Get best of the week

كيفية اجتياز أي pentest بنجاح (نصيحة سيئة)

إذا كنت بحاجة ماسة إلى إجراء مكبوت ،
بينما لا ترغب في الحصول على قيلولة ، فقم
بسرعة بإلقاء نظرة على
قائمة النصائح المذهلة المعدة لك - ستوفر لك بالطبع.


تمت كتابة هذا المنشور بطريقة فكاهية لإثبات أنه حتى المتعصبين ، الذين يجب أن يكون عملهم مثيرًا للاهتمام ورائعًا ، يمكن أن يعانون من البيروقراطية المفرطة وعدم ولاء العملاء.

تخيل موقفًا: أنت متخصص في أمن المعلومات وتعلم أن الحماية التي قمت ببنائها هي قمامة كاملة. ربما لا تعرف ذلك ، لكنك لا تريد حقًا التحقق ، لأن من يريد مغادرة منطقة الراحة والقيام بشيء إضافي ، وتنفيذ تدابير وقائية ، وتخفيف المخاطر ، وإبلاغ الميزانية؟

فجأة ، في مملكتك من بعيد بعيدًا ، في مملكة الثلاثينات ، هناك حاجة إلى إجراء مكبوت ضد إرادتك ، على سبيل المثال ، أصبح شيء غريبًا على السلطات ، أو ظهرت متطلبات جديدة من القانون. من الواضح لك أنه من المفيد العثور على "مكتب Sharashkin" ، الذي سيقوم بتقليد الأعمال ويكتب أن كل شيء على ما يرام وأن الأمر قد انتهى ، لكن الوضع يزداد تعقيدًا. تقرر شركتك أن تلعب مسابقة وأن تفعل ذلك بأكبر قدر ممكن من الكفاءة: كتابة مواصفات فنية معقولة ، وتقديم مطالب عالية لفريق Pentester (الشهادات ، والمشاركة في مكافأة Bugty) ، إلخ. بشكل عام ، لقد فعلوا كل شيء من أجلك ، ومسؤوليتك هي فقط للإشراف على العمل.

لذلك ، تم العثور على الفريق ، تم توقيع العقد ، وإقناع المتخصصين بإجراء مكبوتة بعد عدم عمل الأكمام. أيها الرجال الأذكياء ، سيبدأون العمل يوم الاثنين ويفجرون أمن معلوماتك ، وبعد ذلك تمسك بقبعة وسيتم الكشف عن عدم أهليتك. يبدو الوضع بالنسبة لك الأكثر حزنا ، ولكن كان هناك! إليك بعض النصائح السيئة حول كيفية التخلص من هذا الصداع أو تقليله على الأقل.

نصيحة 1: تنسيق كل خطوة


تنسيق كل شيء: ما هي الأدوات التي يمكن أن يستخدمها Pentesters ، وما هي الهجمات التي سيقومون بها ، وما هي المخاطر التي ستتحول إلى نظام IS الخاص بك. والأفضل من ذلك ، طلب خطة اختبار مفصلة (كل ساعة تقريبًا) لكل يوم. كن مطمئنًا: سوف يكرهك Pentesters. يعتقدون أن لديهم عملًا إبداعيًا ، لكنك ستخبرهم أنه لا يوجد شيء مطلوب منهم باستثناء الأداء التافه للعمل. وتذكر: سلاحك هو الوقت ، وسحب التنسيق قدر الإمكان في كل خطوة. هذا سبب حقيقة أن لديك شركة كبيرة ، وتحتاج إلى الحصول على الكثير من الموافقات: من مالكي النظام ، من تكنولوجيا المعلومات ، من ضباط الأمن ، إلخ. حتى لو لم يكن هناك شيء ، يمكنك تجميل شيء ما.

