Penetration Testing (VA+PT)

يجمع بين تقييم ثغرات تطبيق الويب وفق OWASP WSTG واستغلال محكوم لما يُكتشَف. يحدّد التقييم نقاط الضعف؛ ويُثبِتها الاستغلال ويقيس أثرها الفعلي، بما في ذلك كيفية ارتباط عدة مشكلات لتشكّل هجوماً أكبر. تُثبَت كل نتيجة، وتُصنَّف بـ CVSS، وتُوثَّق مع إصلاح.

يحدّد تقييم الثغرات نقاط الضعف ويصنّفها؛ أما اختبار الاختراق فيمضي أبعد فيستغلّها لإثبات أنها حقيقية وإظهار ما يكسبه المهاجم. إن كنتم بحاجة إلى معرفة مدى تعرّضكم وترتيب أولويات الإصلاحات، فقد يكفي التقييم؛ وإن احتجتم إلى إثبات الأثر وفهم سلاسل الهجوم، فإن VA+PT هو الإجابة الأكمل.

يجري الاستغلال فقط ضمن قواعد تنفيذ متَّفق عليها معكم مسبقاً، وهو غير مدمِّر: نُثبِت الوصول والأثر دون إتلاف البيانات أو تعطيل الخدمة. وأي شيء قد يحمل مخاطرة يُناقَش ويُعتمَد قبل محاولته.

على الأقل عنوان الهدف وقواعد التنفيذ. تتيح لنا حسابات الاختبار لكل دور اختبار التخويل وتصعيد الامتيازات، وهو حيث تكون النتائج عالية الأثر عادةً. ولإجراء اختبار بالصندوق الأبيض، نستعين أيضاً بالوثائق، وبالكود المصدري عند الاقتضاء، للوصول أعمق مما تتيحه النظرة الخارجية.

الثلاثة جميعاً. يحاكي الصندوق الأسود مهاجماً خارجياً بلا بيانات اعتماد، ويعمل الصندوق الرمادي من حسابات مستخدمين ومعرفة جزئية، ويضيف الصندوق الأبيض الوثائق والكود المصدري. والصندوق الرمادي هو الخيار الشائع لتطبيقات الويب لأنه يعكس مهاجماً مسجّل الدخول ويغطّي التخويل بعمق؛ ونوائم الأسلوب مع نموذج التهديد لديكم.

بيئة الاختبار (staging) التي تطابق الإنتاج هي الأأمن للاستغلال، حتى لا يؤثّر إثبات الأثر في بيانات أو مستخدمين حقيقيين. وعندما يتعيّن إجراء الاختبار على بيئة الإنتاج، نتّفق أولاً على حدود غير مدمِّرة وعلى التوقيت، ونلتزم بها.

تُسجَّل كل نتيجة بـ CVSS وتُعرَض إلى جانب أثرها الفعلي على العمل، وتُصنَّف سلسلة المشكلات بما تحقّقه السلسلة لا بأضعف حلقاتها. هذا الاقتران يتيح لكم الإصلاح بالترتيب الذي يقلّل أكبر قدر من المخاطر أولاً.

نعم. إعادة الاختبار بعد المعالجة جزء من المهمة: نؤكّد أن كل إصلاح يُغلِق المشكلة فعلاً ولم يفتح أخرى جديدة، وتتسلّمون تقريراً محدَّثاً يعكس الحالة بعد المعالجة.