پیش از نیاز بدانیم کار می‌کنند.
لایه آخر لاگ حسابرسی است، یعنی سابقه‌ای که می‌نویسد چه کسی چه کاری را کی انجام داده است. اگر سفارشی ناپدید شود یا قیمتی تغییر کند، از این سابقه می‌فهمید کدام حساب و در چه ساعتی این کار را کرده است. این سابقه هم به کشف نفوذ کمک می‌کند و هم به حل اختلاف‌های روزمره کاری میان کارکنان.
تست نفوذ چطور چیزی را پیدا می‌کند که تیم شما نمی‌بیند؟
برنامه‌نویسی که سیستم را ساخته می‌داند سیستم چطور باید کار کند، برای همین تصور همه راه‌های شکستن آن برایش سخت است. تست نفوذ این مشکل را حل می‌کند. تست نفوذ یک حمله امن و توافق‌شده است که متخصصی با ذهنیت هکر انجام می‌دهد، اما هدفش این است که آسیب‌پذیری‌ها را پیدا کند و پیش از دیگران به شما تحویل دهد.
به نظر ما هر اپلیکیشنی که داده مشتری یا پرداخت دارد، باید پیش از راه‌اندازی این تست را بگذراند. این بخش اصلی خدمات امنیت سایبری ماست، هم برای سیستم‌های تازه و هم برای سیستم‌هایی که در حال کار هستند.
در طول تست چه اتفاقی می‌افتد؟
متخصص ابتدا با شما درباره حدود تست توافق می‌کند: کدام بخش‌های سیستم، در چه روزهایی و به چه چیزهایی نباید دست زد. بعد همان کارهایی را که یک هکر واقعی امتحان می‌کند روی صفحه‌های وب، اپلیکیشن موبایل، شبکه و رابط‌های اتصال میان سیستم‌ها امتحان می‌کند. ابزارهای خودکاری را که سریع بررسی می‌کنند با تحلیل انسانی ترکیب می‌کند تا خطاهایی را که ابزارها نمی‌بینند پیدا کند.
تست از روش‌های شناخته‌شده جهانی مثل OWASP و NIST پیروی می‌کند تا به حال و هوا یا شانس وابسته نباشد. تست امن هم هست، داده‌هایتان را پاک نمی‌کند و کارتان را متوقف نمی‌کند، چون هدفش اثبات وجود آسیب‌پذیری است، نه سوءاستفاده از آن برای آسیب زدن.
در پایان چه چیزی تحویل می‌گیرید و کی باید تست را تکرار کنید؟
در پایان فهرستی به زبان ساده تحویل می‌گیرید که هر آسیب‌پذیری پیداشده در آن آمده است. برای هر کدام توضیح ساده‌ای هست که چه اتفاقی ممکن است به خاطرش بیفتد، چقدر خطرناک است و چطور باید اصلاحش کرد. بعد از اصلاح، تست را تکرار می‌کنیم تا مطمئن شویم آسیب‌پذیری واقعاً بسته شده، نه فقط روی کاغذ.
یک تست برای همیشه کافی نیست. هر افزوده بزرگ به سیستم، مثل یک درگاه پرداخت تازه یا یک اپلیکیشن موبایل تازه، ممکن است دری باز کند که قبلاً نبوده است. برای همین توصیه می‌کنیم تست را بعد از هر تغییر بزرگ، و به‌طور منظم حتی اگر چیزی تغییر نکرده، تکرار کنید، چون هر از گاهی آسیب‌پذیری‌های تازه‌ای در نرم‌افزارها پیدا می‌شود.
حفاظت بعد از روز راه‌اندازی هم ادامه دارد
بسیاری از سیستم‌ها خوب ساخته می‌شوند و بعد رها می‌شوند. بعد از چند ماه آسیب‌پذیری‌های تازه‌ای در نرم‌افزارها پیدا می‌شود، کارکنان عوض می‌شوند و قابلیت‌هایی با عجله و بدون بازبینی اضافه می‌شوند. سیستمی که روز راه‌اندازی امن بود، خودبه‌خود امن نمی‌ماند.
برای همین با حفاظت مثل یک کار پیوسته رفتار می‌کنیم که ابزار و مسئول خودش را دارد. بخش‌های بعدی توضیح می‌دهند هر روز و هر هفته چه باید اتفاق بیفتد، و اگر واقعاً حادثه‌ای رخ داد چه باید کرد.
