كيف نقوم بتضمين الأمان في كل سطر من التعليمات البرمجية

نمذجة التهديدات قبل أول سطر برمجي

قبل التنفيذ نمرّ بأربعة أسئلة مع من يفهمون المجال: ما الذي نبنيه، وما الذي قد يسوء، وماذا سنفعل حياله، وهل أدّينا العمل بما يكفي. ولا يحتاج ذلك إلى منهجية رسمية ليكون مفيدًا؛ فلوح أبيض، ورسم لتدفّق البيانات، وساعة مع المهندسين وأحد ممثلي الأعمال، تكشف أغلب ما يهمّ.

وما تنتجه هذه الجلسة ولا ينتجه اختبار الاختراق المتأخر هو سجل بالمخاطر التي دُرست وقُبلت عن وعي. فالثغرات الخطرة نادرًا ما تكون تلك التي وزنها أحد وقبلها، بل تلك التي لم يفكّر فيها أحد إطلاقًا.

ما الذي يعمل آليًا، وأين

الأتمتة مخصّصة لأصناف المشكلات التي تجدها الآلة بموثوقية ويجدها الإنسان مملّة. ويعمل كل فحص عند النقطة التي تكون فيها المعالجة أرخص.

التحليل الساكن مع كل طلب دمج

يقرأ فحص SAST الشيفرة المصدرية بحثًا عن مسارات الحقن، وفكّ التسلسل غير الآمن، واجتياز المسارات، وما شابهها من أنماط معروفة. وضعفه في الإنذارات الكاذبة، وطبيعة الفشل اجتماعية لا تقنية: الأداة التي تكثر إنذاراتها تُتجاهل ثم تُعطَّل. ولذلك فإن ضبط القواعد حتى تصبح النتائج قابلة للتصديق أهم من تفعيل كل قاعدة متاحة.

فحص الاعتماديات وسلسلة التوريد

معظم شيفرة أي تطبيق حديث كتبها آخرون. وتقارن أدوات SCA شجرة الاعتماديات بقواعد الثغرات المعروفة، كما أن إنشاء قائمة مكوّنات البرمجيات يجعل الإجابة عن سؤال «هل نحن متأثرون؟» عند صدور ثغرة واسعة الانتشار تستغرق دقائق بدل أسبوع من البحث. والاعتماديات غير المباشرة هي موضع الفائدة الأكبر، إذ تكون الحزمة الخطرة عادةً حزمة لم يخترها أحد مباشرة.

فحص الأسرار البرمجية

بيانات الاعتماد المودعة في مستودع الشيفرة من أكثر نقاط الضعف استغلالًا في الاختراقات الواقعية، لأنها لا تحتاج إلى استغلال أصلًا. ويجري الفحص قبل الإيداع وداخل التكامل المستمر، والنصف المهم من الاستجابة هو ما يُهمَل عادةً: السر الذي وصل إلى نظام الإصدارات يجب تدويره لا حذفه فحسب، فتاريخ Git يحتفظ به، وكذلك كل نسخة أُخذت قبل الحذف.

الاختبار الديناميكي على نسخة عاملة

يشغّل فحص DAST التطبيق المنشور ويكشف ما لا يراه تحليل الشيفرة: الترويسات غير المضبوطة، ومعالجة المصادقة والجلسات، وسلوك المنظومة كما رُكّبت لا كما كُتبت.

الأسرار مكانها مدير أسرار لا ملف

تُفصل الإعدادات عن الشيفرة، وتُحقن الأسرار وقت التشغيل من مخزن مُدار، ولا يُكتب أي اعتماد داخل حزمة تصل إلى المتصفّح — فكل ما يُرسل إلى المتصفّح عام بحكم التعريف مهما جرى تعميته. وحين يلزم استدعاء واجهة خارجية بمفتاح، فمكان الاستدعاء خلف نقطة نهاية على الخادم تحتفظ بالمفتاح وتفرض حدودها الخاصة على معدل الطلبات، فلا يُوزَّع الاعتماد على المستخدمين إطلاقًا.

وهذا هو الانضباط الذي يتراخى أكثر من غيره، ويتراخى في مشاريع حقيقية تحت مواعيد حقيقية لا في المبدأ. والموقف الأمين هو التعامل مع نظافة الأسرار بوصفها أمرًا يُدقَّق ويُصحَّح دوريًا، لا أمرًا مفترضًا.

ما لا تجده الأتمتة

لا يكشف أي فاحص خللَ ضبط الصلاحيات، وهو من أكثر أصناف ضعف تطبيقات الويب انتشارًا، ومشكلته منطقية بالكامل تقريبًا. فسؤال ما إذا كان لمستخدم بعينه أن يطّلع على سجل بعينه سؤال عن المجال لا عن الشيفرة، ولا سبيل للأداة إلى معرفة الجواب المقصود. وينطبق الأمر ذاته على عيوب منطق الأعمال: تدفّق يسمح بتطبيق الخصم مرتين يعمل تمامًا كما كُتب.

وهذه يجدها من يفهمون النظام، في مراجعة الشيفرة ونقاش التصميم. والأتمتة موجودة لإزاحة الملاحظات الميكانيكية من الطريق حتى يبقى انتباه المراجعة متاحًا للمشكلات التي تحتاج إلى حكم بشري.