«كم تكلفة اختبار الاختراق؟» هو غالبًا أول ما يسأله المشترون، والإجابة الصادقة تبدأ بسؤال آخر: ما الذي يحتاج إلى اختبار بالضبط؟ فاختباران يحملان الاسم نفسه قد يختلف جهدهما أضعافًا، لأن الجهد يعتمد على حجم ما في النطاق وتعقيده، وعمق الاختبار، وما تحتاجه في النهاية.

وفيما يلي العوامل التي تحدد جهد اختبار الاختراق، لتقارن العروض بإنصاف وتتجنب الدفع مقابل عمل لا تحتاجه. ولا نذكر هنا أسعارًا عن قصد، لأن الرقم لا يعني الكثير قبل تحديد النطاق.

لماذا تختلف العروض كثيرًا #

العرض المنخفض والعرض المرتفع لـ«اختبار اختراق تطبيق ويب» كثيرًا ما يصفان عملين مختلفين. فقد يكون أحدهما فحصًا آليًا مع تقرير قصير، والآخر أيامًا من الاختبار اليدوي على يد مختبرين متمرسين، يغطي منطق الأعمال وكل أدوار المستخدمين وإعادة الاختبار بعد الإصلاح. الأول أرخص، لكن الثاني هو الذي يُرجَّح أن يجد الثغرات التي يستغلها المهاجمون فعلًا.

العوامل الرئيسية #

1. نوع الهدف #

لكل نوع منهجيته: تطبيقات الويب، وواجهات البرمجة (API)، وتطبيقات الجوال، والمحيط الخارجي للشبكة، والشبكة الداخلية، والبيئات السحابية، والشبكات اللاسلكية، والهندسة الاجتماعية. والمشروع المركّب يغطي أكثر ويستغرق وقتًا أطول من هدف واحد.

2. الحجم والتعقيد #

في التطبيقات، يتبع الجهد عدد الصفحات والوظائف وأدوار المستخدمين والتكاملات ومسارات العمل كالدفع والموافقات. وفي واجهات البرمجة، يتبع عدد النقاط وطرق المصادقة. وفي الشبكات، يتبع عدد الأجهزة النشطة والمواقع وأجزاء الشبكة. والتعقيد أهم من الحجم المجرد: فعشرة مسارات عمل فريدة تستغرق أكثر من مئة صفحة متشابهة.

3. عمق الاختبار #

  • الصندوق الأسود: يبدأ المختبرون بلا معلومات كالمهاجم الخارجي. واقعي لكنه أبطأ في الوصول إلى المشكلات العميقة.
  • الصندوق الرمادي: يحصل المختبرون على حسابات مستخدمين ووثائق أساسية. وهو غالبًا الأعلى قيمة لتطبيقات الأعمال.
  • الصندوق الأبيض: يحصل المختبرون أيضًا على الشفرة المصدرية أو تفاصيل البنية، مما يتيح أعمق مراجعة.

4. البيئة والقيود #

قد يتطلب اختبار أنظمة الإنتاج نوافذ زمنية ضيقة وعناية إضافية وتنسيقًا مع فريق التشغيل. والاختبار خارج ساعات العمل أو تحت ضوابط تغيير صارمة يضيف جهدًا. أما بيئة اختبار مستقرة تحاكي الإنتاج فتجعل الاختبار أسرع وأكثر أمانًا.

5. متطلبات الالتزام والتقارير #

إن كان الاختبار يدعم متطلبًا كضوابط الهيئة أو PCI DSS أو ساما، فيجب أن يبيّن التقرير المنهجية والنطاق والأدلة التي يتوقعها المقيّم. فمعيار PCI DSS مثلًا يشترط أيضًا اختبار العزل حيث يُستخدم لتقليص النطاق. والتقارير بالعربية والإنجليزية، والملخص التنفيذي للقيادة، وربط الملاحظات بالأطر، كلها تضيف قيمة وبعض الجهد.