هل كانت حقيقية؟


نعم ، إن الشركات الكبيرة والناضجة ، وخاصة المديرين الفعالين ، الذين لا يرغبون في القيام بذلك بأنفسهم ، يذهبون بعيدًا جدًا في الحصول على الموافقات في كثير من الأحيان بحيث يحبط الفريق بأكمله. ليس لدى الأشخاص "دافع" للعمل ، والرغبة في الإبداع وإختراق شيء ما حقًا. إنه أمر غريب بشكل خاص عندما يتم الاتفاق فقط على مرحلة "رفع الامتيازات" على خادم معين يوم الثلاثاء من الساعة 15:00 إلى 18:00 (هذا أمر سهل وطبيعي).

النصيحة 2: أضف المزيد من القيود


أضف قيودًا على العمل المنجز: من خلال عدد عمليات الفحص المتزامنة وعناوين IP المسموح بها والعملية والهجمات المقبولة. لا تفحص عناوين IP العشوائية من الشبكات الفرعية ، موضحة ذلك على أنه خطر لتعطيل العمليات التجارية الهامة. أو ، على العكس من ذلك ، اسمح بفحص بعض العناوين فقط وادعي أن نتائج فحص إحدى الخدمات يمكن استقراءها لجميع الآخرين في الشبكة الفرعية.

هل كانت حقيقية؟


في كثير من الأحيان في pentest الداخلية ، بدلاً من السماح لـ pentester بالمرور عبر جميع الشبكات الفرعية المحلية (192.168 / 16 ، 172.16 / 12 ، 10/8) ، يُطلب من العملاء استبعاد هذا المضيف ، تلك الشبكة الفرعية ، وهذا الجزء: "هنا تحتاج إلى اختبار واحد فقط من 500 مضيف على النحو المعتاد ، وهؤلاء المضيفين فقط من الساعة 5 مساءً حتى 9 صباحًا - ليس أكثر من 300 جلسة TCP في الثانية لكل مضيف. " حقيقة أن العمل مصمم لمدة 5 أيام لا يزعج أي شخص. بالنسبة إلى المؤدي ، يبدو هذا فظيعًا: لا يمكنك القيام بأتمتة عادية ، وتحتاج إلى مراقبة مستمرة أن الأدوات لا تتجاوز الحدود المسموح بها ، وعليك أن تحرف مجموعة من "العكازات" إلى جميع الأدوات. أثناء المسح في مكان ما وجمع قائمة من الخدمات ، اتضح أن حصة الأسد من الوقت قد تم إنفاقها بالفعل. أيضًا أثناء التطوير عبر الشبكة ، ترى: ها هي - خدمة ،الذي يفترض أن لديه حساب مميز ... لكنه استبعد من الفحص.

النصيحة 3: اطلب المزيد من التقارير


تمت مناقشة المحاذاة بالفعل ، ولكن ماذا عن إعداد التقارير؟ لتمكين الناس من العمل بهدوء وتقديم تقرير في النهاية؟ لا! طلب تقارير كل أسبوع ، يوم ، نصف يوم. راجع التجارب السلبية للسنوات السابقة والرغبة في التحكم في العملية التي دفعوا مقابلها. نجاح باهر ، كيف "وضع العصي في العجلات."

هل كانت حقيقية؟


يحدث هذا في كثير من الأحيان. حتى بعد 5 دقائق ، يبدأون في الاقتراب من خلف الكتف ويسألون: "حسنًا ، هل تم اختراق هذا بالفعل؟" في الرسول ، يتم سحب حالة العمل كل ساعة ، وبحلول نهاية اليوم ينتظرون النتيجة النهائية للدليل ، المصمم بشكل جميل في مستند Word. ونتيجة لذلك ، يركز المتخصص على كيفية كتابة تقرير ، وليس على جودة الاختبار.

نصيحة 4: اطلب تسجيل تفريغ حركة المرور وشاشة الكتابة


بالإضافة إلى ذلك ، اطلب من pentesters تسجيل شاشة وكتابة تفريغ لحركة مرور الشبكة. قم بتبرير ذلك لأنك تقلق بشأن تسريب معلومات سرية أو ترك باب خلفي.

