أمن المواقع والأنظمة وفحص الثغرات

لا تنتظر الاختراق. الفحص الأمني ضروري قبل إطلاق نظام يحتوي بيانات عملاء، وبعد استلام نظام من مطوّر آخر لا تعرف طريقة عمله، وعندما يمر على آخر تحديث للنظام أكثر من سنة، وقبل أي مراجعة امتثال أو طلب من عميل كبير.

وهناك علامات تستدعي فحصًا عاجلًا: صفحات غريبة تظهر في نتائج البحث باسم موقعك، رسائل مزعجة تخرج من بريدك، بطء مفاجئ بلا سبب، أو حسابات مستخدمين لم يُنشئها أحد.

التقرير الجيد يكتب لجمهورين: الإدارة التي تحتاج أن تفهم حجم المخاطر وقرار الإنفاق، والفريق التقني الذي يحتاج خطوات إصلاح دقيقة. لذلك نقسمه إلى ملخص تنفيذي قصير، ثم تفاصيل تقنية لكل ثغرة.

لكل ثغرة نكتب: أين وُجدت، وكيف يمكن استغلالها، وما الأثر المحتمل على عملك وبياناتك، ودرجة خطورتها، وخطوات الإصلاح المقترحة. ونرفق ما يثبتها دون أن نستخدمها فعليًا للوصول إلى بيانات حقيقية أكثر من اللازم لإثباتها.

وبعد الإصلاح نعيد فحص الثغرات نفسها ونحدّث التقرير بحالة كل منها، فيكون لديك سجل موثق يبين ما وُجد وما أُغلق ومتى. هذا السجل مفيد عند أي مراجعة امتثال أو عندما يسأل عميل كبير عن أمن أنظمتك.

نجمع بين الفحص الآلي الذي يكشف الثغرات المعروفة بسرعة، والمراجعة اليدوية التي تكشف ما لا تراه الأدوات: منطق الصلاحيات، تدفق الدفع، وما يحدث إذا غيّر المستخدم رقمًا في الرابط. الثغرات الأخطر في الأنظمة المخصصة غالبًا منطقية لا تقنية.

من خبرتنا في مراجعة الأنظمة، أخطر المشكلات ليست في التقنيات المعقدة بل في أخطاء بسيطة تتكرر كثيرًا. معرفتها تساعدك على سؤال أي مطوّر عنها قبل التسليم.

معالجة هذه النقاط وحدها تغلق معظم الطرق التي يستغلها المهاجمون في الأنظمة المخصصة، وكثير منها يُصلح في ساعات لا أيام.

إذا كان نظامك يقبل مدفوعات عبر مدى أو Apple Pay أو STC Pay أو Tabby أو Tamara، فالقاعدة الذهبية ألا تمر بيانات البطاقة على سيرفرك أصلًا؛ تُعالج لدى بوابة الدفع وتستقبل أنت النتيجة فقط. نراجع أن الربط مبني بهذه الطريقة، وأن إشعارات الدفع موقّعة ولا يمكن تزويرها.

أما البيانات الشخصية فنراجع ما الذي تجمعه فعلًا، ومن يستطيع رؤيته، وهل هو مشفر، وأين يُحفظ. الهدف أن تجمع أقل ما تحتاجه وتحميه جيدًا، بما يتوافق مع نظام حماية البيانات الشخصية.

لا تحذف شيئًا ولا تعِد تثبيت النظام قبل الحفاظ على الأدلة، فالسجلات تكشف كيف دخل المخترق ومنعه من العودة. غيّر كلمات مرور لوحة التحكم والاستضافة والبريد والدومين فورًا من جهاز نظيف، وفعّل التحقق الثنائي.

تواصل معنا على واتساب ونبدأ بعزل الضرر، ثم تحديد الثغرة وإغلاقها، ثم التنظيف والاسترجاع من نسخة سليمة، ثم المراقبة المكثفة. وتستلم تقريرًا مكتوبًا بما حدث وما تغيّر.

تُكتشف ثغرات جديدة في المكتبات كل أسبوع، ولذلك الفحص الذي أجريته قبل سنة لا يعني أنك آمن اليوم. ننصح بإدراج التحديثات الأمنية ضمن عقد الصيانة، وإعادة الفحص عند كل إصدار كبير أو مرة سنويًا على الأقل.

وأرخص إجراء أمني هو تدريب الموظفين: معظم الاختراقات تبدأ برسالة تصيّد أو كلمة مرور مكررة. جلسة قصيرة مع فريقك قد تحميك أكثر من أي أداة.