فحص الثغرات مقابل اختبار الاختراق

يستجيب الأمن التفاعلي للهجمات بعد وقوعها، بينما يكتشف الأمن الاستباقي نقاط الضعف ويعالجها قبل أن يتمكن المهاجمون من استغلالها. ومن الممارسات الاستباقية المتكاملة فحص الثغرات واختبار الاختراق. فكلاهما يحدد نقاط الضعف الأمنية، لكنهما يختلفان بدرجة كبيرة من حيث النطاق والمنهجية ومتطلبات التفويض ومستوى المخاطر وما يقدمانه للمؤسسة. ويُعد فهم هذه الاختلافات أمرًا أساسيًا للمتقدمين لاختبار Security+ وللتواصل مع أصحاب المصلحة بشأن ما يمكن لكل نشاط أن يخبركم به — وما لا يمكنه إخباركم به — عن وضعكم الأمني.

إن فحص الثغرات عملية آلية تتحقق من الأنظمة بمقارنتها بقاعدة بيانات للثغرات المعروفة. وتقارن أدوات الفحص أرقام الإصدارات وإعدادات التكوين وتواقيع البرامج بقواعد بيانات CVE والتنبيهات الصادرة عن المورّدين لتحديد نقاط الضعف المحتملة. ويكون الفحص عادةً غير تطفلي — فهو يحدد أن ثغرة ما يُرجح وجودها استنادًا إلى الإصدار أو التكوين، لكنه لا يحاول استغلالها عمومًا. ويمكن إجراء عمليات الفحص بانتظام (يوميًا أو أسبوعيًا أو بصورة مستمرة) وعلى نطاق واسع عبر آلاف الأنظمة. كما تُعد هذه العمليات متطلبًا للامتثال بموجب PCI-DSS (عمليات فحص خارجية ربع سنوية بواسطة ASV) والعديد من الأطر الأخرى.

اختبار الاختراق (اختبار pen) هو محاولة منظَّمة وموجَّهة نحو هدف لاختراق الأنظمة باستخدام التقنيات نفسها التي قد يستخدمها المهاجمون. وعلى خلاف الفحص، يستغل اختبار الاختراق بنشاط الثغرات الأمنية للتأكد من أنها حقيقية وقابلة للاستغلال، وليست موجودة من الناحية النظرية فقط. يثبت مختبر الاختراق الأثر الفعلي: هل يمكنه الحصول على وصول ذي امتيازات؟ هل يمكنه استخراج البيانات؟ هل يمكنه الانتقال من نظام إلى آخر؟ يوفر اختبار الاختراق دليلاً على قابلية الاستغلال، مما يزيد الحاجة الملحّة إلى المعالجة، وغالباً ما يكشف مسارات هجوم معقدة ومتعددة الخطوات لا تستطيع أدوات الفحص الآلية تحديدها.

إجراء اختبار اختراق دون تفويض أمر غير قانوني، إذ يُعد وصولاً غير مصرّح به بموجب قوانين مثل CFAA (قانون الاحتيال وإساءة استخدام الحاسوب) في الولايات المتحدة. قبل بدء أي اختبار اختراق، يجب توقيع وثيقة قواعد الاشتباك (RoE) التي تحدد: النطاق (الأنظمة ونطاقات IP والنطاقات التي يشملها الاختبار)، والفترة الزمنية (ساعات العمل أو خارجها)، والإجراءات المحظورة (مثل عدم تنفيذ هجمات مادية أو هجمات DoS ضد أنظمة الإنتاج)، وجهات اتصال الطوارئ، وتوقيعات التفويض. وتحمل فريق اختبار الاختراق خطابات إثبات التفويض التي تثبت حصوله على التفويض إذا اكتشفه أفراد الأمن. لا تبدأ الاختبار مطلقاً دون تفويض كتابي كامل.

تُصنَّف اختبارات الاختراق وفق مقدار المعلومات التي يمتلكها المختبر عن الهدف. لا يوفر اختبار black box أي معلومات مسبقة، إذ يبدأ المختبر كما يبدأ مهاجم خارجي، مستخدماً OSINT والفحص لاكتشاف الأهداف. وهذا هو النوع الأكثر واقعية، لكنه قد يغفل الثغرات الداخلية. أما اختبار white box فيوفر معلومات كاملة، مثل مخططات الشبكة، والشفرة المصدرية، وبيانات الاعتماد، مما يتيح اختباراً شاملاً لكنه أقل واقعية. ويوفر اختبار gray box معلومات جزئية (ربما حساب مستخدم عادي)، ويمثل سيناريو موظف من الداخل تم اختراقه أو بيانات اعتماد مسروقة. معظم عمليات الاختبار في العالم الحقيقي تكون من نوع gray box أو black box.

تستهدف اختبارات الاختراق نقاط وجود مختلفة. يحاكي الاختبار الخارجي مهاجماً على الإنترنت لا يملك وصولاً داخلياً، ويفحص دفاعات المحيط، والتطبيقات المواجهة للإنترنت، وأمن البريد الإلكتروني. أما الاختبار الداخلي فيحاكي جهة تهديد موجودة بالفعل داخل الشبكة (موظف تم اختراقه أو برمجية خبيثة انتقلت داخل الشبكة)، ويفحص ضوابط الحركة الجانبية، وأمن التطبيقات الداخلية، وتقوية Active Directory. تستفيد معظم المؤسسات من المنظورين معاً. فكثير من عمليات الاختراق الحقيقية تتضمن مهاجماً خارجياً يحصل على وصول أولي ثم ينتقل داخلياً، مما يجعل الجمع بين نوعي الاختبار أكثر فائدة من أي منهما منفرداً.

