اختبار الاختراق
نهاجم أنظمتك كما يفعل المهاجم الحقيقي، ثم نريك بالضبط أين تسدّ الثغرات.
ما هو اختبار الاختراق؟
اختبار الاختراق هجوم محاكى ومصرّح به. نبحث عن نقاط الضعف، ثم نحاول استغلالها بأمان لنثبت ما يستطيع المهاجم الوصول إليه فعلاً.
وهذا ما يميّزه عن الفحص الآلي: تعرف أي المشكلات مهمة، ولماذا هي مهمة، وبأيها تبدأ.
تقييم الثغرات أم اختبار الاختراق؟
تقييم الثغرات الأمنية يكتشف نقاط الضعف المعروفة ويحصرها، وغالباً بأدوات آلية. أما اختبار الاختراق فيذهب أبعد: يربط المختبر الثغرات ببعضها ويثبت أثرها يدوياً. كثير من العملاء يطلبون الاثنين معاً، أي تقييم الثغرات واختبار الاختراق (VAPT)، وسنخبرك بما يناسب وضعك.
ما الذي نختبره
-
تطبيقات الويب وواجهات API
المصادقة والجلسات وصلاحيات الوصول وثغرات الحقن ومنطق العمل، وفق OWASP Top 10 ومعيار OWASP ASVS، بما في ذلك واجهات REST وGraphQL.
-
تطبيقات الجوال
تطبيقات iOS وAndroid والواجهات الخلفية التي تعتمد عليها، وفق معيار OWASP MASVS: التخزين المحلي وحركة الشبكة والمصادقة والهندسة العكسية.
-
السحابة
تقييم أمني لبيئتك السحابية: الهويات والصلاحيات، والتخزين المكشوف، وقواعد الشبكة، والسجلات.
-
الشبكة الخارجية
الخوادم والخدمات المكشوفة على الإنترنت، كما يراها المهاجم من الخارج.
-
الشبكة الداخلية
ما الذي يستطيع المهاجم فعله بعد دخوله: من جهاز واحد مخترق أو جهاز دخيل حتى وحدات التحكم بالنطاق.
-
إنترنت الأشياء
الأجهزة المتصلة وبرمجياتها الثابتة، والتطبيقات والخدمات السحابية التي تتواصل معها.
-
أنظمة OT وICS
بيئات التحكم الصناعي، نختبرها بحذر وضمن حدود سلامة متفق عليها، لأن استمرارية التشغيل تأتي أولاً.
-
هجمات DDoS
اختبارات تحمّل وصمود مضبوطة في نافذة زمنية متفق عليها، لنرى كيف تصمد خدماتك ووسائل حمايتها.
-
التصيّد الاحتيالي والهندسة الاجتماعية
محاكاة التصيّد الاحتيالي وتقييم الهندسة الاجتماعية لمعرفة كيف يتصرف موظفوك، وما الذي سيكسبه المهاجم.
منهجية الاختبار. نتبع منهجيات معترفاً بها: أدلة اختبار OWASP وPTES وNIST SP 800-115. تحصل كل ثغرة على درجة CVSS، ثم نرتّبها حسب أثرها الفعلي على عملك.
ما الذي تحصل عليه
- ملخص قصير للإدارة بلغة واضحة
- كل ثغرة مرتّبة حسب خطرها الفعلي على العمل، مع درجة CVSS
- أدلة وخطوات لإعادة إنتاج الثغرة حتى يتحقق منها فريقك
- إصلاحات يستطيع مهندسوك تنفيذها دون الحاجة إلى مترجم
- إعادة اختبار واحدة للثغرات المبلّغ عنها، مشمولة في السعر
لماذا Mica Shield
فريق من مختبري الاختراق
من يحدد نطاق الاختبار هو نفسه من ينفّذه. في الفريق شهادات OSCP وOSWA وeWPT وeCPPT وCEH Master.
مرخّصون في عُمان
ترخيص التقييم الأمني L3230263 والسجل التجاري 1591995.
تقارير تُستخدم فعلاً
مرتّبة حسب الخطر على العمل، ومكتوبة ليبدأ مهندسوك العمل بها في اليوم نفسه.
كيف تسير المهمة
-
تحديد النطاق
نتفق على ما سنختبره ومتى، وما هو خارج الحدود. تحصل على نطاق العمل وجدول زمني وسعر ثابت قبل أن يبدأ أي عمل.
-
الاختبار
نهاجم أنظمتك كما يفعل المهاجم الحقيقي، ضمن القواعد التي اتفقنا عليها. وإن وجدنا ثغرة حرجة نبلغك بها فوراً، لا في نهاية العمل.
-
التقرير
كل ثغرة مرتّبة حسب خطرها الفعلي على العمل، مع الأدلة وإصلاح يستطيع مهندسوك تنفيذه دون الحاجة إلى مترجم.
-
الإصلاح
يعالج فريقك الثغرات، ونبقى متاحين للإجابة عن الأسئلة طوال فترة العمل.
-
إعادة الاختبار
نختبر الإصلاحات ونؤكد ما تم إغلاقه. إعادة اختبار واحدة مشمولة في السعر.
أسئلة يطرحها العملاء
كم يستغرق اختبار الاختراق؟
يعتمد ذلك على النطاق. اختبار تطبيق ويب واحد أصغر من اختبار شبكة داخلية كاملة. بعد مكالمة قصيرة لتحديد النطاق نرسل الجدول الزمني مع عرض السعر، فتعرف المواعيد قبل أن يبدأ أي عمل.
ما الفرق بين تقييم الثغرات واختبار الاختراق؟
تقييم الثغرات يحصر نقاط الضعف المعروفة، وغالباً بأدوات آلية. اختبار الاختراق يثبت أيها يمكن استغلاله فعلاً وإلى أي مدى يصل المهاجم. ويجمع VAPT بين الاثنين.
هل سيؤدي الاختبار إلى تعطيل أنظمتنا الإنتاجية؟
نخطط لتجنّب ذلك. قبل البدء نتفق على النطاق ونوافذ الاختبار وجهات الاتصال وأي أساليب ممنوعة. الاختبارات عالية الخطورة مثل DDoS لا تُنفّذ إلا بموافقتك الكتابية وفي نافذة متفق عليها. ويمكننا اختبار نسخة تجريبية إن فضّلت ذلك.
ماذا يتضمن التقرير؟
ملخص للإدارة، ثم كل ثغرة مع خطرها على العمل ودرجة CVSS والأدلة وخطوات إعادة الإنتاج وإصلاح واضح. التقرير مكتوب للمهندسين الذين سينفّذون العمل.
هل تعيدون الاختبار بعد الإصلاح؟
نعم. إعادة اختبار واحدة للثغرات المبلّغ عنها مشمولة في السعر. نؤكد ما تم إغلاقه وننبّه إلى ما بقي مفتوحاً.
هل تعملون خارج عُمان؟
نعم. مقرّنا في مسقط ونعمل مع عملاء في أي مكان، ومنها السعودية والإمارات وبقية دول الخليج. ويمكن تنفيذ معظم اختبارات الويب والجوال والسحابة والشبكة الخارجية عن بُعد.