APEA

لا. الهدف تطبيقٌ مرجعي هشّ عمداً يوضَع خلف الملف التعريفي قيد الاختبار. وهذا ما يجعل النتيجة ذات معنى — فإذا وصل هجومٌ إلى هدف هشّ، فالملف التعريفي لم يوقفه — كما يعني أن تكرار القياس آمنٌ متى شئت.

وفق التصميم، أي حمايةٍ تقف أمام تطبيقٍ فوق HTTP: الأجهزة، والخدمات السحابية، والوكلاء العكسيون المزوَّدون بمجموعات قواعد. سيجري الاختبار عبر الملف التعريفي لا عبر تكاملٍ خاص بمورّد، وهذا أيضاً ما سيجعل مقارنة مورّدَين ممكنة.

بإرسال أنماط حركة مرور مشروعة عبر الملف التعريفي نفسه: رفع الملفات، والمدخلات الطويلة، والمعاملات ومجموعات المحارف غير المعتادة التي يقبلها تطبيقك فعلاً. أنت تصف ما هو «الطبيعي» لهذا التطبيق، وسيقيس التشغيل كم كان الملف التعريفي سيحجب منه.

إنه مفهومٌ في مرحلة التصميم، لا منتجٌ يمكنك شراؤه أو تشغيله اليوم. النهج الموصوف هنا نهجٌ نؤمن به، لكنه ليس قيد البناء حالياً — فهو خلف أعمالٍ أخرى في خارطة طريقنا. تحصل على صدقنا بشأن ذلك؛ وما لا تحصل عليه منتجٌ ذاتي الخدمة كُتبت كل حالاته سلفاً. وإن كان هذا القياس سينفعك فأخبِرنا، فالاهتمام المبكّر هو ما يرفع المفهوم في القائمة.

نتوقّع أن يستغرق القياس نفسه ساعاتٍ لا أسابيع. أما العمل المحيط به فهو الاتفاق على شكل حركة المرور المشروعة لهذا التطبيق، ثم تطبيق قائمة الضبط لاحقاً — وهنا يذهب الوقت الزمني عادةً.

اختبار الاختراق يسأل هل يمكن اقتحام تطبيقك. وهذا يسأل هل تؤدي الحماية القائمة أمامه عملها، عبر تثبيت التطبيق وتغيير الملف التعريفي. فهما يجيبان عن سؤالين مختلفين، والمؤسسات التي تأخذ الأمن على محمل الجدّ تُجري كليهما.

تذهب حركة المرور إلى تطبيق مرجعي لا إلى أنظمتك، ويُستعمَل الملف التعريفي كما يستعمله أي زائر. وإذا كان الملف التعريفي يحدّ من المعدل، فإن التشغيل يراعي ذلك؛ فالغاية قياس الإعداد لا إجهاده.

هذا هو مقصد التصميم: لفريقٍ لديه عدة ملفات تعريفية، يُفترَض أن يُجدوَل ويُشغَّل بعد كل تغيير في مجموعة القواعد مع إبقاء النتائج في الداخل. وبما أنه لا يزال مفهوماً في مرحلة التصميم لا شيئاً يمكنك تثبيته اليوم، فإن صورة الخدمة الذاتية هذه هي وُجهة المنتج، لا ما هو متاحٌ الآن.

بعد كل تغييرٍ يمسّ الحماية — تحديثُ مجموعة قواعد، أو ملفٌ تعريفي جديد، أو انتقال — وعلى جدولٍ أيضاً، لأن الملفات التعريفية تنحرف مع الوقت. والقاعدة التي تُطفأ أثناء حادثٍ تميل إلى البقاء مطفأة.

تغطيةٌ بحسب الفئة للاتجاهين، وكل ثغرةٍ مع الطلب والاستجابة اللذين يُثبتانها، وقائمة ضبطٍ تُسمّي القواعد والإعدادات الواجب تغييرها، ومقارنةٌ مع التشغيل السابق متى وُجِد.

ليس للقياس، فهو يعمل عبر الملف التعريفي من الخارج. أما الوصول أو تصديرُ الإعدادات فيساعد إرشادَ الضبط على تسمية القواعد بدقة بدلاً من وصفها، لذا تمنح معظم الفرق وصولاً للقراءة في تلك المرحلة.

يختبر VAaaS التطبيق، ويجد ASM ما هو مكشوف، ويقيس هذا ما إذا كانت الحماية القائمة أمام تطبيقٍ مكشوف تعمل فعلاً. كلٌّ منها مفيدٌ على حِدة؛ ومعاً تغطّي الاكتشاف والدفاع والضعف نفسه.