هل كانت حقيقية؟


يقوم بعض العملاء بتشغيل الوضع بجنون العظمة والتحكم في كل خطوة تخطوها. في الحقيقة ، إذا كان ذلك ضروريًا حقًا ، سيجد pentester بالتأكيد كيفية الالتفاف على تسجيل الشاشة أو توليد حركة المرور اللازمة ، ولا يوجد أي معنى في هذه التدابير ، ولكنها تتداخل حقًا مع العمل.

النصيحة 5: التواصل من خلال ثلاثة مديرين


تواصل من خلال أكثر من 3 مديرين ، وبالتالي اللعب على هاتف مكسور وزيادة الوقت. حاول عدم جلب المتطلبات مباشرة إلى فناني الأداء الحقيقيين ، والتواصل من خلال وسطاء ، خاصة بدون خبرة في الجزء التطبيقي. ونتيجة لذلك ، نحصل على قاطرة بخارية لدرجة أن المعلومات إما ستتغير أو ستستمر لفترة طويلة جدًا.

هل كانت حقيقية؟


في المشاريع الكبيرة ، هذه هي القاعدة على الأرجح من الاستثناء. يأمر ضابط الأمن بالعمل ، ويشرف ضابط الأمن ، ويتواصل المدير مع النجم ، في بعض الأحيان ليس بشكل مباشر ، ولكن من خلال مديره. ونتيجة لذلك ، حتى مع إزالة جميع العوامل الأخرى ، يصل أي طلب إلى الهدف بعد نصف يوم ويعيد الإجابة على سؤال آخر.

نصيحة 6: ضرب الغرور


تذكر أن الشيء الرئيسي هو الناس. لذلك ، لتقليل جودة العمل ، من الأفضل أن تضربهم مباشرة ، أو بالأحرى ، في الغرور. اسأل كيف سيختبرون تقنية غير معروفة ، ثم قل أنهم يتوقعون المزيد. أضف إلى ذلك أنه قبل عامين اخترق البنتريست شركتك في ساعتين. لا يهم أن النظام كان مختلفًا في ذلك الوقت ولم يكن هناك SZI ، وعملت في مكان آخر. الشيء الرئيسي هو الحقيقة نفسها: نظرًا لأن المكعبين لم يتصدعوا في ساعتين ، فلا يوجد شيء يحترمهم. ترى أن أبطال البنترات أبحروا - اطلبوا فريقًا بديلًا دون زيادة الوقت.

هل كانت حقيقية؟


غالبًا ما نسمع قصصًا عن الاختراق القديم ، وهذا لا علاقة له بالبنية التحتية الحالية وعمليات أمن المعلومات. كما أن الأسئلة حول مدى أمان تقنية "الدراية" ، ليست شائعة أيضًا ، عليك أن تفهم بسرعة وتعطي إجابة موجزة ، وهي ليست كافية دائمًا.

حالة أخرى مثيرة للاهتمام: لدينا فتاة بنتيستر في فريقنا ، وعندما تأتي للقيام بوظيفة داخلية ، يكون العملاء في البداية غير واثقين ، ثم يذهبون إلى النظر إليها كمعرض. لن يرغب الجميع في العمل في مثل هذه الظروف.

نصيحة 7: تقليل الراحة


هل تعمل في خزانة مظلمة حيث لا يلتقط الهاتف الخليوي؟ هل تعمل في العمل الجماعي الصاخب؟ كرسي مكسور وصرير؟ مكيف الهواء المكسور؟ من أجل الذهاب إلى المرحاض وشرب الماء ، هل أنت بحاجة إلى مرافق؟ أعتقد أنك فهمت بالفعل ما يجب القيام به.

هل كانت حقيقية؟


نعم ، ونعم مرة أخرى. كان هناك عدد قليل من الحالات اليائسة ، ولكن هناك مواقف كافية عندما لا تفكر في العمل ، ولكن حول كيفية الخروج بسرعة من هنا بسبب الظروف الخارجية.

