قواعد الاشتباك لاختبارات الأمن
هذا هو المعيار الذي يلتزم به كل عضو في الشبكة عند اختبار نظام: أين يمكن العمل، ومتى، وما الذي لا يُفعل أبدًا، وماذا يحدث إذا توقف شيء ما. نُشرت عمدًا: ليقرأها من يطلب الاختبار مسبقًا، وليستخدمها أي محترف أساسًا لعقده. إنها نموذج جاهز: يُكيَّف مع كل عمل ونطاقه واحتياجات العميل.
- العمل فقط حيث هو مكتوب. تُختبر فقط الأنظمة التي أدرجها العميل كتابيًا. ما لم يُكتب لا يُمس، حتى لو كان يمكن الوصول إليه من الأنظمة المصرّح بها. خدمات الأطراف الثالثة المتصلة — المدفوعات، البريد، الإحصاءات — تبقى خارج النطاق، إلا بإذن كتابي من مزوّدها.
- العمل فقط في الوقت المتفق عليه. تُجرى الاختبارات ضمن التواريخ والنافذة الزمنية المتفق عليها، مع كتابة الأوقات بنظام 24 ساعة والمنطقة الزمنية بجانبها. لا يُنفّذ شيء خارج هذه النافذة. أي وقت إضافي يُتفق عليه كتابيًا.
- عن بُعد، ما لم يُتفق على غير ذلك. يتم العمل عبر الشبكة، على الأنظمة المحددة فقط. الحضور في الموقع يُتفق عليه بشكل منفصل وكتابيًا.
- ما لا يُفعل أبدًا. لا اختبارات تهدف إلى إسقاط الأنظمة أو إبطائها. لا حذف ولا تعديل ولا تشفير للبيانات. لا مكالمات أو رسائل خادعة للموظفين، إلا باتفاق صريح ومكتوب. اختبارات التحميل أو الهندسة الاجتماعية يُتفق عليها بشكل منفصل.
- إذا توقف شيء، يتوقف كل شيء. إذا تجمّد نظام أو تباطأ، تتوقف الاختبارات فورًا ويُتصل بجهة الاتصال التي حددها العميل، والتي يجب أن تكون متاحة طوال النافذة.
- لا تُسلَّم أي أسلحة. لا تُسلَّم الثغرات المستغلّة أو برامج الفدية أو البرمجيات الخبيثة لأي أحد ولا تُترك على الأنظمة. ما يُستخدم لإثبات الخلل يُحذف عند انتهاء الاختبار. يتلقى العميل ما كان مكشوفًا ومدى خطورته وكيفية إغلاقه — لا الأداة المستخدمة.
- التشفير يُفحص دائمًا. يفحص كل اختبار كيفية حماية البيانات والوصول: مفاتيح مكتوبة في الشيفرة، حمايات قديمة، شهادات منتهية أو مُعدّة بشكل خاطئ، كلمات مرور مخزّنة بشكل ضعيف. الاختبار ليس شهادة امتثال: تلك تصدرها جهة معتمدة.
- ما يُرى يبقى سريًا. البيانات السرية التي تُصادف أثناء الاختبار تبقى سرية بلا أجل، ولا تُنسخ إلا بالحد الأدنى اللازم لإثبات المشكلة، وتُحجب في التقرير.
- التقرير ملك العميل. الوثيقة النهائية ملك العميل. لا تُستخدم كدراسة حالة، ولا يظهر اسم العميل في أي مادة دون إذنه الكتابي.
- يُنصح بنسخة احتياطية. يُنصح بنسخة احتياطية حديثة ومُتحقق منها قبل أي اختبار: خطر الاختبار لا يكون صفرًا أبدًا. إن لم تتوفر، يُعمل بأقصى حذر ويبقى الخطر على العميل كتابيًا.
- ما ليس عليه الاختبار. يقول الاختبار ما وُجد ضمن النطاق والوقت المتفق عليهما. ولا يضمن أن النظام غير قابل للاختراق.
- من يأذن يجب أن يكون مخوّلًا. يقرّ من يطلب الاختبار كتابيًا بأنه مالك الأنظمة أو لديه إذن كتابي من مالكها. إذا كانت الأنظمة لدى مزوّد خارجي، يلزم إذنه أيضًا.
الاتفاقات المالية والعقد تبقى بين العضو والعميل: Boutique Hacker ليست طرفًا في العمل؛ تتحقق من شهادات الأعضاء وتنشر هذه القواعد. يُقدَّم النموذج كما هو: تحديد النطاق والحصول على الأذونات وتكييف القواعد مع كل عمل مسؤولية العضو والعميل وحدهما. لا تتحمل Boutique Hacker أي مسؤولية عن أخطاء النطاق أو الأذونات المفقودة أو الأضرار الناتجة عن العمل المنجز.