شرح VAPT: تقييم الثغرات واختبار الاختراق

ما هو

الجزء الخاص بتقييم الثغرات (VA) واسع. فهو يجمع بين الفحص الآلي والمراجعة لتحديد التحديثات الناقصة والمكونات القديمة والخدمات المكشوفة والإعدادات الضعيفة ومشكلات الويب الشائعة عبر الأصول المتفق عليها. أما الجزء الخاص باختبار الاختراق (PT) فعميق. إذ يعمل المختبِر يدويًا على أهداف مختارة، هي عادةً تطبيقات الويب وواجهات API وتطبيقات الهاتف المحمول، فيتحقق من النتائج ويختبر المصادقة وإدارة الجلسات والتحكم في الوصول بين الأدوار وكشف البيانات ومنطق الأعمال. ومعًا، يوفر VA التغطية ويوفر PT الثقة فيما هو قابل للاستغلال فعلًا. وينبغي أن ينتهي تكليف VAPT بتقرير مكتوب يسجّل النطاق والمنهجية والنتائج المصنّفة حسب درجة الخطورة مع أدلتها وإرشادات المعالجة، ونتيجة إعادة الاختبار بعد الإصلاحات حيثما اتُّفق على ذلك. وتشير الطلبات أحيانًا إلى أطر مثل OWASP Top 10 أو إرشادات OWASP Mobile Application Security؛ وهي نقاط مرجعية مفيدة لما ينظر فيه المختبِرون.

لمن هذا؟

يُطلب VAPT عادةً من الجهات التالية أو لصالحها:

• فرق SaaS والتقنية المالية والتجارة الإلكترونية التي يطلب منها عملاؤها من المؤسسات تقرير VAPT حديثًا أثناء عملية الشراء
• الشركات التي ترتبط بشريك أو مصرف أو مزوّد دفع يشترط أدلة على الاختبار الأمني قبل التكامل
• فرق المنتجات التي تستعد لإطلاق عام لتطبيق ويب أو تطبيق للهاتف المحمول
• المؤسسات التي غيّرت الاستضافة أو المصادقة أو مسارات الدفع وتريد فحصًا مستقلًا

ما يساعد على توضيح

يساعد VAPT محدد النطاق جيدًا على توضيح:

• التطبيقات وواجهات API والبيئات التي يتوقع مقدّم الطلب فعلًا أن يراها مختبَرة
• ما إذا كان المتطلب يحدد نوعًا معينًا من المدققين أو الاعتماد يجب التأكد منه قبل اختيار المزوّد
• النتائج التي تمثل مخاطر مؤكَّدة وتلك التي هي ملاحظات أدوات الفحص
• المعالجة التي يجب إتمامها قبل أن يمكن مشاركة التقرير بثقة

ما هو متضمن

• احصل على المتطلب الدقيق كتابيًا من مقدّم الطلب: الأصول، والعمق، وصيغة التقرير، وأي معايير خاصة بالمزوّد
• اذكر الأهداف: النطاقات، وعناوين URL للتطبيقات، والمسارات الأساسية لواجهات API، وإصدارات تطبيقات الهاتف المحمول، والبيئات (التجريبية أو الإنتاجية)
• جهّز حسابات اختبار لكل دور من أدوار المستخدمين حتى يكون اختبار التحكم في الوصول ذا معنى
• تأكد من التفويض الكتابي ونافذة الاختبار وجهات الاتصال المسمّاة وشروط الإيقاف
• أبلغ مزوّدي الاستضافة أو شبكة CDN أو WAF إذا كانت شروطهم تتطلب ذلك
• اتفق على تصنيفات الخطورة وصيغة التقرير وكيفية مشاركة الأدلة
• خصّص وقتًا لإصلاح النتائج واطلب إعادة اختبار المشكلات المتفق عليها

ما لا يشتمل عليه

• إفادة بأن VAPT يجعل التطبيق آمنًا أو ممتثلًا
• ادعاء بأن أي مزوّد يستوفي متطلب اعتماد أو إدراج محدد دون التحقق منه مقابل ذلك المتطلب
• اختبار أنظمة الأطراف الثالثة دون إذن مالكها
• الاستشارة القانونية أو التنظيمية بشأن ما تتطلبه قاعدة معينة

متى تختارها

كلّف بإجراء VAPT حين يطلبه طرف مقابل محدد، أو قبل إطلاق مهم، أو بعد تغييرات كبيرة في كيفية تسجيل المستخدمين دخولهم أو دفعهم أو وصولهم إلى البيانات. وإذا جاء الطلب من علاقة خاضعة للتنظيم، فاقرأ المتطلب بعناية: فبعضها يحدد مدققًا معتمدًا أو مُدرجًا في قائمة رسمية (في الهند، تشير بعض الجهات التنظيمية والأطراف المقابلة إلى المدققين المُدرجين لدى CERT-In)، أو نطاقًا معينًا، أو دورة اختبار ثابتة. أكّد هذه التفاصيل مع مقدّم الطلب أولًا، لأن التقرير الذي لا يطابق المتطلب قد يحتاج إلى إعادة. هذه المقالة معلومات عامة، وليست استشارة قانونية أو تنظيمية.

نهجنا

اعتبر قائمة التحقق الخاصة بمقدّم الطلب نقطة الانطلاق، ثم أضف الأنظمة الأكثر خطورة على أعمالك حتى لو لم يسأل عنها أحد. واختبر في بيئة تجريبية مطابقة لبيئة الإنتاج حيثما أمكن، واتفق مسبقًا على كيفية التعامل مع اختبار بيئة الإنتاج إذا كان مطلوبًا. تغطي خدمتنا «Application Security Review» اختبار تطبيقات الويب وواجهات API مع نتائج مكتوبة مصنّفة حسب درجة الخطورة وإرشادات للمعالجة؛ أما النطاقات الأوسع التي تشمل بيئات متعددة أو الشبكات فتُعالَج من خلال خدمتنا «Penetration Testing». وفي الحالتين، يُؤكَّد النطاق والتفويض وإعداد التقارير كتابيًا قبل بدء العمل. وبعد التسليم، أصلح النتائج العالية والحرجة أولًا، وسجّل القرارات المتعلقة بأي مخاطر مقبولة، واطلب إعادة الاختبار. ثم شارك ملخصًا تنفيذيًا أو خطابًا بحالة المعالجة بدلًا من التقرير التقني الكامل، ما لم يكن مقدّم الطلب يحتاج تحديدًا إلى ذلك المستوى من التفصيل ولديه وسيلة آمنة لاستلامه.

Application Security Review

الأسئلة المتكررة

مقالات ذات صلة