نصيحة 8: اترك جميع الدفاعات الاستباقية قيد التشغيل


ننتقل إلى النكات التقنية. دع PCI DSS والمنهجيات الأخرى توصي بتعطيل بعض SZI الاستباقية لمزيد من الاختبارات الاختبارية - عليك القيام بالعكس. دع الناس يعانون بحثًا عن حل ، وكيفية اختبار شبكة الشركة بسرعة ، حيث يتم حظرهم طوال الوقت.

قم بإخماد المنفذ الموجود على المفتاح الذي عالق فيه النجم على الفور. وبعد ذلك يصرخ بصوت عالٍ أن الفضي هو فاشل ويلاحق القراصنة المكروهين من الجسم.

هل كانت حقيقية؟


لقد اعتدنا بالفعل على الاختبار عند تمكين SIS الاستباقية (IPS ، WAF). من السيئ أنه في هذه الحالة يتم إنفاق حصة الأسد من الوقت على فحص نظام أمن المعلومات ، وليس على اختبار البنية التحتية نفسها.

نصيحة 9: ضع في vlan خاص


توفير وصول غير واقعي إلى الشبكة لا يطابق وصول المستخدم العادي. يجب ألا يكون هناك شيء ولا أحد في تلك الشبكة الفرعية. وقواعد التصفية ستنكر أو تنكر أو تقترب منها.

هل كانت حقيقية؟


نعم ، بطريقة ما ، تم منحنا إمكانية الوصول إلى شبكة فرعية باستخدام طابعة واحدة وفي حالة عزل الشبكة عن الشبكات الأخرى. كل العمل جاء لاختبار الطابعة. كخبراء تقنيين ، عكستنا بالطبع كل شيء في التقرير ، لكن هذا لم يغير أي شيء. كان هناك موقف عكسي عندما اخترقنا نصف الشركة من خلال طابعة ، لكن هذه قصة مختلفة تمامًا.

نصيحة 10: العمل من خلال VPN


إن إجراء pentest داخلي في غرفة حقيقية حيث يستطيع pentester الحصول على مجموعة من المعلومات الإضافية (إعدادات هاتف الشركة والطابعة والتنصت على محادثة حية للموظفين ، ورؤية المعدات من خلال عيونهم) ليست قضيتك. تحتاج إلى تنفيذ العمل ، كما لو كنت تحاكي "دخيلًا داخليًا" ، و "كيفية" تفسير كيف يناسبك. لذلك ، وفر الوصول فقط من خلال VPN ، ومن الأفضل عدم استخدام أقصر طريق. بالإضافة إلى ذلك ، قم بالوصول إلى L3 فقط ، لأن هجمات الشبكة على مستوى L2 ليست ذات صلة [سخرية]. يمكنك تبرير ذلك عن طريق توفير المال: لماذا يجب أن يذهب الناس إليك مرة أخرى ، ويأخذوا وظائف ، ويتدخلون في الموظفين ، إذا كان ذلك طبيعيًا.

هل كانت حقيقية؟


نعم ، من الطبيعي جدًا أن يتم إجراء مؤسسة أكبر عددًا من خلال VPN أقل من L3. كل شيء معلق ، تصبح القناة مسدودة ، والأدوات ترى التأخيرات على أنها عدم توفر الخدمات ، ولا يوجد ما يقال عن استحالة هجمات البث و MITM. نعم ، وبعد الدعامات الداخلية العادية مع Pentest على VPN ، مثل الجري على الرمال في الزلاجات.

نصيحة 11: لا مربع رمادي


لا ينبغي إعطاء Pentesters أي حسابات أو أي وثائق أو أي معلومات إضافية ، حتى إذا كان ذلك مطلوبًا بموجب العقد. ما هو جيد ، سيكون مفيدًا بالنسبة لهم لتحقيق النتائج بشكل أسرع. برر حقيقة أن مخترقًا حقيقيًا (صورة مفروضة في وسائل الإعلام) سيأتي ويكسر كل شيء على الفور. عناء - إعطاء الوثائق قبل عشر سنوات.

