Vulnerability و Threat و Risk

أهلاً بيك. فيه تلات كلمات هتسمعهم في كل اجتماع وفي كل تقرير. ولازم تفرّق بينهم كويس قوي… Vulnerability و Threat و Risk.

Vulnerability، يعني ثَغْرة. دي حتة ضعيفة في النزام. زي باب بيتك من غير قِفل. الباب لوحده مش هيضُرّك… بس هو فرصة لأي حد.

Threat، يعني تهديد. ده أي حد أو أي حاجة ممكن تستغل الثَّغْرة. الحرامي اللي ماشي في الشارع ده Threat. وممكن يبقى مهاجم، أو موَزَّف زعلان، أو حتى سيل يغرّق الـ data center.

و Risk، يعني الخطر. وده احتمال إن التهديد يستغل الثَّغْرة… مضروب في الأسَر اللي هيحصل. باب مفتوح في شارع زحمة حرامية، والبيت فيه دهب… يبقى الخطر عالي قوي. وفيه كلمة رابعة: Exploit. ده الطريقة أو الـ code اللي بيستغل الثَّغْرة فعلاً. يعني لو الثَّغْرة هي الباب المفتوح… الـ Exploit هو إنك تزقّه وتدخل.

والثَّغَرات المشهورة ليها أرقام عالمية اسمها CVE. كل CVE ليه رقم ومعلومات عن الثَّغْرة. وليه درجة خطورة اسمها CVSS، من صفر لعشرة. ولما تلاقي برنامج قديم في اختبار، أول حاجة هتدوّر على الـ CVEs بتاعته. نحسب الـ Risk بـ Python. الاحتمال من واحد لخمسة، والأسَر من واحد لخمسة، ونضربهم في بعض. نشغّل… عشرين وخمسة. نفس الأسَر، بس الاحتمال فرق كتير.

def risk(likelihood, impact):
    return likelihood * impact

print(risk(4, 5))
print(risk(1, 5))

20
5

ونحوّل الرقم لمستوى: High أو Medium أو Low. نشغّل…

def risk(likelihood, impact):
    return likelihood * impact

def level(score):
    if score >= 15:
        return "High"
    if score >= 8:
        return "Medium"
    return "Low"

print(level(risk(4, 5)))
print(level(risk(1, 5)))

High
Low

دورك: احسب مستوى ثَغْرة احتمالها تلاتة، وأسَرها تلاتة.

الحل: تلاتة في تلاتة بتسعة… يعني Medium. نشغّل…

def risk(likelihood, impact):
    return likelihood * impact

def level(score):
    if score >= 15:
        return "High"
    if score >= 8:
        return "Medium"
    return "Low"

print(level(risk(4, 5)))
print(level(risk(1, 5)))
print(level(risk(3, 3)))

High
Low
Medium

الدرس الجاي: إزاي النزام يعرف إنت مين… وإيه المسموح لك تعمله. Authentication و Authorization. يلا بينا.