تطبيقات الويب
تسجيل الدخول والجلسات والصلاحيات ومنطق العمل، حيث تبدأ أغلب الاختراقات الحقيقية.
اختبار الاختراق
اكتشف الثغرات قبل أن يكتشفها المهاجم.
نهاجم تطبيقات الويب والجوال والواجهات البرمجية والشبكات لديك كما يفعل المهاجم الحقيقي، بإذن مكتوب منك وضمن حدود متفق عليها. وتحصل على تقرير يستطيع مطوّروك العمل به مباشرة، ثم نعيد الاختبار بعد الإصلاح.
30 دقيقة نتفق فيها على ما سنختبره، وكيف، ومتى.
CPX-07
عاليةCVSS 8.1
يستطيع أي مستخدم مسجّل فتح فواتير العملاء الآخرين
- الموضع
- GET /api/invoices/{id}
- الأثر
- تنكشف أسماء العملاء وأرقامهم الضريبية ومبالغ فواتيرهم جميعًا.
- الإصلاح
- التحقق من أن الفاتورة تخص حساب المستخدم قبل عرضها.
- اكتُشفت
- أُصلحت
- أُعيد اختبارها
ما الذي نختبره
كل ما يمكن أن يصل إليه المهاجم
تطبيقات الجوال
تطبيقات آيفون وأندرويد، وكيف تحفظ البيانات على الجهاز وكيف تتصل بخوادمك.
الواجهات البرمجية (API)
نقاط الاتصال خلف تطبيقاتك وتكاملاتك، نختبر فيها الصلاحيات ومعالجة المدخلات وتسرّب البيانات.
الشبكات والسحابة
خوادمك المكشوفة على الإنترنت وإعدادات السحابة لديك، من المنافذ المفتوحة إلى التخزين سيئ الإعداد.
الفحص الآلي يذكر ما قد يكون خاطئًا، أما الاختبار فيُثبته.
أدوات الفحص الآلي بداية مفيدة، لكنها تفوّت أخطر الثغرات: مستخدم يرى بيانات غيره، أو خصم يُطبَّق مرتين، أو صفحة إدارة تُركت مفتوحة. لذلك نستخدم الأدوات، ثم نفكر كما يفكر المهاجم ونتحقق من كل ثغرة يدويًا، فلا يضيع وقت فريقك في إنذارات كاذبة.
كيف يسير الاختبار
أربع خطوات نتفق عليها قبل البدء
- 1
تحديد النطاق
نتفق على ما يشمله الاختبار ونوعه ومواعيده، ومن نتواصل معه إذا تعطّل شيء. ولا نبدأ إلا بتفويض مكتوب منك.
- 2
الاختبار
نختبر خلال الفترة المتفق عليها، ونبلغك فورًا إذا وجدنا ثغرة حرجة دون انتظار التقرير.
- 3
التقرير
كل ثغرة مع درجة خطورتها والدليل عليها وخطوات تكرارها وطريقة إصلاحها، مع ملخص تقرؤه الإدارة.
- 4
الإصلاح وإعادة الاختبار
نرافق مطوّريك في الإصلاح، ثم نعيد الاختبار ونؤكد ما أُغلق من ثغرات.
ماذا ستحصل عليه
تقرير يستطيع مطوّروك العمل به
- ملخص تنفيذي: مستوى الخطر العام وما يجب إصلاحه أولًا، في صفحة واحدة.
- ثغرات تقنية مصنّفة بحسب الخطورة (CVSS)، مع الدليل وخطوات التكرار.
- إرشادات إصلاح مكتوبة للتقنيات التي تستخدمها، لا نصائح عامة.
- إعادة اختبار الثغرات المُصلحة وتقرير محدّث.
- عند الحاجة، ربط النتائج بالضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني.
ما الذي نعرفه قبل البدء
الصندوق الأسود أو الرمادي أو الأبيض
| ما نحتاجه منك | الأنسب لـ | |
|---|---|---|
| الصندوق الأسود | عنوان التطبيق أو الشبكة فقط | معرفة ما يستطيعه شخص من الخارج |
| الصندوق الرمادي | حسابات تجريبية لكل نوع من المستخدمين | أغلب تطبيقات الويب والجوال، وهو الخيار الأفضل قيمة |
| الصندوق الأبيض | الحسابات والوثائق والشيفرة المصدرية | الأنظمة الحرجة والمراجعة الأعمق |
نختبر بعمق، وبحذر
لا نختبر إلا ما تفوّضنا به كتابيًا، وفي الأوقات التي توافق عليها. ولا نحذف البيانات أو نشنّ هجمات حجب الخدمة، وتبقى كل نتيجة سرية بيننا وبين من تحددهم أنت.
الأسئلة الشائعة
أسئلة حول اختبار الاختراق
ما الفرق بين اختبار الاختراق والفحص الآلي للثغرات؟
الفحص الآلي يعمل بالأدوات ويعرض ثغرات محتملة، كثير منها إنذارات كاذبة. أما اختبار الاختراق فيقوم به أشخاص يحاولون استغلال الثغرات فعلًا، فيتأكدون مما هو حقيقي منها ويبيّنون ما يمكن للمهاجم الوصول إليه.
هل يؤثر الاختبار على النظام الذي يعمل لدينا؟
نتفق معك على أوقات الاختبار وحدوده، ونتجنب كل ما قد يوقف النظام، ويمكننا الاختبار على نسخة تجريبية بدلًا من بيئة الإنتاج. وإذا حدث أمر غير متوقع نتوقف ونتصل بالشخص الذي تحدده.
كم يستغرق الاختبار؟
يعتمد ذلك على حجم النطاق. وتحصل على جدول زمني محدد بعد جلسة تحديد النطاق، قبل أن تلتزم بأي شيء.
كم مرة يجب أن نختبر؟
مرة واحدة في السنة على الأقل، وبعد أي تغيير كبير مثل إطلاق تطبيق جديد أو إصدار كبير أو الانتقال إلى السحابة. كما أن اختبار الاختراق الدوري جزء من الضوابط الأساسية للأمن السيبراني.
ماذا تحتاجون منا؟
تفويضًا موقّعًا، وتحديد النطاق (العناوين والتطبيقات والبيئات)، وحسابات تجريبية لاختبار الصندوق الرمادي، وشخصًا للتواصل خلال فترة الاختبار.
كم التكلفة؟
تُحدَّد بحسب النطاق: عدد التطبيقات وأنواع المستخدمين ونقاط الاتصال، ونوع الاختبار. وتحصل على سعر ثابت بعد جلسة تحديد النطاق المجانية.
اعرف نقاط ضعفك قبل أن يعرفها غيرك.
احجز جلسة مجانية (30 دقيقة) لتحديد النطاق. نتفق فيها على ما سنختبره، ثم نرسل لك عرض سعر ثابت.
احجز جلسة مجانية لتحديد النطاق