هل كانت حقيقية؟


يبدو أن جميع الأشخاص "في الموضوع" يفهمون أن المهاجم الجاد لن يجلس ويحاول اختراق النظام بشكل خرقاء ، سيقوم أولاً بإجراء الاستطلاع وجمع المعلومات المتاحة والتواصل مع الناس. إذا كان هذا دخيلًا داخليًا ، فهو يعرف بالفعل من وماذا وأين. الموظف داخل العمليات ولديه المعرفة. ولكن لا يزال ، 80٪ من الدعامات عبارة عن "صندوق أسود" ، حيث يتعين عليك القدوم في غضون 5 دقائق ، واكتشافه وتصدعه بنفسك ، وإلا فإنه ليس "مخترق عمل".

نصيحة 12: لا تسمح بتبادل المعلومات بين المجالات المختلفة (الداخلية والخارجية والاجتماعية)


قم بتنظيم العمل المتباين ، بشكل أفضل من قبل المتخصصين المختلفين وبدقة دون نقل المعلومات بين الاتجاهات. برر ذلك بحقيقة أنك بحاجة إلى تحديد المخاطر بدقة لكل منطقة.

إذا تم استخدام معلومات "من الداخل" (تم الحصول عليها من الداخل) على المحيط الخارجي للقرصنة ، فحينئذٍ لا تحسب مثل هذه الأعمال بأي حال من الأحوال ، قل أن هذه ليست مثيرة للاهتمام بالنسبة لك ولا تتوافق مع الأعمال المعلنة. إذا كانت المعلومات التي تم الحصول عليها بعد "الهندسة الاجتماعية" في متناول اليد بالنسبة إلى المكبوتة الداخلية ، قل أيضًا أنها لا تحتسب.

هل كانت حقيقية؟


هذا هو في الواقع نهج pentest الكلاسيكي ، ونتائج كل اختبار مطلوبة حقًا بشكل مستقل ، كما لو أن المهاجم الحقيقي فعلاً. لكن في الحقيقة ، مجموعات APT لا تعمل بهذه الطريقة.

نصيحة 13: أخبر الجميع في الشركة أن لديك مكانة


أعلن للشركة بأكملها أن لديك مكانة عالية. اسمح للجميع بإزالة الملصقات باستخدام بيانات الاعتماد ، ولا أحد يفتح المرفقات في البريد ولا يدخل محركات الأقراص المحمولة الموجودة في USB. يجب على الموظفين الذين يتمتعون بحقوق وصول مميزة الذهاب في إجازة أو الدراسة وإيقاف تشغيل أجهزة الكمبيوتر الخاصة بهم ، ولكن الأهم من ذلك ، أنهم سيغيرون كلمة مرور qwerty إلى كلمة مرور عشوائية (على الأقل أثناء المكالمة). بشكل عام ، يجب تقليل النشاط داخل الشركة إلى أقصى حد ممكن ، وزيادة اليقظة. وبالتالي ، سوف تقلل بشكل كبير من إمكانية الهجمات التي تستهدف العمال والتنمية داخل الشبكة.

هل كانت حقيقية؟


حسنا بالطبع كان كذلك. تبدأ العمل وترى أن الناس يتم تحذيرهم ، وكلمات المرور التي تم تغييرها مؤخرًا ، وهم يشكون بك. لا يمكن فحص بعض أجهزة الكمبيوتر ، لأن الأشخاص في التدريب "مصادفة خالصة".

نصيحة 14: مراقبة Pentesters


إسقاط كل روتينك ومتابعة فقط pentesters. حتى لو لم يكن لديك مراقبة ، حاول. بمجرد أن ترى أنهم وجدوا شيئًا ما ، قم بحظر الوصول على الفور وتغيير الأذونات وحذف الحسابات وإطفاء المنافذ. إذا كنت حقا بحاجة إلى - طرد الناس.

