ASVS Security Verification

يقيس تطبيق الويب في مواجهة معيار التحقّق من أمن التطبيقات من OWASP، متطلّباً بعد متطلّب، عند مستوى مختار، ويسجّل كل متطلّب على أنه ناجح أو فاشل أو غير منطبق مع الدليل — فحص يبدأ بالاتساع للضوابط الأمنية عبر كل فئة.

يتعمّق اختبار الاختراق في المسارات القابلة للاستغلال التي يجدها ضمن وقت محدَّد ويُظهِر الأثر الحقيقي. أما تحقّق ASVS فيتّسع عرضياً ويؤكّد كل ضابط في المعيار، بما في ذلك ما قد لا يصل إليه الاختبار أبداً — التسجيل، وإدارة المفاتيح، والبنية. وكثير من الفرق تستخدم الاثنين: التحقّق للتغطية، والاختبار لإثبات الأثر.

يمنح المستوى 1 ضماناً أساسياً قابلاً للاختبار بالصندوق الأسود إلى حدّ كبير؛ والمستوى 2 هو الهدف الصحيح لمعظم التطبيقات التي تتعامل مع بيانات شخصية أو حساسة للعمل؛ والمستوى 3 للأنظمة عالية القيمة التي تحتاج إلى دفاع متعمّق. نساعدكم على الاختيار بناءً على البيانات والمخاطر، ولا فائدة من التحقّق فوق المستوى الذي تستدعيه مخاطركم.

لا — ASVS معيار مفتوح يُتحقَّق في مواجهته، لا مخطّط اعتماد بجهة معتمِدة. وما نقدّمه هو تقرير تحقّق مستقل يبيّن النطاق والمستوى والمنهجية والنتيجة لكل متطلّب، ويمكنكم مشاركته مع عميل أو مدقّق يسأل كيف جرى التحقّق من التطبيق.

لتحقّق ذي معنى عند المستوى 2 أو 3 نحتاج إلى وصول بالصندوق الرمادي أو الأبيض: حسابات اختبار لكل دور، والكود المصدري، ووثائق التصميم أو البنية. فبعض المتطلّبات لا يمكن تأكيدها من الخارج ببساطة، لذا تستطيع مهمة بالصندوق الأسود وحده التحقّق من المستوى 1 دون المستويات الأعلى كاملةً.

يمتدّ المعيار عبر البنية والتصميم، والمصادقة، وإدارة الجلسات، والتحكم في الوصول، والتحقق والترميز، والتشفير، ومعالجة الأخطاء والتسجيل، وحماية البيانات، والاتصالات، ومنطق العمل، والملفات والموارد، وأمن API وخدمات الويب، والإعداد. ويمضي التحقّق في المتطلّبات المنطبقة على مستواكم ضمن كل فئة.

غالباً، نعم. فقد يطلب منكم عميل أو برنامج امتثال إثبات أن تطبيقاً جرى التحقّق منه في مواجهة معيار معترَف به. ويقدّم تقرير ASVS ذلك الدليل بصيغة يعرفها المدقّقون وفرق الأمن، وإن كان لا يحلّ محلّ تدقيق رسمي حيث يُطلَب ذلك تحديداً.

يُصنَّف كل متطلّب فاشل بحسب المخاطر الفعلية التي يُحدِثها في تطبيقكم، فتستطيعون إصلاح ما يهمّ أولاً بدلاً من معاملة كل فجوة على قدم المساواة. ويرتّب التقرير المعالجة حسب تلك المخاطر.

نعم — بعد المعالجة، نعيد التحقّق من المتطلّبات الفاشلة ونحدّث حالتها في التقرير. وتعتمد المدة على المستوى وحجم التطبيق؛ وعادةً يستغرق التحقّق المعتاد نحو أسبوعين إلى أربعة أسابيع، ونقدّم تقديراً محدَّداً بعد تحديد النطاق.