اسکن پیوسته و نظارت شبانه‌روزی
اسکن پیوسته یعنی ابزارهایی سیستم شما را به‌طور منظم برای پیدا کردن آسیب‌پذیری‌های شناخته‌شده بررسی می‌کنند و وقتی موردی پیدا کنند به تیم هشدار می‌دهند. این مثل سرویس منظم خودرو است، به جای اینکه منتظر بمانید وسط جاده خراب شود. اسکن، نرم‌افزارهای قدیمی و تنظیمات اشتباه را پیش از آنکه دیگران پیدا کنند آشکار می‌کند.
نظارت چشمی است که شب و روز باز می‌ماند. اگر کسی در چند دقیقه صدها بار برای ورود تلاش کند، یا حساب یک مدیر نیمه‌شب از کشوری ناآشنا وارد شود، فوراً هشدار می‌رسد. فرق کشف نفوذ در یک ساعت با کشف آن بعد از چند هفته، همان فرق یک مشکل کوچک با یک فاجعه است.
سپری که جلوی اپلیکیشن می‌ایستد
فایروال وب اپلیکیشن سپری است که میان اینترنت و اپلیکیشن شما می‌ایستد. هر درخواستی که به سایت شما می‌رسد اول از آن می‌گذرد؛ درخواست‌های عادی را عبور می‌دهد و درخواست‌های مخرب را متوقف می‌کند. برای مثال جلوی تلاش برای نوشتن دستور در فرم‌ها و بات‌هایی را که رمزها را امتحان می‌کنند می‌گیرد.
این سپر در برابر غرق کردن سایت با درخواست‌ها هم کمک می‌کند و میان شلوغی مشتریان واقعی در روز حراج و حمله‌ای که می‌خواهد سایت شما را از کار بیندازد فرق می‌گذارد. جای اصلاح آسیب‌پذیری‌های درون اپلیکیشن را نمی‌گیرد، اما به شما زمان می‌دهد و نمی‌گذارد بیشتر حمله‌های خودکار اصلاً به اپلیکیشن برسند.
یک برنامه آماده برای وقتی حادثه رخ می‌دهد
حفاظت هر قدر هم خوب باشد، باید بدانید اگر اتفاقی افتاد چه کنید. شرکتی که برنامه ندارد، ساعت‌های اول را در سردرگمی و تماس‌های تلفنی هدر می‌دهد. اما شرکت آماده با قدم‌های روشنی که همه آن‌ها را می‌شناسند حرکت می‌کند:
- مهار: جدا کردن بخش آلوده تا آسیب به بقیه سیستم نرسد.
- بررسی: فهمیدن اینکه هکر چطور و کی وارد شد و به چه چیزی دست زد.
- پاک‌سازی: پاک کردن هر ردی که گذاشته و بازگرداندن داده‌ها از یک نسخه سالم.
- بستن آسیب‌پذیری: تعمیر دری که از آن وارد شد تا نتواند از همان راه برگردد.
کارکنان شما اولین خط دفاع هستند
موفق‌ترین حمله‌ها با یک آسیب‌پذیری در برنامه‌نویسی شروع نمی‌شوند، بلکه با یک پیام شروع می‌شوند. ایمیلی به کارمندی می‌رسد که به نظر از طرف بانک یا مدیر است و از او می‌خواهد روی لینکی برود و رمزش را بنویسد. به این روش فیشینگ می‌گویند و اگر حتی یک کارمند در آن بیفتد، از بهترین سیستم‌ها هم عبور می‌کند.
آموزش آگاهی امنیتی به کارکنان یاد می‌دهد نشانه‌های پیام جعلی را بشناسند و کد ورود را به هیچ‌کس ندهند، هر ادعایی هم که داشته باشد. همچنین یادشان می‌دهد به جای خجالت از اشتباه، هر پیام مشکوکی را فوراً گزارش کنند. چند ساعت آموزش می‌تواند جلوی خطرناک‌ترین حمله‌ای را بگیرد که کسب‌وکارتان ممکن است با آن روبه‌رو شود.
حجم کار حفاظت و هزینه آن در کسب‌وکار شما به چه چیزهایی بستگی دارد؟
هیچ پیشنهاد واحدی به همه شرکت‌ها نمی‌خورد، چون حجم کار از سیستمی به سیستم دیگر فرق دارد. یک سایت معرفی پنج‌صفحه‌ای خیلی کمتر از پلتفرمی با پرداخت و هزاران کاربر کار لازم دارد. دانستن اینکه چه چیزی زحمت را بالا یا پایین می‌برد، به شما کمک می‌کند هر پیشنهادی را که می‌گیرید بفهمید.