هل كانت حقيقية؟


أوه ، هذا بشكل عام "مفضل". أنت تقول للعميل: "سنجري طلبًا كبيرًا ونبلغك بكل شيء مهم ، فقط أنت لا تغير أي شيء ، نحن نساعد في إيجاد ليس فقط خلل معين ، ولكن لكشف العمليات السيئة". وبمجرد إبلاغك بشيء ما ، فإنه يتغير "عن غير قصد" على المدى القصير. فيما يلي بعض الحالات الحقيقية.

  1. SMB-, 5 , « » . , — , .
  2. , -. , « ». , , . « ».
  3. , RCE , , .

15: !


إذا كان لسبب ما لا يزال بإمكان أصحاب المواقف العثور على ثغرة أمنية ، ويطلبون منك الموافقة على تشغيلها ، فلا توافق ؛ تبرير انتهاك إمكانية الوصول. هذا الكمبيوتر المحمول للعرض هو خدمة عمل حاسمة!

هل كانت حقيقية؟


نعم ، يحدث هذا أيضًا طوال الوقت. يمكن ملاحظة أن الخادم لديه بيانات حرجة وهناك ثغرة أمنية ، ولا يقوم العميل بتنسيق العملية. ونتيجة لذلك ، يفقد المقاول نقطة الدخول ، والتي يمكن أن تسحب معه مجموعة كاملة من المشاكل معه ، حتى يتم اختراق الشركة بأكملها. وإذا لم يوافقوا ، يقول التقرير ببساطة: "العملية لم يتم الاتفاق عليها" ، ولا يوجد شيء مثير للاهتمام في التقرير.

نصيحة 16: توقف العمل بشكل متكرر


بالنسبة لجميع حوادث تكنولوجيا المعلومات ، قل أنها بسبب المكبوتة وأوقف العمل مؤقتًا. إذا لم يكن هناك حادث ، فتقدم به. اطلب تقديم سجلات كل ما فعله البنتستر أول من أمس من الساعة 2:00 مساءً حتى 3:00 مساءً - دعه يقوم بتحليل حركة المرور الخاصة به وتذكر أي من مئات الشيكات باستخدام الأداة وأين تم إطلاقها.

هل كانت حقيقية؟


ليس فقط pentesters ، ولكن أمن المعلومات ككل يعاني من هذا. بمجرد أن تبدأ في تنفيذ العمل ، فإن أي حادث في المنظمة يؤدي على الفور إلى الحاجة إلى التوقف وتصنيفه. أصبح الخادم غير متوفر - هؤلاء هم pentesters ؛ خرج الفيروس من المستخدم - هؤلاء هم pentesters ؛ تحطمت آلة صنع القهوة في الخزانة - هذه هي pentesters. نحن نتعامل مع هذا بروح الدعابة والصبر ، لكن الوقت يأكل بشكل واضح.

نصيحة 17: منع تحليل ملفات الأقراص والبريد


منع Pentesters من الوصول إلى أقراص الملفات والبريد لتحليل محتوياتها. تبرر ذلك بعبارة "معلومات سرية للغاية".

هل كانت حقيقية؟


بالطبع ، هناك 20 صندوق بريد إداري ، ولكن لا يمكنك قراءة الرسائل. ومع ذلك ، من الناحية العملية ، قمنا باستخراج كلمات مرور إضافية بشكل متكرر في البريد ، وساعدوا بشكل كبير في اختراق الشركة. ونعم ، القراصنة الحقيقيون ، بالطبع ، كان بإمكانهم تفريغ كل البريد ولم يطلبوا أحدًا.

نصيحة 18: اطلب تحليل برنامج البائع


لنفترض أنه من البنية التحتية بأكملها ككل ، قد ترغب في أن يقوم المتخصصون بتحليل برنامج البائع ، خاصة إذا كان منتشرًا للغاية ويكاد يكون "إصدارًا محاصرًا" بدون تكوين إضافي.

