هل تخطط لإطلاق تطبيق تجاري جديد؟ هل تحاول اكتشاف الثغرات في البنية التحتية لديك لتخفيفها قبل أن يستغلها المهاجمون؟ هل ترغب في تجاوز المعايير ومواجهة قدراتك الأمنية من خلال تمرين الفريق الأحمر (Red Team Exercise?) هل حددت الأصول الحيوية (التاج الملكي) وتريد اختبار ما إذا كانت محمية جيدًا أم لا؟
معظم الهجمات الإلكترونية حول العالم تتضمن عملية معرفية
حيث إن الخصم هو إنسان يستخدم قدراته الإبداعية واتخاذ القرار لتجاوز الضوابط الأمنية المطبقة.
عندما تحاول أن تكون استباقيًا وتكتشف الثغرات في تطبيقك أو بنيتك التحتية قبل المهاجمين، فإن أدوات الفحص الآلية لا يمكنها تحديد أو استغلال الثغرات مثل الإنسان الماهر والمصمم. هذا النهج يؤدي غالبًا إلى تفويت العديد من الثغرات الحرجة، مما يسمح للمجرمين الإلكترونيين بالاستفادة منها لاحقًا.
إذا كنت تبحث عن أي شيء يتعلق بالأمن الهجومي، فلست بحاجة إلى الذهاب إلى أي مكان آخر. بفضل خبرة مختبري الاختراق وأعضاء الفريق الأحمر ذوي المهارات العالية، تقدم لك Evoionos ما هو أكثر من مجرد فحص آلي للثغرات. يقوم خبراؤنا بمحاكاة تفكير الخصم واختبار ضوابطك الأمنية لتزويدك باستراتيجيات لتخفيف التهديدات. لأنك كلما "تتعب أكثر في ساحة التدريب، تنزف أقل في ساحة المعركة".
خدمات تقييم الأمن السيبراني
ضمان أن تكون البنية التحتية لتقنية المعلومات والتطبيقات مؤمنة بالكامل ضد الهجمات والتهديدات الإلكترونية المحتملة هو تحدٍ مستمر للمنظمات. يتعاظم هذا التحدي لدى المؤسسات الكبرى التي تمتلك عددًا كبيرًا من الموظفين، وأنظمة معلومات متعددة، ومراكز بيانات، وحسابات سحابية، ومواقع مكتبية في أنحاء مختلفة من العالم. لمواجهة القراصنة، يجب على المدافعين محاكاة أنماط تفكيرهم.
اختبار الاختراق هو تمثيل عملي لهجمات متعددة الطبقات، حيث يستخدم المهاجم مزيجًا من التقنيات البشرية والآلية لتحديد الثغرات القابلة للاستغلال وتجاوز الضوابط الأمنية في البنية التحتية بهدف التسلل والتحرك أفقيًا والبقاء وسرقة البيانات الحساسة للمنظمة.
نحن نقدم
تقييم أمان السحابة
يتم تقييم أمان خدمات السحابة مثل AWS وAzure و GCP استنادًا إلى معايير CIS الأمنية. بالإضافة إلى ذلك، نستخدم أدواتنا وسيناريوهاتنا الخاصة لتغطية جميع الجوانب الأمنية للبنية التحتية السحابية.
اختبار الاختراق للبنية التحتية الخارجية
يحاكي هذا الاختبار مهاجمًا عن بُعد غير مصرح له يحاول اختراق البنية التحتية المتاحة عبر الإنترنت. يهدف إلى اكتشاف الثغرات وسوء التكوين ونقاط الضعف التي يمكن استغلالها للوصول غير المصرح به أو تعطيل العمليات.
اختبار الاختراق الداخلي للبنية التحتية
يُحاكي اختبار الاختراق الداخلي مهاجمًا يعمل من داخل الشبكة — مثل مستخدم شرعي أو متعاقد أو زائر يمتلك وصولًا ماديًا أو وصولًا محدودًا إلى الأنظمة — لتحديد نقاط الضعف التي يمكن استغلالها من داخل حدود البنية التحتية.