قاعده کلی این است که هر چه درهای سیستم بیشتر و داده‌های درونش حساس‌تر باشد، کار بیشتری برای حفاظتش لازم است. موارد زیر چیزهایی هستند که هر تیم جدی پیش از برآورد حجم کار به آن‌ها نگاه می‌کند.
اندازه اپلیکیشن و حساسیت داده‌هایش
تعداد صفحه‌ها، انواع کاربران و تعداد سیستم‌های متصل به اپلیکیشن، همه دامنه بررسی را بزرگ‌تر می‌کنند. سیستمی که پرتال مشتری، پرتال کارکنان، اپلیکیشن موبایل و اتصال به درگاه پرداخت دارد، به بررسی همه این بخش‌ها نیاز دارد. سیستمی با یک صفحه ورود برای چند کارمند خیلی ساده‌تر است.
حساسیت داده‌ها معادله را عوض می‌کند. پرونده بیماران، نتایج دانش‌آموزان و اطلاعات پرداخت به رمزنگاری دقیق‌تر، لاگ حسابرسی گسترده‌تر و گاهی مدارک انطباق با قوانین نیاز دارند. یک پلتفرم آموزشی مثل سیستم مدیریت یادگیری Acad داده‌های دانش‌آموزان را نگه می‌دارد و برای همین بیش از سایتی که منوی غذا نشان می‌دهد به مراقبت نیاز دارد.
اپلیکیشن تازه یا اپلیکیشنی که تیم دیگری ساخته است؟
حفاظت از اپلیکیشن تازه آسان‌تر است، چون لایه‌ها طبق برنامه از ابتدا همراهش ساخته می‌شوند. اما اپلیکیشنی که در حال کار است، به‌خصوص اگر تیمی که آن را ساخته دیگر نباشد، اول نیاز دارد که درونش را بفهمیم. ممکن است کد مستندسازی نشده باشد، نرم‌افزارها قدیمی باشند و دسترسی‌ها درهم باشند.
در این حالت با بررسی‌ای شروع می‌کنیم که تصویر واقعی را نشان می‌دهد، بعد اصلاح‌ها را بر اساس میزان خطر مرتب می‌کنیم. اول چیزهایی را می‌بندیم که ممکن است باعث نشت داده یا توقف کار شوند، بعد مرحله به مرحله سراغ موارد کم‌خطرتر می‌رویم. به این شکل کارتان متوقف نمی‌شود و پیش از موارد خطرناک، روی چیزهای فرعی زحمت نمی‌کشید.
پرسش‌هایی که پیش از قبول باید از هر تأمین‌کننده بپرسید
پیشنهاد خوب به پرسش‌های روشن جواب می‌دهد و پیشنهاد ضعیف از آن‌ها فرار می‌کند. پیش از قبول هر خدمت حفاظتی، برای این پرسش‌ها جواب کتبی بخواهید:
- بررسی دقیقاً چه چیزهایی را در بر می‌گیرد: فقط سایت، یا اپلیکیشن، موبایل و رابط‌های اتصال هم؟
- آیا گزارشی کتبی به زبانی قابل فهم با روش اصلاح هر آسیب‌پذیری تحویل می‌گیرید؟
- آیا تست دوباره بعد از اصلاح جزو قرارداد است یا جداست؟
- چه کسی شب‌ها و روزهای تعطیل بر سیستم نظارت می‌کند و پاسخ به هشدار چقدر طول می‌کشد؟
- اگر حادثه‌ای رخ دهد در ساعت‌های اول چه می‌شود و چه کسی با چه کسی تماس می‌گیرد؟
- اگر همکاری را تمام کنید، آیا کد و داده‌ها کاملاً مال شما می‌مانند؟
پرسش‌هایی که صاحبان کسب‌وکار درباره حفاظت از اپلیکیشن‌هایشان می‌پرسند
اینجا پرسش‌هایی را جمع کرده‌ایم که زیاد از صاحبان فروشگاه و مدیران کلینیک و مدرسه می‌شنویم. جواب‌ها کوتاه و مستقیم‌اند تا بدون نیاز به دانش فنی بتوانید تصمیم بگیرید.
اگر پرسش شما اینجا نیست، پرسش‌های دیگری را در فهرست پرسش‌های پایین مقاله و در مرکز راهنمای سایت ما پیدا می‌کنید.
