٠٣ · الاختبار
اختبار الاختراق واختبارات الأمن السيبراني
يكتشف مهندسونا الثغرات ويعالجونها قبل أن يستغلها المهاجمون، لدفاع قوي في وجه التهديدات السيبرانية.
ما تشمله الخدمة
اختبار الاختراق
- اختبار شامل من جمع المعلومات إلى الاستغلال وإعداد التقارير، يغطي تطبيقات الويب وأنظمة العميل والخادم والبنية التحتية والجوال والشبكات اللاسلكية والهندسة الاجتماعية.
- نطاقات الصندوق الأسود والرمادي والأبيض، بأدوات تجارية ونصوص برمجية مخصصة.
- تقارير تبين كل ثغرة وأثرها وطريقة معالجتها.
تقييم الثغرات
- فحص آلي مع اكتشاف يدوي للثغرات في البرمجيات والأجهزة والأنظمة.
- إدارة مستمرة لترتيب الأولويات وتطبيق التحديثات والحد من المخاطر.
اختبار أمن التطبيقات
نمذجة التهديدات واختبار تطبيقات الويب والجوال وواجهات البرمجة والخدمات المصغرة والأنظمة الخلفية بحثاً عن ثغرات الحقن وXSS وضعف المصادقة.
اختبار الهندسة الاجتماعية
- حملات تصيد وإغراء وانتحال.
- مقاييس لمعدلات النقر وتدريب متابعة موجه.
عمليات الفريق الأحمر
- محاكاة كاملة للخصوم تختبر قدرات الاكتشاف والاستجابة.
- تقييم الدفاعات أمام التهديدات المتقدمة المستمرة.
اختبارات الامتثال
- اختبارات تتحقق من الامتثال لمتطلبات الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي.
- تحليل للفجوات وتقارير تثبت الالتزام.
أنواع اختبار الاختراق
- تطبيقات الويب
- المواقع والبوابات وتطبيقات الويب وفق OWASP Top 10 ودليل اختبار أمن الويب: التحكم في الوصول والحقن والبرمجة عبر المواقع والمصادقة وإدارة الجلسات ومنطق الأعمال.
- تطبيقات الجوال
- تطبيقات iOS وAndroid وفق OWASP MASVS: تخزين البيانات والتشفير وتثبيت الشهادات والهندسة العكسية والواجهات البرمجية خلف التطبيق.
- الواجهات البرمجية
- واجهات REST وSOAP وGraphQL وفق OWASP API Security Top 10، ومنها ضعف التحقق من صلاحية الكائنات وغياب حدود الطلبات. مهم للمصرفية المفتوحة.
- الشبكة الخارجية
- جدران الحماية والشبكات الافتراضية وخوادم البريد والخدمات المكشوفة على الإنترنت، من منظور مهاجم خارجي.
- الشبكة الداخلية
- مهاجم موجود في الداخل: Active Directory وتصعيد الصلاحيات والتنقل الجانبي وتقسيم الشبكة.
- السحابة
- AWS وAzure وGoogle Cloud والمنصات السحابية السعودية: التخزين وأدوار الهوية والمفاتيح المكشوفة والحاويات.
- الشبكات اللاسلكية
- تشفير Wi-Fi وعزل شبكة الضيوف ونقاط الوصول المارقة.
- الفريق الأحمر
- محاكاة أطول قائمة على هدف تختبر الناس والإجراءات والتقنية معاً، وكل خطوة فيها مربوطة بإطار MITRE ATT&CK.
الصندوق الأسود أو الرمادي أو الأبيض
| النهج | ما يعرفه المختبِر | الأنسب لـ |
|---|---|---|
| الصندوق الأسود | لا شيء سوى الهدف | صورة واقعية لمهاجم خارجي مجهول |
| الصندوق الرمادي | حساب مستخدم عادي أو معلومات محدودة | أفضل توازن بين الواقعية والتغطية |
| الصندوق الأبيض | البنية والشيفرة المصدرية وبيانات الدخول | المراجعة الأعمق، قبل الإطلاق أو بعد التغييرات الكبيرة |
منهجيتنا
نتبع PTES وأدلة OWASP وNIST SP 800-115 وOSSTMM، ويُوقَّع تفويض كتابي قبل بدء أي اختبار.
- ٠١تحديد النطاق
الأهداف ونوافذ الاختبار وقواعد الاشتباك وجهات الاتصال في الطوارئ.
- ٠٢الاستطلاع
النطاقات الفرعية والتقنيات والخدمات المكشوفة.
- ٠٣نمذجة التهديدات
أثمن الأهداف ومسارات الهجوم المرجحة.
