نهاجم أنظمتك بإذنك، قبل أن يهاجمها غيرك
نحاكي هجومًا حقيقيًا على الأصول التي تحددها، ونثبت كل ثغرة بالدليل، ونشرح كيف تُصلح، ثم نعيد الاختبار للتأكد من الإصلاح.
آخر تحديث:
النطاق
يُحدَّد لكل عميل حسب أصوله واحتياجه، ومن بين:
- تطبيقات الويب والـ API
- الكلاود والبنية التحتية
- تطبيقات الموبايل
- محاكاة الهجوم (Red Team): الهندسة الاجتماعية، والاختبار المادي عند الحاجة وبإذن منفصل.
المنهجية
- تحديد النطاق: الأصول والأهداف وقواعد الاشتباك، وتفويض مكتوب وموقّع.
- الاختبار: على الأصول المتفق عليها، وبدليل OWASP المناسب لكل نوع.
- التقرير: الثغرات وأثرها وخطورتها، وخطوات الإصلاح.
- العرض: جلسة نشرح فيها النتائج لفريقك.
- إعادة الاختبار: نتأكد أن الإصلاح أغلق الثغرة.
التسليمات
- النطاق وقواعد الاشتباك المتفق عليها.
- تقرير تفصيلي بالثغرات، مع درجة الخطورة والأدلة.
- توصيات الإصلاح.
- ملخص تنفيذي لغير المتخصصين.
- إعادة اختبار للتأكد من الإصلاح.
المعايير
| الويب والـ API | OWASP WSTG · OWASP ASVS · OWASP API Security Top 10 |
| الموبايل | OWASP MASVS · OWASP MASTG |
| منهجية الاختبار | NIST SP 800-115 · PTES |
| تقييم الخطورة | CVSS |
أسئلة
ما الفرق بين تقييم الثغرات واختبار الاختراق والـ Red Team؟
تقييم الثغرات يحصر نقاط الضعف المعروفة. واختبار الاختراق يثبت أيها يمكن استغلاله فعلًا وما أثره. والـ Red Team يحاكي مهاجمًا يبحث عن أي طريق إلى هدف محدد، ويختبر معه قدرة فريقك على الاكتشاف.
هل يمكن أن يتعطل النظام أثناء الاختبار؟
نتفق مسبقًا على نوافذ الاختبار وما لا يُلمس، ونتجنب ما يعطل الخدمة إلا بموافقة صريحة. وفي الأنظمة الحساسة نبدأ ببيئة اختبار.
كم يستغرق الاختبار؟
يعتمد على عدد الأصول ونوعها. ونحدد المدة في عرض مكتوب بعد تقييم النطاق.