فحص الثغرات الأمنية للمواقع الإلكترونية

هل في موقعي ثغرة أمنية، وكيف أعرف ذلك؟

الثغرة الأمنية هي نقطة ضعف في برمجيات الموقع أو في إعداداته تتيح لغيركم القيام بعمليات دون إذن. ومعظم الثغرات لا تكشف عن نفسها: فالموقع يفتح بشكل طبيعي، والطلبات تصل، والنماذج تعمل. ولهذا فإن فكرة "موقعي يعمل، إذن لا مشكلة" فكرة مضللة.

ومع ذلك قد تنذر بعض العلامات بوجود مشكلة. فإن لاحظتم واحدة مما يلي، ننصحكم بفحص موقعكم دون تأخير:

• تحويلات غير متوقعة: يُرسَل الزوار أو القادمون من Google إلى موقع آخر.
• نتائج لا تعرفونها: تظهر في Google باسم موقعكم صفحات بلغة أجنبية أو بمحتوى عن الأدوية أو المراهنات.
• حسابات مجهولة: يوجد في لوحة الإدارة حساب مدير لم تنشئوه أنتم.
• تنبيهات: إشعار بمشكلة أمنية في Search Console، أو تحذير "غير آمن" في المتصفح، أو رسالة تحذير بالبريد الإلكتروني من شركة الاستضافة.
• بطء لا تفسير له: تمتلئ موارد الخادم ويبطؤ الموقع رغم أن الزيارات لم تزد.
• مشكلات في النماذج والبريد: تصل من النماذج إرسالات بلا معنى، أو تخرج من نطاقكم رسائل بريد إلكتروني لم ترسلوها.

ما الذي نفحصه في فحص الثغرات الأمنية؟

لا يقوم أمان الموقع على إعداد واحد، بل على طبقات مترابطة. وفي الفحص نراجع كل طبقة على حدة، ثم نجمع النتائج في تقرير واحد.

لماذا تتصدر ثغرات PHP الأخبار بهذه الكثرة؟

PHP لغة برمجة تشغّل جزءًا كبيرًا جدًا من المواقع على الإنترنت؛ إذ يعمل بها WordPress وكثير من منصات التجارة الإلكترونية والمواقع المؤسسية. ولهذا عندما تُكتشف ثغرة في PHP لا يتعرض للخطر موقع واحد، بل عدد لا يحصى من المواقع التي تستخدم الإصدار نفسه في آن واحد.

وثمة تفصيل مهم: يعمل PHP على الخادم. فتحديث WordPress أو الإضافات لا يحدّث PHP؛ بل يطبّق الإصلاح مزوّد الاستضافة أو الفريق الذي يدير الخادم. أما إصدارات PHP القديمة التي انتهى دعمها الأمني فلا تتلقى إصلاحات للثغرات الجديدة. وقد شرحنا أحدث ثغرات PHP، وكيفية الحفاظ على الظهور في البحث إذا اقتضى الأمر إغلاق الموقع، في خبرنا عن قاعدة صفحة الصيانة والترقيع عند ثغرة PHP.

كيف نجري الفحص الأمني؟

لا نبدأ الفحص إلا بإذن كتابي من صاحب الموقع وبعد أن نحدد النطاق معًا. والأساليب التي نستخدمها لا تضر بالموقع، ولا تحذف البيانات، ولا تولّد حملًا يفسد تجربة الزوار.

• الجرد: نُدرج إصدارات PHP وقاعدة البيانات ونظام إدارة المحتوى والقالب والإضافات.
• المقارنة بالثغرات المعروفة: نقارن كل مكوّن بالإشعارات الأمنية المنشورة للعموم.
• الفحص من الخارج: نتحقق مما يستطيع زائر أو أداة آلية رؤيته في الموقع: الملفات المكشوفة، ورسائل الخطأ، وصفحات تسجيل الدخول، والترويسات.
• مراجعة الإعدادات: عند منحنا صلاحية الوصول نراجع إعدادات الخادم ولوحة التحكم واسم النطاق.
• فحص الشيفرة والملفات: نبحث عند الحاجة في ملفات الموقع عن تغييرات غير متوقعة أو أبواب خلفية أو شيفرات خبيثة.

ماذا نفعل إذا وجدنا ثغرة؟

نقسم كل نتيجة حسب أثرها وسهولة استغلالها إلى ثلاث مجموعات: ما يجب إغلاقه فورًا، وما يُخطَّط له في وقت قريب، وما يُعالَج في فترة الصيانة التالية. ويوضح التقرير بلغة بسيطة ماهية كل نتيجة، وسبب أهميتها، وطريقة إغلاقها.

نجرّب التحديثات بعد أخذ نسخة احتياطية، وفي بيئة اختبار إن أمكن، ثم نطبّقها على الموقع الحي. ونتولى أيضًا المراسلة مع مزوّد الاستضافة بشأن الإصلاحات في جانب الخادم. وإذا كان الموقع مخترقًا فإننا نزيل الشيفرة الخبيثة، ونجدد كلمات المرور ومفاتيح الوصول، ونبحث عن الأبواب الخلفية، ونقدّم عند الحاجة طلب مراجعة جديدة عبر Search Console.

