اختبار اختراق واجهات API
اختبار واجهات REST و GraphQL وواجهات الخدمات خلف تطبيقاتكم بالعمق الهجومي نفسه.
اعرف المزيداختبار يدوي ومدعوم بالأدوات لتطبيقات الويب لديكم، متوافق مع OWASP. نفحص المصادقة والتفويض والحقن وثغرات منطق العمل والتحكم في الوصول كما يفعل مهاجم مُصرّ، ثم نسلّمكم نتائج قابلة لإعادة الإنتاج ومسارًا واضحًا لمعالجتها.
اختبار اختراق تطبيق الويب هو هجوم مُتحكَّم فيه ومُصرّح به على تطبيق الويب لديكم يقوم به مختبرون ذوو خبرة. الهدف هو اكتشاف نقاط الضعف الأمنية التي قد يستغلها الخصم وإثباتها بأمان، قبل أن يفعل ذلك مهاجم حقيقي. لا تكشف الماسحات الآلية سوى جزء يسير مما يهم: أما الثغرات الأعمق والأشد ضررًا، مثل ضعف التحكم في الوصول وخلل منطق العمل، فتتطلب إنسانًا يفهم كيف يُفترض أن يعمل التطبيق.
يتوافق اختبارنا مع دليل اختبار OWASP و OWASP Top 10، ويجمع بين التحليل اليدوي والتقنيات المدعومة بالأدوات. نفحص متجهات الحقن، والمصادقة وإدارة الجلسات، والتفويض والتحكم في الوصول، ومعالجة المدخلات، وإعداد الخادم، ومسارات منطق العمل الخاصة بتطبيقكم. تُتحقَّق النتائج من خلال إثبات مفهوم آمن وغير مُتلِف، حتى لا تبقوا في حيرة بشأن ما إذا كان الخطر حقيقيًا.
يتبع كل مشروع إيقاع دروع سايبر: التقييم، الحماية، المراقبة. وبالنسبة لاختبار اختراق تطبيق الويب، يُترجَم ذلك إلى الخطوات التالية.
يرتكز اختبارنا على منهجيات معترف بها لتكون النتائج موثوقة وقابلة للتكرار وقابلة للربط المتقاطع.
الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.
يُحدَّد نطاق كل مشروع على حدة. يعتمد التسعير على حجم بيئتكم وتعقيدها، والأنظمة أو الضوابط المشمولة بالنطاق، والجدول الزمني الذي تحتاجون إلى الالتزام به. وبدلًا من نشر أرقام نادرًا ما تناسب حالة بعينها، نُعدّ عرضًا مكتوبًا برسوم وجدول واضحين بمجرد فهم نطاقكم.
أخبرونا عن جهتكم والموعد النهائي الذي تعملون على تحقيقه، وسنعيد إليكم عرضًا مخصصًا بعد توقيع اتفاقية عدم إفصاح.
يتوافق اختبارنا لتطبيقات الويب مع دليل اختبار OWASP و OWASP Top 10 و OWASP ASVS، ويستند إلى NIST SP 800-115 ومعيار تنفيذ اختبار الاختراق (PTES). نجمع بين التحليل اليدوي والتقنيات المدعومة بالأدوات حتى لا تفوتنا الثغرات الأعمق، مثل ثغرات منطق العمل والتحكم في الوصول.
في اختبار الصندوق الأسود نعمل دون معرفة مسبقة ودون اعتمادات، محاكين مهاجمًا خارجيًا. وفي اختبار الصندوق الرمادي نُمنح معلومات محدودة وحسابات مستخدمين، ما يتيح لنا اختبار الوظائف الموثّقة والتحكم في الوصول بكفاءة. وفي اختبار الصندوق الأبيض نستلم وثائق أوفى وقد نراجع الشيفرة المصدرية، ما يمنح أوسع تغطية. نوصي بالمقاربة المناسبة أثناء تحديد النطاق بناءً على أهدافكم وميزانيتكم.
صُمّم اختبارنا ليكون آمنًا وغير مُتلِف. نستخدم تقنيات إثبات مفهوم مُتحكَّم فيها بدلًا من عمليات استغلال مُتلِفة، ونتفق على نوافذ الاختبار ضمن قواعد التنفيذ، ونُبقي على خط تواصل طوال الوقت لنتمكن من الإيقاف فورًا إذا لوحظ أي شيء. ونتجنب الإجراءات التي قد تُلحق ضررًا بالبيانات أو تُعطّل الخدمة.
نعم. بمجرد أن يطبّق فريقكم الإصلاحات، نعيد اختبار النتائج المتأثرة دون تكلفة إضافية للتأكد من إغلاقها فعليًا. ويغطي نطاق إعادة الاختبار الثغرات المحددة في المشروع الأصلي.
كلاهما ممكن، ونتفق عليه أثناء تحديد النطاق. تتيح لنا بيئة تجهيز ممثِّلة للواقع اختبارًا مكثفًا دون أي خطر على البيانات الحية، بينما يمنح الإنتاج أدق صورة للتعرّض الحقيقي. يختار كثير من العملاء بيئة تجهيز مماثلة للإنتاج، ونكيّف قواعد التنفيذ حسب ما تختارونه.
نعم. التقرير والملخص التنفيذي وجلسة عرض النتائج متوفرة بالعربية والإنجليزية دون تكلفة إضافية.
اختبار واجهات REST و GraphQL وواجهات الخدمات خلف تطبيقاتكم بالعمق الهجومي نفسه.
اعرف المزيدتقييم تطبيقات iOS و Android وتخزينها ونقلها وتكاملاتها الخلفية.
اعرف المزيدإرساء تغطية واسعة عبر منظومتكم قبل التعمق باختبار اختراق مركّز.
اعرف المزيدسبعة عوامل تحدد جهد اختبار الاختراق، وكيف تقارن العروض بإنصاف.
اقرأ المقالكيف يحدد مسار بيانات البطاقات نطاقك، وما الذي غيّره الإصدار 4، وثماني خطوات للتجار.
اقرأ المقالما تحميه المنصة، وما تحميه أنت، وعشر خطوات ينبغي أن يتخذها كل متجر إلكتروني سعودي.
اقرأ المقالأخبرونا عن تطبيقكم وسنعيد إليكم عرضًا مكتوبًا خلال خمسة أيام عمل. اتفاقية عدم الإفصاح أولًا، دائمًا.