كيف نصنّف الخطورة

بقلم فريق زمام ·

في هذه الصفحة

تصنيف الخطورة أداة ترتيبٍ بالأولوية، لا درجةٌ تُمنح. إنه يجيب عن سؤال واحد: إن لم يكن لديك وقت إلا لإصلاح أمور قليلة، فأيّها أولى؟ ويرتّب تقرير زمام النتائج في خمسة مستويات، بناءً على ما يظهر من الخارج وما يمكن للمهاجم فعله به.

عاملان يحرّكان كل تصنيف: الأثر (كم يسوء الأمر إن استُغِلّ؟) والتعرّض (كم هو الاستغلال قريب المنال وموثوقاً من الإنترنت العام؟). فقد يقع ضعفٌ خطير لكنه صعب المنال دون ضعفٍ متوسط لكنه مكشوف بسهولة.

المستويات

حرجة

نتيجة يبدو أنها تتيح اختراقاً فورياً، أو استيلاءً على حساب أو نطاق، أو كشفاً خطيراً للبيانات، أو استغلال ثغرة معروفة ومُستغَلّة فعلاً. وهي نادرة في فحص خارجي غير تطفّليّ بحت، لأن تأكيدها غالباً يتطلّب اختباراً تطفّلياً لا نُجريه — لكنّ مؤشراً خارجياً قوياً (كواجهة إدارة مكشوفة على برمجية منتهية الدعم بها ثغرة مُستغَلّة معروفة) قد يبرّرها.

عالية

نتيجة تخلق خطراً حقيقياً وينبغي معالجتها بسرعة، خصوصاً على الأنظمة المتصلة بالإنترنت. ومنها واجهة دخول إدارية مكشوفة، أو خدمة يصل إليها العامة وكان ينبغي أن تبقى داخلية، أو إعداد TLS1 ضعيف بوضوح على مضيف رئيسي.

متوسطة

ضعفٌ يزيد احتمال الهجوم أو أثره، لكنه يحتاج عادةً شروطاً أخرى ليصبح خطيراً. ومن أمثلته الجيدة سياسة DMARC2 متروكة عند p=none: فهي وحدها لا تخترق شيئاً، لكنها تترك نطاقك مكشوفاً لانتحال مقنِع. وكذلك ترويسة HSTS3 مفقودة على موقع يستخدم HTTPS في الأصل، فهي غالباً متوسطة لأنها توسّع نافذة هجوم حقيقية لكنها مشروطة.

منخفضة

فرصة تحصينٍ أو كشفٌ معلوماتي طفيف. ومنها سجلات DNS4 قديمة لم تعد تستخدمها، أو ترويسة X-Content-Type-Options مفقودة، أو لافتات إصدار مُسهبة: تستحقّ الترتيب، ونادراً ما تكون عاجلة بذاتها.

معلوماتية

سياقٌ مفيد ليس ضعفاً بذاته — كالإشارة إلى مزوّد البريد أو شبكة التوصيل التي يستخدمها نطاق. يساعدك على فهم أثرك دون أن يوحي بوجود خطأ.

لماذا قد تختلف نتيجتان متشابهتان

الخطورة سياقية، فالنوع نفسه من النتائج قد يقع في مستوى مختلف:

كيف تستخدم التصنيفات

اعمل من الأعلى للأسفل: عالِج الحرجة والعالية أولاً، ثم المتوسطة، ثم المنخفضة حين يتّسع الوقت. وأعد الفحص بعد كل تغيير — إذ ينبغي أن تنخفض معظم النتائج أو تختفي بمجرد إصلاح الإعداد الأساسي. وتقريرٌ بنتائج قليلة لا يُثبت أن النطاق آمن، وآخرُ بكثيرٍ منها لا يُثبت أنه مُخترَق؛ التصنيفات تخبرك فقط من أين تبدأ.

ذات صلة

الهامش

  1. TLS — Transport Layer Security، بروتوكول أمان طبقة النقل. ↩︎

  2. DMARC — Domain-based Message Authentication, Reporting and Conformance، سياسة مصادقة الرسائل والمطابقة وإعداد التقارير. ↩︎

  3. HSTS — HTTP Strict Transport Security، أمان النقل الصارم. ↩︎

  4. DNS — Domain Name System، نظام أسماء النطاقات. ↩︎