مع تزايد هجمات الأمن السيبراني باستمرار، تتعرض فرق الأمن لضغوط أكبر، في حين أن اختبار الاختراق يمكن أن يساعد هذه الفرق من خلال اكتشاف نقاط الضعف قبل أن يتمكن الخصوم من ذلك، فحتى اختبار الاختراق يأتي مع تحدياته، كما يؤدي نقص المهارات واللوائح الجديدة والمتوسعة التي تتطلب الاختبار، وغيرها من واجبات الأمن اليومية الحرجة إلى جعل المتخصصين في الأمن السيبراني يعانون من ضغوط شديدة، حيث يتمثل أحد حلول المشكلة في وظائف الأتمتة الموسعة في أدوات اختبار القلم لكل من أجهزة اختبار القلم الجديدة والممارسة، كما يمكن للأتمتة أن ترفع من مهارات المختبرين عديمي الخبرة باستخدام المعالجات التي توجههم بأمان من خلال الاختبارات المعيارية الهامة، يمكن للمختبرين ذوي الخبرة زيادة وقتهم من خلال أتمتة الإجراءات.
أتمتة اختبار الاختراق
سد فجوة مهارات اختبار الاختراق
تتمثل إحدى أكبر العقبات في إنشاء برنامج أمان إلكتروني ناجح في العثور على أشخاص يتمتعون بالمؤهلات والخبرة المناسبة، ان فجوة مهارات الأمن السيبراني هي مشكلة موثقة جيدًا مع إمداد مؤهل ببساطة من متخصصي الأمن الذين لا يواكبون الطلب، هذا صحيح بشكل خاص مع اختبار الاختراق وفقًا لتقرير اختبار الاختراق لعام 2020، حيث أفاد 63٪ من المستجيبين أن توظيف عدد كافٍ من الموظفين المهرة لإجراء اختبارات القلم هو التحدي الأكبر الذي يواجههم فيما يتعلق بتنفيذ برنامج اختبار القلم والحفاظ عليه، كما أفاد ما يقرب من نصف المستجيبين (49٪) أن الموظفين الجدد لديهم خبرة ثلاث سنوات أو أقل.
ولكن حتى مع وجود فجوة في المهارات، يمكن للشركات إنشاء برنامج قوي لاختبار القلم عن طريق الاستخدام الذكي للموارد المتاحة بسهولة لأنه لا يتطلب كل اختبار خبيرًا، حيث يمكن لأعضاء فريق الأمن استخدام أدوات اختبار الاختراق التي تحتوي على ميزات تلقائية، والذين قد لا يكون لديهم خلفية واسعة لاختبار القلم، كما يمكن استخدام هذه الأدوات للاختبارات التي يسهل تشغيلها، ولكنها ضرورية لإجراء الاختبارات بانتظام، مثل التحقق من عمليات فحص الثغرات الأمنية أو جمع معلومات الشبكة أو تصعيد الامتيازات أو محاكاة التصيد الاحتيالي.
الاجتماع والحفاظ على الامتثال التنظيمي
يوضح تقرير اختبار القلم لعام 2020 أيضًا كيف أصبح اختبار القلم ضروريًا الآن حيث يتعين على العديد من الصناعات الالتزام بلوائح الأمان مثل (DSS)، حيث أفاد 95 ٪ من المستجيبين أن اختبار الاختراق مهم أو مهم إلى حد ما لمبادرات الامتثال الخاصة بهم، تتطلب معظم اللوائح طريقة ما لتقييم الوضع الأمني للمؤسسة، وتجد العديد من الشركات أن اختبار القلم هو أفضل طريقة للقيام بذلك لأنه مصمم للكشف عن نقاط الضعف قبل إمكانية استغلالها.
العديد من اختبارات الامتثال الضرورية غير معقدة نسبيًا ويمكن إكمالها باستخدام أداة اختبار القلم بإطار عمل آلي، بالإضافة إلى ذلك، يعد اختبار القلم جزءًا واحدًا فقط من الامتثال، ويجب أن تكون فرق الأمان فعالة قدر الإمكان من أجل تلبية كل جانب من جوانب هذه اللوائح، فمن خلال امتلاك أداة مركزية تحتوي على وظائف تلقائية لاختبارات متعددة بالإضافة إلى إمكانات إعداد التقارير التفصيلية، يمكن لفرق الأمان توفير الوقت مع الاستمرار في تلبية المتطلبات وإثبات الالتزام بها بشكل فعال.
- “DSS” اختصار ل”Decision support system“.
