اختبار اختراق تطبيقات الويب

ما نختبره

نختبر تطبيقكم في كل مجال ينطبق عليه من مجالات دليل OWASP WSTG، بما يغطي OWASP Top 10 ومنطق الأعمال الخاص بتطبيقكم.

• الإعداد والنشرWSTG-CONF

  لوحات الإدارة المكشوفة، والإعدادات الافتراضية، والملفات المنسية، وترويسات أمان HTTP.

• الحسابات وتسجيل الدخولWSTG-IDNT, WSTG-ATHN

  التسجيل وتسجيل الدخول واستعادة كلمة المرور ورموز التحقق لمرة واحدة وقفل الحساب.

• ضوابط الوصولWSTG-ATHZ

  هل يصل المستخدم إلى بيانات غيره أو إلى وظائف الإدارة، ومنها ثغرات BOLA / IDOR وتصعيد الصلاحيات.

• الجلساتWSTG-SESS

  رموز الجلسات وملفات تعريف الارتباط، وتسجيل الخروج، ومهلة انتهاء الجلسة، وتزوير الطلبات عبر المواقع.

• التعامل مع المدخلاتWSTG-INPV

  ثغرات الحقن مثل حقن SQL والبرمجة النصية عبر المواقع، وتزوير الطلبات من جهة الخادم.

• رسائل الخطأ والتشفيرWSTG-ERRH, WSTG-CRYP

  رسائل الخطأ التي تكشف التفاصيل، وضعف إعدادات TLS أو التشفير.

• منطق الأعمالWSTG-BUSL

  الأسعار والقسائم والمحافظ ونقاط الولاء والحجوزات وخطوات الموافقة ورفع الملفات، وأي خطوة يمكن تجاوزها أو تكرارها.

• جهة المتصفحWSTG-CLNT

  البرمجة النصية عبر المواقع المعتمدة على DOM، والنقر الخادع، ومشاركة الموارد بين المصادر.

• واجهات برمجة التطبيقاتWSTG-APIT

  واجهات REST و GraphQL التي يعتمد عليها تطبيقكم، ومنها التعديل غير المصرّح به للحقول وتقييد معدل الطلبات.

ثغرات صغيرة وأثر كبير

نربط الثغرات منخفضة الخطورة بعضها ببعض لنكشف مسارات هجوم عالية الأثر لا ترصدها أدوات الفحص الآلي. فنقطة نهاية تكشف معرّفات المستخدمين، وأخرى لا تتحقق من الصلاحية، قد تُصنَّف كل منهما منفردةً منخفضة الخطورة، لكنهما معاً قد تكشفان بيانات جميع العملاء، ويعرض التقرير المسار كاملاً.

متى تختبرون تطبيقكم؟

• قبل الإطلاق أو قبل أي إصدار كبير، لتعالجوا المشكلات قبل أن يكتشفها عملاؤكم.
• عند إضافة ميزات جديدة مثل المدفوعات أو المحفظة أو نقاط الولاء أو أدوار مستخدمين جديدة.
• حين تطلبه جهة تنظيمية. فالضابط 2-11-3-1 من الضوابط الأساسية للأمن السيبراني يذكر المواقع الإلكترونية وتطبيقات الويب ضمن الخدمات المقدَّمة عبر الإنترنت التي يجب أن يشملها اختبار الاختراق، ويدعو البند 3.2.4 من إطار الأمن السيبراني للبنك المركزي السعودي إلى اختبار اختراق سنوي للخدمات الموجهة للعملاء والمقدمة عبر الإنترنت. وحيث تتعاملون مع بيانات البطاقات، يغطي المتطلب 11.4 من الإصدار 4.0.1 من معيار PCI DSS اختبار الاختراق. اطّلعوا على صفحتي الضوابط الأساسية للأمن السيبراني ومتطلبات البنك المركزي السعودي.
• حين يطلب منكم عميل أو مستثمر تقرير اختبار اختراق حديثاً.

الصندوق الأسود أم الرمادي أم الأبيض؟

• الصندوق الأسود: دون حسابات أو معلومات داخلية، فترون ما يراه المهاجم من الخارج.
• الصندوق الرمادي: حساب تجريبي لكل دور من أدوار المستخدمين، لنختبر ما يصل إليه المستخدم بعد تسجيل الدخول. ونوصي به لمعظم تطبيقات الويب.
• الصندوق الأبيض: الاطلاع على الشيفرة المصدرية أيضاً، لنتعمّق أكثر.

ما نحتاجه منكم

• عنوان كل تطبيق ويب ضمن النطاق، مثل app.example.com
• حساب تجريبي لكل دور من أدوار المستخدمين، مثل العميل والمسؤول
• بيئة نختبر عليها، ويُفضَّل أن تكون البيئة التجريبية. وإن اختبرنا بيئة الإنتاج، نتفق أولاً على نوافذ الاختبار وشروط الإيقاف
• توثيق واجهات برمجة التطبيقات، مثل ملف OpenAPI أو مجموعة Postman، إن توفّر لديكم

وقبل بدء الاختبار نزوّدكم بعناوين IP التي سنختبر منها.

ما تستلمونه

• ملخص تنفيذي لمخاطركم بلغة الأعمال
• تقرير نتائج تقني يتضمن تقييم CVSS والأدلة وخطوات إعادة التنفيذ، ليتحقق المطورون لديكم من كل نتيجة بأنفسهم
• خارطة طريق للمعالجة بإرشادات تناسب بيئتكم التقنية بدلاً من النصائح العامة
• ربط النتائج بالمتطلبات التنظيمية التي تلتزمون بها، مثل الضوابط الأساسية للأمن السيبراني وإطار الأمن السيبراني للبنك المركزي السعودي ونظام حماية البيانات الشخصية و ISO 27001 و PCI DSS
• بيان بمجالات WSTG التي شملها الاختبار
• جلسة عرض النتائج مع فريقكم
• جولة واحدة لإعادة اختبار جميع النتائج المؤكدة خلال 90 يوماً دون تكلفة إضافية، ثم خطاب إغلاق يوثّق حالة كل نتيجة

وإذا أكدنا نتيجة حرجة، نُبلغ جهة التواصل المسمّاة لديكم خلال 24 ساعة من تأكيدها، دون انتظار التقرير النهائي.

المدة والسعر

يستغرق اختبار تطبيقات الويب عادةً من أسبوع إلى ثلاثة أسابيع من بدء العمل حتى تسليم التقرير، بحسب عدد أدوار المستخدمين وواجهات برمجة التطبيقات ومسارات الأعمال ضمن النطاق. ونثبّت الجدول الزمني والسعر الثابت في وثيقة نطاق العمل. ولا نحتسب أتعابنا بالساعة، وإعادة الاختبار مشمولة.

أسئلة شائعة