كيف يُحافَظ على الظهور في البحث أثناء التحديث؟

قد يلزم إغلاق الموقع لفترة قصيرة من أجل ترقيع عاجل. وإذا عرضت الصفحات خلال ذلك صفحة خطأ، فقد يوحي هذا لمحركات البحث بأن الموقع أُزيل. والطريقة الصحيحة هي إرجاع رمز الحالة الذي يُبلغ بانقطاع مؤقت طوال مدة الصيانة، وإبقاء هذه المدة أقصر ما يمكن، والتأكد من بقاء ملف robots متاحًا.

وفي المواقع المخترقة يُعدّ تنظيف الصفحات الغريبة التي دخلت محركات البحث وإزالة التحذيرات جزءًا من العمل أيضًا. ونتولى هذه الخطوات مع فريق SEO لدينا، ونتابع في Search Console أخطاء الزحف وإشعارات الأمان.

ما الفرق بين الفحص الأمني واختبار الاختراق؟

يركّز فحص الثغرات الأمنية على اكتشاف نقاط الضعف المعروفة في الموقع وترتيب أولوياتها: أي برنامج قديم، وأي إعداد ناقص، وأي ملف مكشوف. أما اختبار الاختراق فهو عمل أشمل وأطول، يحاكي المسار الذي سيسلكه المهاجم ليختبر ما إذا كان يمكن استغلال نقاط الضعف هذه فعلًا.

وبالنسبة إلى معظم المواقع المؤسسية ومتاجر التجارة الإلكترونية الصغيرة، فإن البداية الصحيحة هي فحص منتظم للثغرات وإغلاق ما يُكتشف منها. أما في المشاريع التي تضم بنية دفع، أو قاعدة بيانات عملاء كبيرة، أو التزامًا بالتدقيق تفرضه الأنظمة، فيمكن التخطيط لاختبار اختراق منفصل؛ ونقيّم هذه الحاجة معًا في نهاية الفحص. وإذا لزم اختبار الاختراق فإننا نحدد نطاقه وأذوناته كتابيًا أيضًا.

أي المواقع تحتاج إلى فحص منتظم؟

ينبغي افتراض أن كل موقع له قيمة كافية لأن يُهاجَم؛ فمعظم الهجمات لا تبدأ باستهداف شركة بعينها، بل بعمليات مسح آلية تستهدف كل موقع فيه ثغرة. وننصح بالفحص المنتظم خصوصًا في المواقع التالية:

• مواقع التجارة الإلكترونية التي تعالج المدفوعات وبيانات العملاء
• المواقع المؤسسية التي تجمع بيانات شخصية عبر النماذج أو العضوية أو نظام المواعيد
• المواقع التي لم تُحدَّث منذ مدة طويلة أو تعمل على بنية قديمة
• المواقع التي انقطعت صلتها بالوكالة أو المبرمج الذي أنشأها، ولا يُعرف من يديرها
• مواقع WordPress التي تستخدم عددًا كبيرًا من الإضافات

وإذا كانت البنية القديمة غير قابلة للتحديث، فقد يكون تجديد الموقع أكثر أمانًا وأقل تكلفة. وفي هذه الحالة نمضي بالنهج الموضح في صفحتي تصميم المواقع الإلكترونية والمواقع والتجارة الإلكترونية.

ما الذي يجب فعله للحفاظ على أمان الموقع؟

• نظام التحديث: تُحدَّث البرمجيات الأساسية والقوالب والإضافات على فترات منتظمة، مع أخذ نسخة احتياطية.
• النسخ الاحتياطية: تُحفظ النسخ الاحتياطية في مكان منفصل عن الموقع، ويُجرَّب من حين لآخر أن الاستعادة تعمل.
• أمان الحسابات: حسابات المديرين شخصية، وتُستخدم معها كلمات مرور قوية والتحقق بخطوتين.
• البساطة: تُحذف الإضافات والقوالب والحسابات غير المستخدمة.
• أقل قدر من الصلاحيات: لا يملك كل شخص إلا الصلاحية اللازمة لأداء عمله.
• المتابعة: تُتابَع إشعارات Search Console وتنبيهات الخادم وتغييرات الملفات.

من أين تبدأون في تأمين موقعكم؟ توصيتنا

إذا كنتم تتساءلون عما إذا كان في موقعكم ثغرة، فهذا هو الترتيب الذي نوصي به:

1. 1.اجمعوا بيانات الوصول: حدّدوا بوضوح من يملك بيانات اسم النطاق والاستضافة ولوحة الإدارة.
2. 2.اعرفوا الإصدار: دوّنوا إصدار PHP ونظام إدارة المحتوى لديكم من لوحة الاستضافة أو من شاشة صحة الموقع.
3. 3.خذوا نسخة احتياطية: قبل أي تغيير، تأكدوا من وجود نسخة احتياطية حديثة في مكان منفصل عن الموقع.
4. 4.اطلبوا الفحص: اطلبوا فحصًا يقارن الجرد بالثغرات المعروفة ويرتب أولويات النتائج.
5. 5.ضعوا نظامًا: حدّدوا كتابيًا من سيتولى التحديث والنسخ الاحتياطي والمتابعة.

يكفي أن تراسلونا بعنوان موقعكم؛ فنتحدث عن النطاق ونبدأ الفحص. ويمكنكم التواصل معنا عبر صفحة التواصل أو من خلال النموذج أسفل الصفحة.