إدارة نقاط الضعف

إدارة نقاط الضعف هي «الممارسة الدورية لتحديد وتصنيف وترتيب الأولويات ومعالجة والتخفيف من» نقاط الضعف البرمجية. تُعد إدارة نقاط الضعف عنصرًا جوهريًا في أمن الحاسوب وأمن الشبكات، ولا ينبغي الخلط بينها وبين تقييم نقاط الضعف الذي يركّز على التحديد والتحليل دون المعالجة المستمرة.

يمكن اكتشاف نقاط الضعف باستخدام ماسح الثغرات الأمنية، وهو أداة تقوم بتحليل نظام الحاسوب بحثًا عن نقاط ضعف معروفة، مثل المنافذ المفتوحة، أو الإعدادات البرمجية غير الآمنة، أو القابلية للإصابة بـالبرمجيات الخبيثة.Anna-Maija Juuso؛ Ari Takanen، Unknown Vulnerability Management، ورقة بيضاء لشركة Codenomicon، أكتوبر 2010. كما يمكن تحديد نقاط الضعف من خلال الرجوع إلى مصادر عامة مثل قاعدة بيانات الثغرات الوطنية (NVD)، أو التحديثات الأمنية الخاصة بموردي البرمجيات، أو عبر الاشتراك في خدمات تنبيه تجارية متخصصة في الثغرات.

أما نقاط الضعف غير المعروفة، مثل ثغرة يوم الصفر، فقد يتم اكتشافها باستخدام الفحص العشوائي (Fuzz testing). ويُعد اختبار التضبيب تقنية محورية تُغذّى فيها البرامج ببيانات إدخال عشوائية أو شبه عشوائية بهدف اكتشاف سلوك غير متوقع. وتُستخدم أدوات مثل AFL () وlibFuzzer لأتمتة هذه العملية، مما يجعلها أسرع وأكثر كفاءة.

يمكن لاختبار التضبيب اكتشاف أنواع معينة من نقاط الضعف، مثل تجاوز سعة المخزن المؤقت، باستخدام حالات اختبار مناسبة. وبالمثل، تقوم أدوات التحليل الساكن بتحليل الشفرة المصدرية أو الملفات الثنائية لتحديد نقاط ضعف محتملة دون تنفيذ البرنامج فعليًا. كما يُستخدم التنفيذ الرمزي، وهو أسلوب متقدم يجمع بين التحليل الساكن والتحليل الديناميكي، للمساعدة في تحديد مواقع نقاط الضعف بدقة أكبر.

يمكن تسهيل هذه التحليلات باستخدام أتمتة الاختبارات. بالإضافة إلى ذلك، فإن برامج مكافحة الفيروسات التي تعتمد على التحليل الاستدلالي قد تكتشف برمجيات خبيثة غير موثقة عند رصد سلوك مشبوه، مثل محاولة الكتابة فوق ملف النظام.

قد تتضمن معالجة نقاط الضعف تثبيت نقيلة، أو تعديل سياسات أمن الشبكة، أو إعادة تهيئة البرمجيات، أو توعية المستخدمين بمخاطر الهندسة الاجتماعية.

 إدارة نقاط ضعف المشروع 
نقطة ضعف المشروع هي قابلية المشروع للتعرض لأحداث سلبية، وتحليل تأثير تلك الأحداث، وقدرة المشروع على التعامل معها.

استنادًا إلى التفكير النظمي، تقترح الإدارة المنهجية لنقاط ضعف المشروع رؤية شاملة تتضمن العملية التالية:
 تحديد نقاط ضعف المشروع
 تحليل نقاط الضعف
 تخطيط الاستجابة لنقاط الضعف
 التحكم بنقاط الضعف، ويشمل التنفيذ والمراقبة والتحكم واستخلاص الدروس المستفادة

يتم التعامل مع الأحداث السلبية في هذا النموذج من خلال:
 المقاومة – الجانب الساكن، ويشير إلى القدرة على تحمل الضرر الفوري
 المرونة – الجانب الديناميكي، ويشير إلى القدرة على التعافي بمرور الوقت

تُعد الازدواجية أسلوبًا محددًا لزيادة كل من المقاومة والمرونة في إدارة نقاط الضعف.

أما ضد الهشاشة فهو مفهوم قدّمه نسيم نقولا طالب لوصف قدرة الأنظمة على عدم الاكتفاء بالصمود أو التعافي من الأحداث السلبية، بل التحسن نتيجة لها. ويُعد هذا المفهوم قريبًا من فكرة التعقيد الإيجابي التي اقترحها ستيفان موركوف.

 انظر أيضًا 
 أمن التطبيقات
 دعم طويل الأمد
 إدارة المشاريع
 إدارة المخاطر

 المراجع 

 وصلات خارجية 
 Implementing a Vulnerability Management Process – معهد SANS

تصنيف:أمن الحاسوب
تصنيف:استغلالات أمن الحاسوب