اختبار الاختراقاكتشفوا الثغرات القابلة للاستغلال قبل أن يجدها غيركم

الفحص آلي ويعطي قائمة ثغرات محتملة. اختبار الاختراق بشري ويثبت ما يمكن استغلاله فعلاً وما أثره. تحتاجون إلى الاثنين، والفحص الدوري نقدّمه ضمن خدمة إدارة الثغرات.

نتفق مسبقاً على نوافذ الاختبار وما يُستثنى، ونتجنب تقنيات الحرمان من الخدمة ما لم تُطلب صراحة. أي ثغرة حرجة تُبلَّغ فوراً قبل التقرير.

الأطر التنظيمية تربط التكرار بحساسية النظام وحجم التغييرات. الشائع هو اختبار سنوي على الأقل، وبعد كل تغيير جوهري أو إطلاق جديد.

نعم، إعادة اختبار واحدة للنتائج المعالجة ضمن فترة متفق عليها، مع تحديث التقرير ليعكس حالة الإغلاق.

يحددهما أساساً عدد الأهداف ونوعها (تطبيقات الويب، وواجهات API، وتطبيقات الجوال، ونطاقات عناوين IP، وأجزاء الشبكة الداخلية)، وفي التطبيقات عدد أدوار المستخدمين وحجم الوظائف. ويؤثر في حجم العمل أيضاً نوع الاختبار (صندوق أسود أو رمادي أو أبيض)، وإضافة الهندسة الاجتماعية أو مراجعة الشيفرة المصدرية، وما إذا كان الاختبار سيجري خارج ساعات العمل. نوضح ذلك في عرض مكتوب بعد الاتفاق على النطاق.

تفويض مكتوب من شخص مخوّل بالموافقة على اختبار الأنظمة المشمولة، وإن كانت الأنظمة مستضافة أو مُدارة لدى طرف ثالث أو مزود سحابي فتأكيد أن شروطه تسمح بالاختبار. ونحتاج أيضاً إلى قائمة الأهداف المعتمدة، وحسابات اختبار لكل دور مستخدم، ونوافذ الاختبار المتفق عليها، وجهات الاتصال الفنية وجهات التصعيد. ويُوثَّق ذلك كله في قواعد الاشتباك الموقعة قبل بدء أي اختبار.

تشترط الضوابط الأساسية للأمن السيبراني (ECC) إجراء اختبار الاختراق دورياً، على أن يشمل نطاقه جميع الخدمات المقدمة خارجياً عبر الإنترنت ومكوناتها التقنية، ومنها البنية التحتية والمواقع الإلكترونية وتطبيقات الويب والهواتف الذكية والبريد الإلكتروني والوصول عن بُعد. ويتوقع إطار الأمن السيبراني للبنك المركزي السعودي (SAMA CSF) أن تخضع الخدمات المقدمة للعملاء والمتاحة عبر الإنترنت لدى المؤسسات المالية الخاضعة لرقابته لمراجعة واختبار اختراق سنوياً. وتعتمد المتطلبات الملزمة لكم على قطاعكم وعلى دخولكم ضمن نطاق تطبيق ECC.