مراجعة البناء والتكوين واختبار الاختراق
يستخدم اختبار مراجعة البناء والتكوين نهجًا يعتمد على الوصول الموثّق — القائم على بيانات الاعتماد والفحص — لتحديد الثغرات، وخط الأساس الأمني وإعدادات التكوين، وإمكانية الوصول غير المشروع إلى البيانات الحساسة، وغيرها من المشكلات وأوجه الاختراق المحتملة على الأجهزة.
اختبار اختراق الشبكات اللاسلكية
يهدف اختبار اختراق الشبكات اللاسلكية إلى تحديد الثغرات داخل بنية الشبكة اللاسلكية لديك ويقدّم قائمة ذات أولوية بالمشكلات والمخاطر النوعية المرتبطة بها وتوصيات تصحيح واضحة لتعزيز أمان الشبكة العامة.
اختبار اختراق تطبيقات الويب والجوال
تم تقييم تطبيقات الويب والجوال لاكتشاف الثغرات القابلة للاستغلال وأخطاء منطق الأعمال، باستخدام تقنيات يدوية وآلية لتحديد نقاط الضعف التي قد تؤدي إلى تسرب البيانات أو السيطرة على الحسابات أو إساءة استخدام العمليات التجارية.
اختبار قائم على الهندسة الاجتماعية
يُعتبر المستخدمون غالبًا الحلقة الأضعف في سلسلة الضوابط السيبرانية. يقيم هذا الاختبار وعي الموظفين وسلوكهم عند الاستجابة من خلال محاكاة هجمات هندسة اجتماعية مثل رسائل التصيد وروابط خبيثة ومرفقات مشبوهة مصممة لاكتشاف ثغرات في وعي المستخدم وإجراءات الإبلاغ عن الحوادث.
خدمة الفريق الأحمر (Red Teaming)
على عكس اختبار الاختراق الشامل، تركز خدمة الفريق الأحمر على العمق، عبر محاكاة سلوك المهاجمين بطريقة غير مدمرة لتحقيق الأهداف المتفق عليها مع فرق أمن وتكنولوجيا المعلومات لدى العميل.
منهجيتنا
يتم عرض منهجية اختبار الاختراق الشاملة الخاصة بشركة Evoionos هنا بإيجاز. ومع ذلك، فإن تحديد نطاق واضح ودقيق من شأنه أن يُمكّن من الاستفادة الفعلية من مكونات عملية الاختبار.
التخطيط والتحضير
تحديد نطاق وأهداف نشاط اختبار الاختراق، بما في ذلك الأنظمة والأصول التي سيتم تقييمها، ومنهجيات الاختبار التي ستُستخدم، وتوثيق القيود وقواعد الاشتباك.
الاستطلاع السلبي والنشط
في الاستطلاع السلبي (Passive Recon)، تحاول فريق اختبار الاختراق جمع المعلومات من مصادر المعلومات المتاحة علنًا (Open-Source Intelligence) مثل مواقع اللصق (Paste Sites) ومستودعات كلمات المرور المسربة، وذلك لجمع معلومات عن الموظفين والمؤسسة. في الاستطلاع النشط (Active Recon)، يقوم مختبر الاختراق بتوصيف أنظمة الهدف والشبكة بهدف تحديد الثغرات أو الأخطاء في التكوين التي يمكن استغلالها.
الاستغلال
حاولة الحصول على وصول غير مصرح به للأنظمة المستهدفة واستخدامه لجمع معلومات إضافية تساعد في التحرك الجانبي أو رفع الصلاحيات أو استخراج البيانات.
تصعيد الامتيازات والتحرك الجانبي
يحاول فريق اختبار الاختراق تصعيد الصلاحيات إلى مستويات إدارية واستغلال بيانات الاعتماد والآثار المجمعة للتحرك جانبياً عبر الشبكة. الهدف الوصول إلى الأنظمة الحرجة والبيانات الحساسة، إظهار مسارات هجوم واقعية، وتحديد الضوابط التي تفشل في اكتشاف أو منع مثل هذا التحرك.