موازنة العنصر البشري في اختبار القلم مع الأتمتة
تمامًا كما يستخدم المهاجمون الأدوات من أجل اختراق دفاعات المؤسسة بنجاح، يجب أيضًا أن يستفيد اختبار القلم من هذه الأدوات لتكرار هجمات مماثلة، لم يتم تصميم الأدوات لتحل محل الأشخاص، ولكنها بدلاً من ذلك تبسط العملية وتهتم باختبارات أكثر تكرارية ومباشرة بحيث يمكن لمختبري القلم الخبراء قضاء وقتهم في الغوص بعمق في مشاكل أكثر ديناميكية، يعد الجمع بين أداة اختبار القلم والاستخدام الدوري لخدمات الجهات الخارجية فعالاً بشكل خاص، حيث يمكن استخدام هذه الخدمات لأشياء مثل الاختبارات الأولية التي قد يكون إعدادها معقدًا، ولكن يمكن تكرارها بعد ذلك للتحقق من صحة الإصلاح بواسطة فريق أمان داخلي، ومع ذلك يجب أن تتأكد المؤسسات من البحث بعناية عن الخدمات المختلفة، حيث يستخدم الكثيرون ببساطة أدوات اختبار مماثلة.
على الرغم من أن كلمة أتمتة قد لا تزال تجعل بعض المتخصصين في الأمن السيبراني ينزلقون، بمجرد تنفيذها، فإن قدرة الأداة على سد فجوة المهارات وتبسيط الامتثال وتمكين الكفاءة تجعل المزيد منهم يتنهد بارتياح، حيث قد يركز اختبار الاختراق على الشبكات والتطبيقات والمرافق المادية والأفراد وغير ذلك، مع استمرار انتهاكات الأمن السيبراني في إصابة المؤسسات، تتوسع ولايات الامتثال وتحاول المزيد من المؤسسات نشر برنامج أمان قوي.
محدوديات تطبيق اختبار القلم
فجوة المهارات والميزانيات المحدودة
كان تعيين عدد كافٍ من الموظفين المهرة لإجراء اختبارات القلم هو التحدي الأكبر (63٪) لتنفيذ برنامج اختبار القلم والمحافظة عليه، أفاد 25 ٪ فقط من الذين شملهم الاستطلاع أن لديهم فرق اختبار القلم مع ست سنوات أو أكثر من الخبرة، حيث يعد نقص المهنيين ذوي المهارات اللازمة وسنوات الخبرة مشكلة معروفة في مجتمع الأمن السيبراني، في الواقع، وفقًا لدراسة القوى العاملة للأمن السيبراني لعام 2019، أبلغ 65٪ من المؤسسات عن نقص في الموظفين، وتشير البيانات إلى أن القوى العاملة في مجال الأمن السيبراني بحاجة إلى النمو بنسبة 145٪ لسد فجوة المهارات.
بالإضافة إلى ذلك، قال 30٪ ممن شملهم الاستطلاع من أجل تقرير اختبار القلم لعام 2020 أن الحصول على رعاية تنفيذية وتمويل لبرنامج اختبار القلم كان يمثل تحديًا أيضًا، بينما يمكن تقديم خدمات اختبار الاختراق لتوفير الخبرة، فغالبًا ما يتم استخدامها مرة واحدة فقط في السنة بسبب قيود الميزانية.
سد الفجوة
حتى مع إطلاق المبادرات للمساعدة في زيادة عدد المتخصصين في الأمن السيبراني، يستغرق الأمر سنوات حتى يصبح الشخص خبيرًا، مع الإستراتيجية الصحيحة، لن تؤخر فجوة المهارات الشركة من نشر مبادرات اختبار القلم الحاسمة، لا يتطلب كل اختبار خبيرًا، في الواقع، تعتبر أدوات اختبار القلم الآلي مثل (Core Impact) مثالية لتبسيط العملية بحيث يمكن إجراء عدد من الاختبارات بواسطة أعضاء الفريق الذين ليس لديهم بالضرورة خلفية عميقة في اختبار القلم.
يمكن أن تكون بعض جوانب اختبار القلم متكررة تمامًا، من خلال إمكانات الأتمتة، يمكن تبسيط اختبار معقد، مثل استغلال تجاوز سعة المخزن المؤقت، حيث يمكن تشغيلها يدويًا بواسطة خبير مرة واحدة وحفظها كوحدة نمطية، أصبحت المهمة آلية الآن، بحيث يمكن لأي مستخدم تشغيلها بأي عدد من المرات ببضع نقرات بسيطة، بالإضافة إلى ذلك، الاختبارات العامة التي تتحقق من صحة العلاج هي أيضًا واضحة ومباشرة، قد يكون الاختبار الأولي الذي أكتمل خدمة جهة خارجية قد كشف عن عدد من نقاط الضعف الأمنية، كما يمكن للمبتدئين في اختبار القلم إجراء اختبار متابعة لمعرفة ما إذا كانت التدابير المتخذة لإصلاح هذه الثغرات الأمنية فعالة.
استخدام موارد اختبار القلم الخاص بشكل استراتيجي
لا يزال الخبراء في اختبار القلم جزءًا مهمًا من اختبار القلم، بالنسبة للاختبارات المعقدة التي تتطلب التعمق في الأنظمة والتطبيقات المختلفة أو إجراء تمارين بسلاسل هجوم متعددة، فأن المستخدم يحتاج شخصًا أو فريقًا يتمتع بخبرة أكبر من أجل اختبار هجوم واقعي.