أدوات فحص الثغرات غير مثالية. تحدث إيجابية كاذبة عندما تُبلغ أداة الفحص عن ثغرة غير موجودة فعلياً، ربما لأن رقم الإصدار يبدو عرضة للخطر رغم تطبيق التصحيح بطريقة backport. تهدر الإيجابيات الكاذبة موارد المعالجة وتضعف الثقة في نتائج أداة الفحص. وتحدث سلبية كاذبة عندما توجد ثغرة حقيقية لكن أداة الفحص لا تكتشفها، ربما لأن الثغرة تتطلب مصادقة بينما أُجري الفحص دون مصادقة، أو لأن الثغرة جديدة ولم تُضف بعد إلى قاعدة البيانات. وتقلل عمليات الفحص باستخدام بيانات الاعتماد بدرجة كبيرة من الإيجابيات والسلبيات الكاذبة مقارنة بعمليات الفحص غير الموثَّقة.

تتعامل برامج الأمن الحديثة مع إدارة الثغرات باعتبارها عملية مستمرة لا حدثاً دورياً. يكتشف الفحص المستمر الثغرات الجديدة عند ظهورها (وعند نشر CVEs جديدة) بدلاً من انتظار نافذة الفحص المجدولة التالية. وتشمل دورة حياة إدارة الثغرات: الاكتشاف، وتحديد الأولويات (حسب درجة CVSS وسياق العمل)، والمعالجة (بالتصحيح أو الإعداد أو القبول)، والتحقق (إعادة الفحص لتأكيد الإصلاح)، وإعداد التقارير. ويضمن التكامل مع إدارة التصحيحات أن تؤدي الثغرات المكتشفة إلى تشغيل مسارات عمل آلية لنشر التصحيحات. وتحدد اتفاقيات مستوى الخدمة (SLAs) السرعة التي يجب بها معالجة الثغرات ذات درجات الخطورة المختلفة (مثلاً: حرجة خلال 24 ساعة، وعالية خلال 7 أيام).

يُختتم اختبار الاختراق بتقرير شامل يمثل المخرج الأساسي للاختبار. ويتضمن التقرير عادةً: ملخصاً تنفيذياً للقيادة غير التقنية (التقييم العام للمخاطر، وأثرها على العمل، وأهم النتائج)؛ وقسماً للنتائج التقنية (أوصافاً تفصيلية للثغرات، ولقطات شاشة للأدلة، وخطوات إعادة الإنتاج)؛ وخارطة طريق للمعالجة تتضمن توصيات مرتبة حسب الأولوية. وتُقيَّم النتائج عادةً حسب مستوى المخاطر (حرج/عالٍ/متوسط/منخفض) باستخدام درجات CVSS إلى جانب سياق العمل. يتيح تقرير اختبار الاختراق الجيد للعميل إعادة إنتاج كل نتيجة والتحقق منها، وفهم المعالجة المطلوبة بدقة.

تدفع برامج مكافآت اكتشاف الثغرات للباحثين الأمنيين الخارجيين للعثور على الثغرات في أنظمة المؤسسة والإفصاح عنها بطريقة مسؤولة. وتربط منصات مثل HackerOne وBugcrowd وIntigriti المؤسسات بآلاف الباحثين الأمنيين حول العالم. توفر مكافآت اكتشاف الثغرات فحصاً خارجياً مستمراً وعلى نطاق واسع، ولا يتم الدفع إلا مقابل النتائج التي جرى التحقق منها. وهي تكمل اختبار الاختراق الداخلي من خلال توفير وجهات نظر متنوعة للباحثين واختبارات مستمرة بين عمليات التقييم الرسمية. وتدفع البرامج عادةً 500 إلى 50,000 دولار أو أكثر مقابل النتائج الحرجة، بحسب درجة الخطورة والبرنامج. وتحدد المؤسسات النطاق والقواعد بطريقة مشابهة لوثيقة قواعد الاشتباك الخاصة باختبار الاختراق.

بالنسبة إلى اختبار Security+، احرصوا على فهم الفروق الأساسية بوضوح. فحص الثغرات: آلي، وغير تدميري، وتغطيته واسعة، ويحدد الثغرات المحتملة، ولا يؤكد قابلية الاستغلال، ويُجرى بصورة متكررة أو مستمرة، وينفذه موظفو المؤسسة. اختبار الاختراق: يدوي (أو شبه آلي)، وقد يكون مؤثراً في الأنظمة، وتغطيته عميقة وموجهة، ويؤكد قابلية الاستغلال الفعلية والأثر في العالم الحقيقي، ويُجرى دورياً (ربع سنوي أو سنوياً)، ويتطلب عادةً خبرة خارجية متخصصة وتفويضاً رسمياً. ويكمل كل منهما الآخر: يوفر الفحص الاتساع، بينما يوفر اختبار الاختراق العمق. ويستخدم برنامج الأمن الناضج كليهما بانتظام.

اختبروا مدى فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمتم في هذا الدرس أن فحص الثغرات آلي ومتكرر وغير تدخلي، إذ يحدد الثغرات المحتملة دون استغلالها، بينما اختبار الاختراق يدوي وموجَّه نحو هدف، ويستغل الثغرات بنشاط لإثبات الأثر الفعلي ومسارات الهجوم؛ وأن كليهما يتطلب التفويض المناسب مع وثائق قواعد الاشتباك؛ وأن الفحص باستخدام بيانات الاعتماد يقلل بدرجة كبيرة من الإيجابيات والسلبيات الكاذبة مقارنة بعمليات الفحص غير الموثَّقة. في الدرس التالي، سنستكشف أدوات الفحص الشائعة، ومنها Nessus وOpenVAS وNmap.