WSTG-Based Vulnerability Assessment
Comprehensive web application security assessment following OWASP WSTG methodology
يختبر تقييم الثغرات المبني على WSTG لدينا تطبيق الويب في مواجهة دليل اختبار أمن الويب من OWASP (WSTG) — المنهجية المرجعية في القطاع — فنعمل فصلاً بعد فصل بدلاً من تشغيل ماسح وإرسال مخرجاته. نغطّي فئات WSTG: جمع المعلومات، والإعداد والنشر، والهوية والمصادقة، والتخويل، وإدارة الجلسات، والتحقق من المدخلات (الحقن والبرمجة عبر المواقع)، ومعالجة الأخطاء، والتشفير الضعيف، ومنطق العمل، واختبار جانب العميل. يُتحقَّق من كل نتيجة يدوياً بإثبات قابل لإعادة الإنتاج، وتُصنَّف بـ CVSS وبسياق OWASP Top 10، لتتصرّفوا بناءً على المخاطر الحقيقية لا على ضجيج الماسح.
ما الذي يشمله
جمع المعلومات والاستطلاع
اختبار إدارة الإعداد والنشر
اختبار إدارة الهوية (التسجيل، والتزويد، والتعداد)
اختبار المصادقة (بيانات الاعتماد، وقفل الحساب، وإعادة تعيين كلمة المرور، وMFA)
اختبار التخويل (تصعيد الامتيازات، وIDOR، واجتياز المسارات)
اختبار إدارة الجلسات (الرموز، وتثبيت الجلسة، وانتهاء المهلة، وCSRF)
التحقق من المدخلات: الحقن (SQL، والأوامر)، والبرمجة عبر المواقع، وغيرها
اختبار معالجة الأخطاء وتسرّب المعلومات
مراجعة التشفير الضعيف والتعامل مع البيانات الحساسة
اختبار منطق العمل
اختبار جانب العميل (DOM XSS، وCORS، وpostMessage، وclickjacking)
كيف يعمل
- ملخّص تنفيذي مع نظرة عامة على المخاطر لصنّاع القرار
- تقرير تقني مفصّل منظَّم وفق WSTG
- كل نتيجة مع إثبات مفهوم قابل لإعادة الإنتاج
- خطورة CVSS وربط بـ OWASP Top 10 لكل نتيجة
- خارطة طريق للمعالجة محدَّدة الأولويات مع إرشاد خطوة بخطوة
- ربط التغطية بفئات WSTG المختبَرة
- إعادة الاختبار بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
هو اختبار أمني لتطبيق الويب يتّبع دليل اختبار أمن الويب من OWASP، ويمضي في فئاته منهجياً لاكتشاف الثغرات والتحقّق منها يدوياً، بدلاً من الاعتماد على مسح آلي وحده.
يستهدف تقييم الثغرات الاتساع: إيجاد أكبر عدد ممكن من نقاط الضعف الحقيقية والتحقّق منها منهجياً عبر فئات WSTG. أما اختبار الاختراق فيستهدف العمق: ربط النتائج والتمحور لإظهار إلى أي مدى يمكن أن يصل المهاجم نحو هدف محدّد. هذه الخدمة هي التقييم؛ وإن احتجتم كذلك إلى سردية الهجوم وربط الاستغلال، فنحن نقدّم مهمة مدمجة للتقييم واختبار الاختراق.
الماسح جيّد في الاتساع على التواقيع المعروفة لكنه أعمى تجاه عيوب التخويل، وإساءة استغلال منطق العمل، والمشكلات المتسلسلة، كما يُنتج إيجابيات كاذبة. نستخدم الأدوات للتغطية، ثم نختبر يدوياً الفئات التي لا يستطيع الماسح الحكم عليها، ونتحقّق من كل نتيجة يدوياً قبل الإبلاغ عنها.
عنوان التطبيق وبيئته، وحسابات اختبار لكل دور (مستخدمان على الأقل لكل دور حتى نختبر الوصول بين المستخدمين). ويتيح الوصول إلى الوثائق أو الكود المصدري اختباراً أعمق بالصندوق الرمادي أو الأبيض. نتّفق على النطاق وعلى أي مناطق يجب تجنّبها قبل أن نبدأ.
نفضّل بيئة اختبار (staging) تطابق الإنتاج. وعندما يتعيّن إجراء الاختبار على بيئة الإنتاج، نتّفق على الحدود مسبقاً — لا إجراءات مدمِّرة، وحذر مع أي شيء يكتب البيانات أو يعالجها بالجملة، وجهة اتصال من طرفكم للإيقاف الفوري إذا بدا شيء خاطئاً.
تحصل كل نتيجة على درجة CVSS كأساس مشترك، تُعدَّل بالأثر الفعلي على العمل في سياقكم — ماذا تكشف، وما مدى سهولة الوصول إليها، وماذا يكسب المهاجم. لهذا قد تأخذ مشكلتان بالدرجة نفسها من CVSS أولويتين مختلفتين.
نعم. بعد المعالجة، نعيد اختبار النتائج المُبلَّغ عنها للتأكّد من ثبات كل إصلاح وأنه لم يُدخِل مشكلة جديدة، ونحدّث حالتها في التقرير.
يشمل WSTG جمع المعلومات، والإعداد والنشر، والهوية والمصادقة، والتخويل، وإدارة الجلسات، والتحقق من المدخلات (الحقن والبرمجة عبر المواقع)، ومعالجة الأخطاء، والتشفير الضعيف، ومنطق العمل، واختبار جانب العميل — سطح الهجوم الكامل لتطبيق ويب حديث، وهو ما يُربَط بفئات مخاطر OWASP Top 10.
يعتمد على حجم التطبيق وتعقيده وعدد الأدوار؛ وعادةً يستغرق التقييم الشامل نحو أسبوعين إلى أربعة أسابيع. نقدّم تقديراً محدَّداً بعد تحديد النطاق.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم
Related insights
What we have written about this service