ما نقدمه
الأدوات الآلية تكشف الواضح، ونحن نبحث فيما وراءه: ثغرات منطق الأعمال، والثغرات التي لا تظهر خطورتها إلا مجتمعة، وأخطاء الإعداد التي لا تلتقطها قواعد الكشف الجاهزة.
تقييم معمّق للمصادقة وإدارة الجلسات وضوابط الوصول وثغرات الحقن ومنطق الأعمال. ونربط الثغرات منخفضة الخطورة بعضها ببعض لنكشف مسارات هجوم عالية الأثر لا ترصدها أدوات الفحص الآلي.
اعرفوا المزيد عن اختبار اختراق تطبيقات الويبتقييم المحيط الخارجي والشبكات الداخلية، ومسارات الهجوم على Active Directory، والحركة الجانبية، وتصعيد الصلاحيات حتى السيطرة على وحدات التحكم بالمجال، بتنفيذ آمن ووفق قواعد اشتباك متفق عليها.
اختبار تطبيقات iOS و Android عبر المنظومة كاملة: التخزين المحلي، وتثبيت الشهادات، والاتصال بين العمليات، ومقاومة الهندسة العكسية، وواجهات برمجة التطبيقات التي يعتمد عليها التطبيق.
اعرفوا المزيد عن أمن تطبيقات الهواتف الذكيةاختبار واجهات REST و GraphQL بحثاً عن ثغرات الوصول إلى بيانات المستخدمين الآخرين، والتعديل غير المصرّح به للحقول، وغياب تقييد معدل الطلبات، إلى جانب مراجعة إعدادات البيئات السحابية في الهويات والتخزين وحدود الشبكة.
اعرفوا المزيد عن تقييم أمن واجهات برمجة التطبيقات والبيئات السحابيةنحاكي مهاجماً حقيقياً يسعى إلى أهداف محددة، لنختبر قدرة فرقكم على رصد الهجوم والتصدي له، لا وجود الثغرات فحسب. ويشمل ذلك حملات التصيّد الاحتيالي وانتحال الصفة ومحاولات الوصول المادي، ضمن نطاق تحددونه بحسب ما تريدون قياسه.
مراجعات جاهزية وتهيئة للتدقيق وفق المتطلبات والمعايير التي تُقيَّم جهتكم بموجبها، ونحوّل النتائج التقنية إلى أدلة مرتبطة بالضوابط يقدّمها فريق الامتثال لديكم. ولا نُصدر شهادات امتثال ولا نُجري التقييمات الرسمية للامتثال.
كيف نعمل
يمر كل مشروع بالمراحل الخمس ذاتها، وفي كل مرحلة تعرفون أين وصلنا، وما الذي وجدناه، وما الخطوة التالية.
نتفق كتابياً على الأهداف ونوافذ الاختبار وجهات التصعيد وما يُستثنى من الاختبار، قبل البدء بأي اختبار. ونوقّع اتفاقية عدم الإفصاح قبل أن تشاركونا أي تفصيل تقني.
نحصر سطح الهجوم، ونبني نموذج التهديدات وفق مخاطر أعمالكم الفعلية، ليتركز جهدنا حيث يركّز المهاجم الحقيقي جهده.
يؤكد مختص كل نتيجة قبل إدراجها في التقرير، ويوثّقها بالأدلة وخطوات إعادة التنفيذ، فلا تصل إليكم مخرجات أدوات الفحص دون تحقق. وإذا كان استغلال الثغرة قد يُلحق ضرراً بأنظمتكم، فإننا نتحقق منها بأسلوب آمن ونوضّح طريقة التحقق في التقرير.
ملخص تنفيذي يقرؤه مجلس الإدارة، وقسم تفصيلي تعمل به فرقكم التقنية. ونقيّم خطورة كل نتيجة وفق CVSS، ونربطها بخطوات المعالجة، وبالضوابط التنظيمية المطبَّقة عليكم عند الحاجة.
بعد أن تعالجوا النتائج، نتحقق من المعالجة في جولة واحدة لإعادة اختبار جميع النتائج المؤكدة، خلال 90 يوماً من تسليم التقرير ودون تكلفة إضافية. ثم نُصدر خطاب إغلاق يوثّق حالة كل نتيجة، ويمكنكم تقديمه إلى المدققين أو إلى عملائكم.
