مفارقة اختبار الاختراق

ابتُكر اختبار الاختراق في حقبة مختلفة من تطوير البرمجيات. كانت الإصدارات تحدث ربع سنوياً. كانت البنية التحتية تتغير ببطء. كان التقييم اللحظي منطقياً عندما كان سطح الهجوم ثابتاً نسبياً.

اليوم، يُنشر الكود في المؤسسة المتوسطة عدة مرات يومياً. تتغير إعدادات السحابة كل ساعة. تُنشر ثغرات CVE جديدة باستمرار. سطح الهجوم ليس هدفاً ثابتاً — إنه نظام حي ومتطور باستمرار.

ماذا يحدث بين اختبارات الاختراق

لنتتبع مؤسسة نموذجية بين اختبار يناير والاختبار التالي في الربع الثالث:

• فبراير: يدفع مطور نقطة نهاية API جديدة بدون فحوصات مصادقة. تنتقل إلى الإنتاج.
• مارس: تظهر ثغرة CVE حرجة لـ Apache 2.4.x — نفس الإصدار الذي يعمل على بنيتهم التحتية. لا أحد يعلم.
• أبريل: خطأ في إعداد IAM السحابي يخلق مساراً لتصعيد الصلاحيات. الانحراف لا يُكتشف.
• مايو: يُشفَّر مفتاح AWS بطريق الخطأ في حزمة JavaScript ويُدفع إلى المستودع العام.
• يونيو: يجد مهاجم المفتاح. يبدأ الاختراق. تكتشفه المنظمة بعد 73 يوماً.

الفجوات الثلاث التي لا يمكن لاختبار اللحظة إغلاقها

١. فجوة النشر

كل نشر للكود يخلق ثغرات محتملة جديدة. اختبار الاختراق المكتمل قبل النشر لا يخبرك شيئاً عما تم إدخاله بعده.

٢. فجوة CVE

قاعدة بيانات الثغرات الوطنية تنشر ما بين 60-80 ثغرة CVE جديدة كل يوم. تقريرك دقيق فقط للثغرات الموجودة في يوم اختبارك.

٣. فجوة انحراف الإعدادات

البيئات السحابية عرضة بشكل خاص لانحراف الإعدادات. حاوية S3 كانت خاصة يوم الاختبار يمكن أن تصبح عامة بعد ثلاثة أسابيع.

بُعد الامتثال: المنظمون يلحقون بالركب

لا المهاجمون وحدهم من يغيرون القواعد — المنظمون أيضاً. يتطلب DORA الأوروبي صراحةً تنفيذ مراقبة مستمرة لمخاطر تكنولوجيا المعلومات. اختبار الاختراق الربع سنوي لا يلبي متطلبات المراقبة المستمرة لـ DORA.

الاقتصاديات: لماذا التحقق المستمر أرخص فعلاً

أكثر اعتراض أسمعه من CISOs هو الميزانية. دعونا ننظر إلى الأرقام بصدق:

• اختبار VAPT قياسي: £25,000–£80,000 لكل مشاركة
• متوسط تكلفة اختراق البيانات في القطاع المالي: $5.9 مليون
• الغرامة القصوى لـ GDPR: €20 مليون أو 4% من المبيعات العالمية

حساب عائد الاستثمار ليس معقداً. اختراق واحد يدفع ثمن سنوات من التحقق المستمر.