White-Box Source Code Review

هي تقييم أمني يقرأ مصدر التطبيق مباشرةً لإيجاد الثغرات والأنماط غير الآمنة وعيوب المنطق على مستوى الكود — بدمج التحليل الساكن الآلي (SAST) وتحليل تركيب البرمجيات (SCA) مع مراجعة خبير يدوية، تُقاس في مواجهة دليل مراجعة الكود من OWASP، وOWASP ASVS، وCWE Top 25.

يستخدم SAST أدوات آلية لمسح الأنماط المعروفة بسرعة واتساع، لكنه يُنتج إيجابيات كاذبة ولا يستطيع الحكم على منطق العمل أو إمكانية الوصول. أما المراجعة اليدوية فيقرأ فيها مهندس الكود في سياقه ويتتبّع البيانات، فيلتقط عيوب التخويل، وأخطاء المنطق، ومسارات الحقن التي تفوت الأداة. نستخدم الاثنين، ونفرز مخرجات الأداة بدلاً من الإبلاغ عنها خاماً.

يرى اختبار الصندوق الأسود ما يكشفه التطبيق العامل فقط؛ بينما ترى مراجعة المصدر كل مسار، بما في ذلك ما لا يصل إليه أي طلب أثناء الاختبار — ميزة معطَّلة، أو فرع للمسؤول فقط، أو حالة تسابق، أو سرّ في المستودع. الاثنان متكاملان، لكن الوصول إلى المصدر يجد فئات من العيوب لا يستطيع اختبار الصندوق الأسود ملاحظتها.

وصول للقراءة فقط إلى المستودع، عبر قناة تختارونها، إضافةً إلى سياق كافٍ لبناء الكود وفهمه (جولة موجزة، وإطار العمل، والمناطق الحسّاسة أمنياً). نعمل عبر لغات الويب والخلفية الشائعة وأطر عملها؛ ونتّفق على الحزمة التقنية الداخلة في النطاق بالضبط أثناء تحديد النطاق.

نعم — يحدّد تحليل تركيب البرمجيات التبعيات المصابة بالثغرات والقديمة، بما في ذلك الانتقالية التي يجلبها كودكم بصورة غير مباشرة، ويُبلِغ عن الإصدارات المصحَّحة. وتبدأ حصة كبيرة من الاختراقات الحقيقية في إحدى التبعيات، لذا هذا جزء من كل مراجعة لا إضافة اختيارية.

عيوب منطق العمل، والتحكم في الوصول المكسور وIDOR، وفجوات التخويل المعتمِدة على السياق، ومسارات الحقن أو إلغاء التسلسل التي لا يكشفها إلا تتبّع تدفّق البيانات. فالماسح يطابق الأنماط؛ ولا يمكنه أن يعرف أن هذا المستخدم لا ينبغي أن يصل إلى ذلك السجلّ، أو أن سير العمل هذا يمكن إعادة تشغيله.

تحصل كل نتيجة على درجة CVSS كأساس مشترك، تُعدَّل بالأثر الفعلي في تطبيقكم — ماذا تكشف، وما مدى إمكانية الوصول إليها، وماذا يكسب المهاجم. كما نربط النتائج بفئة الضعف في CWE وبمتطلّب OWASP ASVS ذي الصلة، فيرتبط التقرير بمعيار معترَف به.

المراجعة للقراءة فقط وساكنة: نقرأ المصدر، ولا نشغّله على أنظمة الإنتاج لديكم، ونتعامل مع كودكم بسرّية ووصول مقصور على المهندسين العاملين في المهمة. ولا شيء فيها يغيّر بيئتكم العاملة أو يصل إليها.

نعم — بعد المعالجة نعيد مراجعة النتائج المُبلَّغ عنها للتأكّد من ثبات كل إصلاح وأنه لم يفتح فجوة جديدة. وتعتمد المدة على حجم قاعدة الكود وتعقيدها؛ وعادةً تستغرق المراجعة الشاملة لتطبيق متوسط نحو أسبوعين إلى أربعة أسابيع، ونقدّم تقديراً محدَّداً بعد تحديد النطاق.