- ٠٤تحليل الثغرات
فحص آلي مع مراجعة يدوية.
- ٠٥الاستغلال
إثبات الثغرات القابلة للاستغلال بأمان دون الإضرار بالبيانات أو الخدمات.
- ٠٦ما بعد الاستغلال
إلى أي مدى قد يصل المهاجم، كالبيانات الحساسة أو صلاحيات مسؤول النطاق.
- ٠٧التقارير
تقرير تنفيذي وآخر تقني.
- ٠٨إعادة الاختبار
نساعد فريقك على الإصلاح ونتحقق من إغلاق الثغرات.
ما يتضمنه تقريرك
- ملخص تنفيذي بلغة واضحة يبيّن مستوى الخطر وأثره على الأعمال
- كل ثغرة بدرجة CVSS والأصول المتأثرة وخطوات إعادة الإنتاج والأدلة
- إرشادات معالجة مكتوبة للمطورين ومسؤولي الأنظمة
- ربط بضوابط الهيئة وإطار البنك المركزي وPCI DSS وISO 27001
- تقرير إعادة اختبار يمكنك عرضه على المدققين والعملاء
ما الذي يحدد تكلفة اختبار الاختراق
يعتمد السعر على الجهد: عدد التطبيقات والصفحات ونقاط الواجهات البرمجية، وعدد أدوار المستخدمين، وعدد عناوين IP، ونهج الاختبار، والعمق المطلوب، وهل تشمل إعادة الاختبار. واختبار تطبيق ويب واحد أقل تكلفة بكثير من تمرين فريق أحمر. ونقدم سعراً ثابتاً بعد مكالمة قصيرة لتحديد النطاق.
لماذا سايبرت
من الرياض إلى الخليج
مقرنا الرئيسي في الرياض، ونعمل مع المؤسسات في أنحاء المملكة العربية السعودية ومنطقة الخليج.
مستشارون معتمدون
يحمل فريقنا شهادات CISA وCISM وCRISC وCGEIT وCDPSE وCCSP وCCSK وCOBIT وISO 27001 Lead Auditor وغيرها.
جاهزية تنظيمية
نعمل يومياً مع أطر الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي إلى جانب ISO وNIST وPCI-DSS، لتتوافق ضوابطك مع ما يتوقعه المدققون.
تغطية متكاملة
ست خدمات مترابطة، من الاستراتيجية والتوعية إلى الاختبار والعمليات والسحابة والتقنية.
الأسئلة الشائعة
ما الذي يمكنكم اختبار اختراقه؟
تطبيقات الويب، وتطبيقات العميل والخادم، والبنية التحتية، والجوال، والشبكات اللاسلكية، والعنصر البشري عبر الهندسة الاجتماعية، بأسلوب الصندوق الأسود أو الرمادي أو الأبيض.
ما الفرق بين تقييم الثغرات واختبار الاختراق؟
تقييم الثغرات يكتشف نقاط الضعف ويرتب أولوياتها عبر الفحص والمراجعة اليدوية. أما اختبار الاختراق فيذهب أبعد ويستغلها ليبين أثرها الفعلي، ثم يوضح طريقة معالجة كل منها.
هل تختبرون الامتثال لمتطلبات الهيئة والبنك المركزي؟
نعم. تتحقق اختبارات الامتثال لدينا من الالتزام بمتطلبات الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي، مع تحليل للفجوات وتقارير يمكن مشاركتها مع المدققين.
كم مرة يجب إجراء اختبار الاختراق؟
مرة سنوياً على الأقل، وبعد أي تغيير كبير مثل إطلاق تطبيق جديد أو الانتقال إلى السحابة أو تحديث كبير أو اندماج. ويشترط PCI DSS اختبارات داخلية وخارجية سنوية على الأقل وبعد التغييرات الجوهرية.
هل يؤثر الاختبار على أنظمتنا الحية؟
نخطط بعناية لتجنب التعطيل. ويُتفق مسبقاً على الإجراءات الأعلى خطورة، ويمكن الاختبار خارج ساعات العمل أو في بيئة تجريبية.
كم يستغرق اختبار الاختراق؟
يستغرق تطبيق ويب واحد عادة من خمسة إلى عشرة أيام عمل. وتعتمد اختبارات الشبكات على حجمها، وقد تمتد تمارين الفريق الأحمر عدة أسابيع.
ماذا نحتاج أن نجهز؟
قائمة بالأهداف، وحسابات اختبار لاختبار الصندوق الرمادي، وجهة اتصال تقنية، وموافقة مالكي الأنظمة.
خدمات ذات صلة
هل أنت مستعد لحماية أعمالك؟
احجز استشارتك الأمنية المجانية اليوم.