ما يجب معرفته لحماية المواقع من الإختراق
- المشكلة الأساسية في الحماية
- أساليب الحماية الأساسية
- فكر كمخترق
تفيض الشبكة العنكبوتية بالكثير من المواقع التي تقدم مختلف الخدمات, و تُبرمج هذه المواقع لتعالج و ترسل البيانات للزوار, لكن بعض الزائررين الغير مرغوب بهم سيحاولون الاستفادة من المواقع لخدمتهم بطرق ممنوعة و غير مخولة لهم فكيف تستطيع حماية موقعك؟ هذا ما سنتحدث عنه في هذا المقال.
في البداية عزيزي القارئ يجب عليك أن تكون ملماً بطريقة الإتصال بين الخادم و العميل, إذ لا يكفي معرفتك لكيفية برمجة الموقع لتستطيع حمايته, و يشمل ذلك معرفة ببروتوكول نقل النصوص الفائق HTTP و لغة JavaScript.
المشكلة الأساسية في الحماية
تتلخص طرق الاختراق جميعها في أن المخترق يمكنه إرسال المدخلات للموقع, و لا يقتصر ذلك على إدخال مدخلات خبيثة عبر الحقول النصية في صفحة HTML فقط بل يتعدى ذلك إلى إرسال طلبات HTTP مع إمكانية تعديل جميع البيانات الممررة بطريقة لن يتوقعها مطور الموقع, و لذلك عليك عزيزي القارئ فهم هذه النقاط جيداً:
- لا تتوقع أبداً أن أي كود ترسله للمستخدم سيتم تنفيذه.
- جميع ما ترسله عبر HTTP مكشوف تماماً للمستخدم.
- المخترق لن يتعامل مع المتصفح بل مع أدوات يستطيع من خلالها إرسال أي طلب HTTP.
أساليب الحماية الأساسية
تتلخص أساليب حماية المواقع في النقاط الأساسية التالية مع الإشارة إلى أن التدقيق الكبير في طريقة عملهم سيوفر أعلى درجات الأمان:
- التأكد من أن الإتصال بين الموقع و العميل آمن.
- تحديد صلاحيات المستخدم للبيانات و لخدمات الموقع لمنع المستخدم من الوصول لأمور غير مخول بها.
- معالجة مدخلات المستخدم للموقع بحيث لا يستطيع إدخال مدخلات خبيثة تؤثر على طريقة عمل الموقع و تعطي نتائج غير مرغوب بها.
- التعامل مع هجمات المخترقين بحيث يستطيع الموقع العمل بشكل صحيح أثناء الهجوم, و اتخاذ إجراءات دفاعية لإحباط الهجوم.
- تمكين المسؤولين من مراقبة النشاطات في الموقع و تعديل إعداداته.
فكر كمخترق
ذلك الذي يعرف العدو ويعرف نفسه لن يعرف الخطر ولو في مئة معركة
صن تسو القرن الرابع ق.م
إن من أهم الطرق لاكتشاف الثغرات في موقعك هي محاولة اختراقه مباشرة, قم بذلك على محمل الجدية, ستساعدك الكثير من الثغرات المعروفة على البدء بالمحاولة لكن في النهاية عليك إيجاد طريقة لاختراق منطق موقعك لتجعله يقوم بأمور غير متوقعة منه, و عندما تنجح حاول سد الثغرات المكتشفة. يمكنك الاستعانة ببعض البرامج للبحث عن الثغرات المشهورة في موقعك بسرعة وسهولة, وتسمى هذه البرامج برامج اختبار الاختراق Dynamic Application Security Testing.
للإطلاع على الثغرات المشهورة يمكنك قراءة كتاب The Web Application Hackers Handbook أو موقع OWASP.
أمن المعلومات
