إدارة الثغرات

الفحصُ يُنتج نتائج؛ والإدارةُ تُغلقها. والفرقُ تغطيةٌ تستطيع إثباتَها، ومالكٌ لكلّ نظام، ومُهَلٌ مربوطةٌ بالخطورة، ومسارُ استثناءٍ مسجَّلٌ لا شفويّ. وبدونها يكون الماسحُ مولّدَ تقارير.

الفحصُ غيرُ الموثَّق يرى ما يراه مهاجمٌ غيرُ موثَّقٍ من الشبكة. ولا يرى إصداراتِ البرمجيّات المثبَّتة ولا الترقيعاتِ الناقصة على مضيفٍ محصَّن، فيُبلِغ بأقلَّ من الواقع بفارقٍ كبير — وهو فارقٌ غيرُ مرئيٍّ ما لم تقارن الاثنين.

بقابليّة الاستغلال والانكشاف لا بالدرجة. فخدمةٌ مكشوفةٌ للإنترنت بثغرةٍ معروفٍ استغلالُها تتقدّم على مشكلةٍ أعلى درجةً على مضيفٍ داخليٍّ بلا استغلالٍ معروف. وإعادةُ الترتيب هذه هي ما يجعل المتراكمَ قابلًا للمعالجة عادةً.

لا. إدارةُ الثغرات مستمرّةٌ وواسعةٌ ومؤتمَتة. واختبارُ الاختراق دوريٌّ وضيّقٌ وبشريّ، ويجد أصنافًا من المشكلات — عيوبَ منطقٍ متسلسلةً وإساءةَ استعمالِ منطقِ العمل — لا يجدها ماسح. وهما يجيبان سؤالين مختلفين.

هي موجودةٌ في كلّ بيئة: أنظمةُ تشغيلٍ خارجَ الدعم، أو أجهزةٌ طبّيّةٌ أو صناعيّة، أو تطبيقاتٌ معتمَدةٌ على إصدارٍ واحد. وتمرّ بعمليّة الاستثناء بضوابطَ تعويضيّةٍ ومعتمِدٍ مُسمًّى، فيُقبَل الخطرُ عمدًا لا بالصمت.

نعم — وهي من أكثر القدرات تسليمًا خدمةً مُدارة، لأن القيمةَ في إدارة الدورة باتّساقٍ لا في فحصٍ بعينه. وتبقى العمليّةُ ونموذجُ الملكيّة لك في الحالتين.