آیا هاستینگ خوب برای حفاظت از اپلیکیشن من کافی است؟
هاستینگ خوب از سروری که اپلیکیشن شما روی آن کار می‌کند محافظت می‌کند؛ این بخش مهمی است اما همه چیز نیست. اگر در خود اپلیکیشن آسیب‌پذیری باشد، مثل فرمی که دستور می‌پذیرد یا دسترسی‌های باز، بهترین سرور هم جلوی سوءاستفاده هکر را نمی‌گیرد. حفاظت واقعی سرور امن را با اپلیکیشنی که امن ساخته شده کنار هم می‌گذارد. آن را مثل خانه‌ای در محله‌ای امن ببینید که باز هم باید در خانه‌تان را قفل کنید.
از کجا بفهمم اپلیکیشنم هک شده است؟
بعضی نشانه‌ها روشن‌اند، مثل صفحه‌هایی که محتوایشان عوض شده، حساب‌هایی که هیچ‌کس نمی‌شناسد یا شکایت مشتریان از پیام‌های عجیب با نام شما. بعضی پنهان‌اند، مثل کندی بی‌دلیل یا فرستادن بازدیدکنندگان به سایت‌های دیگر. مشکل این است که بسیاری از نفوذها هفته‌ها بی‌صدا و بدون نشانه می‌مانند. برای همین نظارت پیوسته و لاگ حسابرسی تنها راه فهمیدن زودهنگام است.
آیا کارم در طول تست نفوذ متوقف می‌شود؟
نه، در بیشتر موارد چیزی متوقف نمی‌شود. متخصص از قبل با شما درباره بخش‌هایی که تست می‌کند و زمان‌های مناسب توافق می‌کند و از هر قدمی که ممکن است روی کار اثر بگذارد یا داده‌ای را پاک کند دوری می‌کند. در سیستم‌های حساس می‌شود تست را روی یک نسخه یکسان از سیستم انجام داد، نه روی نسخه‌ای که مشتریان با آن کار می‌کنند. این‌طور نتایج را می‌گیرید و مشتریانتان چیزی حس نمی‌کنند.
امن کردن اپلیکیشنی که در حال کار است چقدر طول می‌کشد؟
به اندازه و وضعیت اپلیکیشن بستگی دارد. بررسی اول یک اپلیکیشن کوچک ممکن است در چند روز تمام شود، در حالی که پلتفرم‌های بزرگ با بخش‌های زیاد چند هفته وقت می‌خواهند. بعد از بررسی نوبت اصلاح است که بر اساس میزان خطر مرتب می‌شود؛ آسیب‌پذیری‌های خطرناک معمولاً اول و در چند روز بسته می‌شوند و کار روی بقیه مرحله به مرحله ادامه پیدا می‌کند.
آیا به تیم امنیت درون شرکتم نیاز دارم؟
بیشتر شرکت‌های کوچک و متوسط به یک تیم کامل درون شرکت نیاز ندارند. معمولاً کافی است یک نفر درون شرکت مسئول این کار باشد و یک همکار بیرونی متخصص، بررسی، نظارت و واکنش را انجام دهد. مهم این است که مسئولیت‌ها نوشته‌شده و روشن باشند تا هیچ طرفی فکر نکند کار با طرف دیگر است. هر چه سیستم بزرگ‌تر و داده‌هایش حساس‌تر باشد، پیگیری نزدیک‌تری لازم است.
از همین هفته با این سه قدم شروع کنید
برای شروع به برنامه‌ای بزرگ نیاز ندارید. قدم اول این است که فهرستی از هر چیزی که کسب‌وکارتان روی اینترنت دارد بنویسید: سایت، فروشگاه، سامانه نوبت‌دهی و اپلیکیشن موبایل، و اینکه چه کسی اجازه ورود به هر کدام را دارد. قدم دوم این است که ورود چندمرحله‌ای را روی همه حساب‌های مدیر فعال کنید و حساب کارکنانی را که رفته‌اند حذف کنید. قدم سوم این است که از کسی که سیستم شما را اداره می‌کند فقط یک سؤال بپرسید: آخرین بار کی بازگردانی نسخه پشتیبان را واقعاً امتحان کردیم؟
بعد از آن نوبت بررسی تخصصی است. در Linkysoft یک بررسی امنیتی و مشاوره رایگان ارائه می‌دهیم که در آن اپلیکیشن شما را مرور می‌کنیم و تصویر روشنی از خطرناک‌ترین نقاط ضعف و آنچه باید اول اصلاح شود به شما می‌دهیم، چه سیستم را ما ساخته باشیم و چه تیم دیگری. می‌توانید آن را از صفحه تماس درخواست کنید و اگر می‌خواهید پیش از تصمیم بیشتر بخوانید، جواب‌های کاربردی را در مرکز راهنما پیدا می‌کنید.