6. إعادة الاختبار #

تؤكد إعادة الاختبار أن الإصلاحات تعمل فعلًا. فاتفق مسبقًا على شمولها وعلى المدة المتاحة لها.

7. الهندسة الاجتماعية والفريق الأحمر #

محاكاة التصيد واختبارات الوصول المادي وتمارين الفريق الأحمر الكاملة تختبر الأشخاص والإجراءات إلى جانب التقنية. وتتطلب تخطيطًا دقيقًا وقواعد اشتباك وموافقة القيادة.

ما الذي يتضمنه العرض الجيد #

عند مقارنة العروض، تأكد أن كل عرض يحدد:

  • النطاق الدقيق: التطبيقات والعناوين ونطاقات IP والأدوار والاستثناءات.
  • المنهجية، كإرشادات OWASP للتطبيقات وأطر معترف بها مثل PTES أو NIST SP 800-115.
  • نسبة الاختبار اليدوي ومن يتولاه.
  • نوافذ الاختبار، والتواصل أثناءه، وكيفية التصعيد الفوري للملاحظات الحرجة.
  • محتويات التقرير، مع نموذج إن توفر.
  • شمول إعادة الاختبار من عدمه.
  • شروط السرية، بدءًا باتفاقية عدم إفصاح موقّعة.

كيف تحصل على عرض دقيق بسرعة #

جهّز موجزًا قصيرًا قبل طلب العروض:

  1. ما الذي تريد اختباره ولماذا: إطلاق، أو طلب عميل، أو تدقيق، أو جهة تنظيمية.
  2. حجم كل هدف: عدد التطبيقات والأدوار ونقاط الواجهات البرمجية أو عناوين IP.
  3. البيئة المراد اختبارها وأي قيود زمنية.
  4. المعيار أو المتطلب الذي يجب أن يدعمه التقرير.
  5. موعدك النهائي.

وبهذا الموجز يستطيع المزوّد أن يعيد إليك عرضًا مكتوبًا بأتعاب ثابتة بدل نطاق سعري مبهم، وتستطيع المقارنة بين المتماثل.

ملاحظة عن الاختبارات «الرخيصة» #

الفحص الآلي مفيد وقليل التكلفة، ومكانه برنامج إدارة الثغرات، لكنه ليس اختبار اختراق. فالماسحات لا تفهم منطق أعمالك، ولا تستطيع ربط نقاط ضعف صغيرة في هجوم خطير، وتنتج إنذارات كاذبة تحتاج إلى حكم بشري. فإن كانت جهة تنظيمية أو عميل أو مجلس إدارتك يتوقع اختبار اختراق، فتأكد أن هذا ما تشتريه.

اطّلع على خدمات اختبار الاختراق أو اطلب عرضًا.

الأسئلة الشائعة #

لماذا تختلف عروض اختبار الاختراق كثيرًا؟

لأنها غالبًا تصف أعمالًا مختلفة: فحص آلي بتقرير قصير مقابل اختبار يدوي لمنطق الأعمال وكل أدوار المستخدمين مع إعادة الاختبار. والنطاق والعمق ومتطلبات التقارير هي ما يصنع الفرق.

هل فحص الثغرات هو نفسه اختبار الاختراق؟

لا. الفحص آلي ومفيد للصيانة المستمرة، أما اختبار الاختراق فيضيف عملًا يدويًا يفهم منطق الأعمال ويربط الثغرات ويستبعد الإنذارات الكاذبة.

ماذا أجهّز قبل طلب العرض؟

ما تريد اختباره ولماذا، وحجم كل هدف، والبيئة والقيود الزمنية، والمعيار الذي يجب أن يدعمه التقرير، وموعدك النهائي.

هل تنشر دروع سايبر أسعار اختبار الاختراق؟

لا. يُحدَّد نطاق كل مشروع على حدة، ونعيد إليك عرضًا مكتوبًا بأتعاب وجدول واضحين بعد فهم النطاق وتوقيع اتفاقية عدم الإفصاح.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.