ما تستلمونه
ستة مخرجات في كل مشروع، بالعربية أو الإنجليزية أو باللغتين، لفرقكم التقنية وإدارتكم العليا ومدققيكم.
مخاطركم بلغة الأعمال: ما الأصول المكشوفة، وما مدى خطورتها، وما الذي يُعالَج أولاً. ويُكتب للإدارة العليا ومجلس الإدارة.
كل نتيجة مع تقييمها وفق CVSS، والأصول المتأثرة، والأدلة، وخطوات إعادة التنفيذ، ليتحقق منها فريقكم التقني بنفسه.
إصلاحات مرتّبة حسب المخاطر والجهد المطلوب، مع إرشادات محددة لبيئتكم التقنية بدلاً من النصائح العامة.
نربط كل نتيجة بالضوابط والمتطلبات ذات الصلة فيما تلتزمون به من أنظمة ومعايير، مثل الضوابط الأساسية للأمن السيبراني، وإطار الأمن السيبراني للبنك المركزي السعودي، ونظام حماية البيانات الشخصية، و ISO 27001، و PCI DSS.
جلسة نستعرض فيها النتائج مع فرقكم التقنية وإدارتكم العليا، ونجيب عن الأسئلة ونتفق على الخطوات التالية.
بعد معالجتكم للنتائج، نعيد اختبارها في جولة واحدة خلال 90 يوماً، ثم نُصدر خطاب إغلاق يوثّق حالة كل نتيجة، ويمكنكم تقديمه إلى المدققين أو عملائكم أو الجهات التنظيمية.
الامتثال
لا نكتفي باكتشاف الثغرات، بل نربط كل نتيجة بالضابط الذي تمسّه فيما تلتزمون به من أنظمة ومعايير، ليخدم التقرير أعمال الامتثال لديكم أيضاً.
اختبار اختراق يُحدَّد نطاقه وفق المكوّن الفرعي 2-11 الخاص باختبار الاختراق في الضوابط الأساسية للأمن السيبراني، إصدار 2024، مع ربط كل نتيجة بالضوابط التي تمسّها.
اعرفوا المزيد عن الضوابط الأساسية للأمن السيبرانياختبار اختراق للمؤسسات الخاضعة لإشراف البنك المركزي السعودي، يشمل الاختبار السنوي للخدمات المقدَّمة للعملاء وعبر الإنترنت الذي يدعو إليه إطار الأمن السيبراني، مع ربط النتائج بمجالاته الرئيسة والفرعية.
اعرفوا المزيد عن إطار الأمن السيبراني للبنك المركزي السعوديمراجعة تقنية لكيفية تخزين البيانات الشخصية ونقلها ومدى انكشافها عبر تطبيقاتكم وواجهات برمجة التطبيقات لديكم.
اختبار يُنتج أدلة على الضوابط التقنية في الملحق (أ) التي يمكن إثباتها بالاختبار، مثل إدارة الثغرات التقنية، بصيغة تناسب نظام إدارة أمن المعلومات لديكم ودورة التدقيق.
اختبار الاختراق واختبار العزل الشبكي بما يدعم استيفاء المتطلب 11.4 من الإصدار 4.0.1 من المعيار.
نختبر تطبيقات الويب وفق دليل OWASP WSTG، وتطبيقات الهواتف وفق OWASP MASVS و MASTG، ونتّبع في اختبارات الاختراق المراحل الأربع في NIST SP 800-115: التخطيط والاستكشاف والهجوم وإعداد التقرير.
لنبدأ
تكفي سطور قليلة عمّا تحتاجون إلى اختباره، دون أي تفاصيل حساسة في هذه المرحلة، ونعود إليكم بنطاق مقترح وجدول زمني وسعر ثابت. لا مكالمات تسويقية ولا التزام، ونوقّع اتفاقية عدم الإفصاح قبل أن تشاركونا أي تفصيل تقني.
أسرع وسيلة للتواصل، ونحرص على الرد في يوم العمل نفسه
كيف نتعامل مع بياناتكم: سياسة الخصوصية