Protect & Monitor

يُقيّم تقييم WAF (جدار حماية تطبيقات الويب) فعالية إعدادات WAF وقواعده وضبطه. وهو أمر بالغ الأهمية لأن WAF غير المُهيّأ بشكل صحيح قد يحجب المرور المشروع (إيجابيات كاذبة) أو يسمح بمرور الهجمات (سلبيات كاذبة). ويضمن تقييمنا أداءً أمثل لـ WAF بأقصى حماية وأقل تعطيل.

نقيس الفعالية بالاختبار لا بالافتراض. نُرسل مجموعة من الهجمات المعروفة عبر فئات مختلفة (الحقن، والبرمجة النصية عبر المواقع، واجتياز المسارات، وما شابه) عبر WAF، ونقيس معدل الكشف إلى جانب معدل الإيجابيات الكاذبة على المرور الحقيقي. ثم نختبر عائلات الالتفاف الشائعة مثل الترميز، وتغيير نوع المحتوى، والأجسام مفرطة الحجم، ونضبط القواعد وفقًا لذلك. والمرجع هو مجموعة قواعد OWASP الأساسية (CRS).

ضبط WAF حلقة لا إجراء يُنفَّذ مرة واحدة. نُشغّله أولًا في وضع المراقبة لنرى ما كان سيُحجب، ثم نُضيّق القواعد كثيرة الضجيج إلى مسارات ومعاملات محددة، ونكتب الاستثناءات بدقة وبحسب الهدف بدلًا من تعطيل قاعدة بأكملها. ومع كل جولة نراجع عتبة تسجيل الشذوذ بحيث يُصان الأمن ويبقى المرور السليم بلا عائق.

تتضمّن المراقبة الأمنية المستمرة رصدًا آليًا متواصلًا لسطح الهجوم لديك، وكشفًا للتهديدات، وقدرات استجابة آلية. نراقب الثغرات الجديدة وتغييرات الإعدادات والأنشطة المشبوهة والتهديدات الناشئة، ونقدّم تنبيهات في الزمن الفعلي وتوصيات قابلة للتنفيذ لإبقاء أصولك محمية.

سطح الهجوم هو كل ما يراه المهاجم من الخارج: النطاقات والنطاقات الفرعية، والخدمات المفتوحة، والشهادات، والأصول التي ربما طواها النسيان. في إدارة سطح الهجوم نكتشف هذه الأصول ونراقبها باستمرار ونرى كل تغيير أو انكشاف جديد قبل المهاجم. والمُخرَج جردٌ محدَّث دائمًا لما هو مكشوف على الإنترنت، مع أولوية لكل عنصر.

ATT&CK لغة مشتركة لوصف سلوك المهاجم: من الوصول الأولي إلى الحركة الجانبية وتسريب البيانات. وبدلًا من مطاردة بصمة برمجية خبيثة بعينها، نبني الكشف حول هذه السلوكيات لتُرى حتى الهجمات الجديدة التي لا تملك بصمة معروفة. وتساعدنا الخريطة نفسها على معرفة مواضع الثغرات في تغطية الكشف.

تتضمّن الحماية في زمن التشغيل آليات دفاع فعّالة (مثل WAF، وتحديد المعدّل، والدفاع متعدد الطبقات) تمنع الهجمات في الزمن الفعلي. أما المراقبة الأمنية فتركّز على الرؤية وكشف التهديدات والتقييم المستمر لوضعك الأمني. وكلاهما يعملان معًا: الحماية تمنع الهجمات، بينما تضمن المراقبة أن تكون على علم بالتهديدات وقادرًا على الاستجابة بفعالية.

لا يوجد ضابط واحد كامل؛ وأي طبقة يمكن الالتفاف عليها. يعني الدفاع متعدد الطبقات وجود عدة ضوابط مستقلة مرصوفة بحيث لا يعني تجاوز إحداها تجاوزها جميعًا: التحقق من المدخلات داخل التطبيق، وتحديد المعدّل، وتجزئة الشبكة، والمراقبة إلى جانب WAF. وإذا فشلت طبقة، فالطبقة التالية ما تزال توقف المهاجم، أو تُحدث ضجيجًا على الأقل.

الكشف دون استجابة نصف المهمة. للأحداث المهمة يُحدَّد مسار الاستجابة مسبقًا: من يُبلَّغ، وما الإجراء الفوري الذي يُتّخذ، وما الأدلة التي تُحفظ للتحقيق لاحقًا. والهدف تقصير الفجوة بين الرؤية والاحتواء، حتى لا يتحوّل التنبيه إلى اختراق.

الفحص لقطة للحظة واحدة؛ أما إدارة الثغرات فدورة. نفحص الأصول باستمرار، ونُرتّب النتائج حسب الخطورة وقابلية الاستغلال، ونتتبّع المعالجة حتى الإغلاق، ونعيد الاختبار للتأكد من صحة الإصلاح. ولأن ثغرات جديدة تُنشر كل يوم، فلا شيء يُبقيك متقدّمًا سوى عملية مستمرة.

يعتمد ذلك على الخدمة. يُجرى اكتشاف سطح الهجوم الخارجي من الخارج دون أي تثبيت. ويحتاج ضبط WAF إلى الوصول إلى إعدادات WAF نفسه، وقد تحتاج المراقبة الداخلية إلى وكيل خفيف أو الوصول إلى السجلات. وفي كل حال نأخذ أقل قدر لازم من الصلاحيات ونتفق معك على النطاق مسبقًا.

يختلف الجدول الزمني للتطبيق حسب الخدمة. يستغرق تقييم WAF عادةً 1-2 أسبوع، وضبط WAF 2-4 أسابيع، وإعداد برنامج أمني مستمر 4-8 أسابيع، ويمكن إعداد مراقبة سطح الهجوم خلال 1-2 أسبوع. نتّبع منهجًا تكراريًا ويمكننا إعطاء الأولوية للخدمات الحرجة أولًا.