هل كانت حقيقية؟


يحدث أنهم يطلبون كسر Cisco ASA النقي أو شيء مشابه. نقول أن هذا المنتج منتشر على نطاق واسع ، وعلى الأرجح ، تم اختباره من قبل الكثيرين ، يمكننا التحقق من "التهيئة الخاطئة" ، ولكن ليس هناك جدوى من غموض كل شيء أثناء المكبوتة. هذا في الواقع بحث لمدة 0 يوم ، ومن الأفضل الاختبار على حامل بالتزامن مع الهندسة العكسية. أومأ العملاء وما زالوا يطلبون اختبارهم خلال المكالمة ، والذي سيكون في الوقت المناسب. إنها دائما مضيعة للوقت.

نصيحة 19: تعديل التقرير النهائي


أحلى شيء: إذا ، بعد كل شيء ، تم الانتهاء من القرصنة وقدم لك pentesters النسخة الأولى من التقرير ، اطلب فقط إزالة اللحظات الحرجة منه. هذا عمل تجاري ، ويجب أن تحصل على تقرير دفعت مقابله.

هل كانت حقيقية؟


هناك لحظات مضحكة تجعلك تريد الضحك والبكاء. إما "إزالة بريد الرئيس التنفيذي من التقرير" ، "" يجب إزالة هذا الخادم "،" "الذي طلب منك إدخال أجهزة كمبيوتر خدمة IS - أزلها بسرعة". في بعض الأحيان تصحح الصياغة ، وبفضلها تصبح واحدة ونفس الحقيقة من الرهيب مقبولة تمامًا.

نصيحة 20: قم بإعداد لعبة شرسة على أجهزة الشبكة


لما لا؟ إذا كان لديك بيض قبضة فولاذية ولديك القدرة التقنية ، فقم بإنشاء فوضى. على سبيل المثال ، دع كل 27 حزمة TCP يتم إرجاعها إلى pentester تأتي مكسورة. الشيء الرئيسي هو أنه لا أحد يلاحظ.

هل كانت حقيقية؟


ليس بعد ، ولكن هذا ليس دقيقًا. ربما كان السلوك غير الطبيعي للماسح الضوئي في واحدة من 100 حالة نتيجة لهذه التدابير.

استنتاج


لم يكتب أحد في التقرير عن مليون مشكلة ظهرت أثناء العمل: تم منح هذا الوصول لمدة 5 ساعات ، وأنهم وافقوا على العملية لمدة يومين ، وأن هناك كرسيًا بدون ظهر ، وكمامة من ورقة النافذة ، وما إلى ذلك. كل هذا لا يزال وراء الكواليس ، واستناداً إلى نتائج العمل ، يتم إصدار تقرير فني جاف ، بالنظر إليه ، لن يفهم الشخص المستقل ببساطة مقدار الألم وراءه.

في مركز أمن المعلومات "Jet Infosystems" ، نعمل مع الشركات المتوسطة والكبيرة. يتم تنفيذ بعض هذه النصائح من قبل العملاء في الخلفية بسبب الخصائص الداخلية للمؤسسة ، وخطورة نظم المعلومات وعدد كبير من المسؤولين. هذه عمليات عادية لتقليل مخاطر تأثير عمل تحليل الأمان على عمليات الأعمال. ومع ذلك ، بالنسبة للجزء الأكبر ، فإن أيدينا غير مقيدة ويتم بناء علاقات ودية مع العملاء. نحن أنفسنا يمكن أن نقدم النهج والتفاعل الصحيح المناسب لكلا الطرفين. حتى في المنظمات البيروقراطية المعقدة ، يمكنك دائمًا إيجاد حل مرن والقيام بعمل جيد ، إذا كنت تتفق بشكل صحيح مع الأشخاص المهتمين.

More articles:


All Articles