الحفاظ على الوصول
بموجب قواعد الاشتباك ونطاق العمل المتفق عليهما، يضمن المختبرون أن أي وصول أو استمرار مطلوب طوال مدة المهمة يُحافظ عليه بطريقة مُتحكم بها وقابلة للعكس (باستخدام تقنيات غير مدمرة وبيانات اعتماد/نسخ احتياطية موثقة).
وإزالة الآثار
عند انتهاء الاختبارات، تُزال جميع الآثار والمواد التي أنشأها المختبرون، وتُعاد الأنظمة إلى حالتها الأصلية، ويُقدَّم للعميل سجل تدقيقي كامل للإجراءات لدعم المعالجة والتحقق.
التقرير
في النهاية، يُعد الفريق تقريرًا تفصيليًا يتضمن جميع النتائج والأدلة والتوصيات التقنية والتنفيذية لصالح أصحاب المصلحة.
معايير تقييم الأمان
معيار تنفيذ اختبار الاختراق (PTES)
منشورات خاصة NIST 800-115 دليل فني للاختبار والتقييم الأمني
دليل OSSTMM المفتوح لاختبار الأمان
تصنيف تهديدات WASCفي اتحاد أمن تطبيقات الويب
دليل اختبار OWASP مشروع لأمن تطبيقات الويب المفتوح
نظام تقييم الثغرات CVSS
أنماط التقييم
اختبار الصندوق الأسود (BBP)
يُجرى اختبار الاختراق من نوع الصندوق الأسود خارجيًا بواسطة المختبر دون أي معرفة مسبقة ببنية الأنظمة أو التطبيقات المستهدفة. الهدف محاكاة منظور مهاجم خارجي يحاول اختراق دفاعات المحيط. في اختبارات التطبيقات يتركز الاهتمام على تحليل المدخلات والمخرجات لتحديد الثغرات في سلوك وقت التشغيل ومعالجة الواجهات. وعلى الرغم من أن هذا النهج يتوافق مفهوميًا مع اختبارات أمان التطبيقات الديناميكية (DAST)، فإنه أوسع نطاقًا، إذ يمتد اختبار الصندوق الأسود إلى ما يتجاوز التطبيقات ليشمل أهداف البنية التحتية الكاملة.
اختبار الصندوق الرمادي (GBP)
يُجرى اختبار الاختراق من نوع الصندوق الرمادي بمعرفة جزئية بالنظام أو التطبيق المستهدف. عادةً ما يمتلك المختبر وصولًا محدودًا — مثل بيانات اعتماد مستخدم صالحة — لاستكشاف أدوار المستخدم المختلفة، وتحديد نقاط الضعف الأمنية، ومحاولة تصعيد الامتيازات. يمكّن هذا النهج من تقييم أكثر تركيزًا وواقعية للثغرات التي قد يستغلها مهاجم داخلي أو مستخدم مخترق. يتوافق اختبار الصندوق الرمادي مفهوميًا مع اختبار أمان التطبيقات التفاعلي (IAST)، إذ يجمع عناصر من منهجيات الاختبار الساكن والديناميكي.
اختبار الصندوق الأبيض (WBP)
يتضمن اختبار الاختراق من نوع الصندوق الأبيض إجراء تقييمات بمعرفة كاملة بالنظام، بما في ذلك تفاصيل البنية، الشيفرة المصدرية، والتكوينات. عندما يُدمج اختبار أمان التطبيقات الساكن (SAST) — مثل مراجعة الشيفرة المصدرية — مع اختبار الصندوق الرمادي، يتشكل تقييم شامل من نوع الصندوق الأبيض. يمكّن هذا النهج من فحصٍ عميق للثغرات على مستوى التصميم والشيفرة التي قد لا تظهر من خلال الاختبار الديناميكي وحده.
