🎯 ماذا ستتعلم في هذه الغرفة؟
- تفرّق بين الفحص الآلي واختبار الاختراق والفريق الأحمر
- تعرف أنواع Black وGrey وWhite Box وما تستلمه في كل نوع
- تعرف أنواع الاختبارات حسب الهدف، ومعنى Assumed Breach
- تفهم لماذا يغيّر الوقت المحدود قرار اختيار النوع
- تقرأ طلب عميل حقيقي الشكل وتستخرج منه النوع والنطاق
قبل الأنواع، دعنا نصحح أشهر خلط في المجال: كثير من الناس يشغّلون أداة فحص ويسمونها "اختبار اختراق". هذه أربع خدمات مختلفة، وكل واحدة لها هدف وسعر وعمق مختلف.
تخيّل بيتاً. فحص الثغرات مثل شخص يمر ويسجل "يبدو أن هذه النافذة غير مغلقة". اختبار الاختراق مثل خبير يحاول فعلياً فتح النافذة والدخول ليرى إلى أين يصل. الفريق الأحمر مثل تمرين سطو كامل دون علم الحراس، والسؤال: هل سينتبهون؟
| الخدمة | السؤال الذي تجيب عنه | الأسلوب | المخرجات |
|---|---|---|---|
| Vulnerability Scan | ما الثغرات المعروفة الظاهرة عندي؟ | أدوات آلية، سريع ودوري | قائمة طويلة، وفيها نتائج خاطئة أحياناً |
| Penetration Test | إلى أين قد يصل مهاجم فعلياً، وما الأثر؟ | يدوي بمساعدة أدوات، بنطاق ووقت محددين | ثغرات مثبتة باستغلال عملي وتوصيات |
| Red Team | هل تكشف دفاعاتنا وفريقنا هجوماً حقيقياً؟ | محاكاة خصم بهدف محدد، بسرية وغالباً لمدة أطول | سلسلة الهجوم وتقييم الكشف والاستجابة |
| Bug Bounty | ماذا يجد الباحثون من الخارج؟ | باحثون خارجيون ضمن سياسة منشورة، الدفع مقابل النتيجة | تقارير ثغرات فردية |
أول تصنيف تسمعه هو حسب كمية المعلومات التي تستلمها قبل أن تبدأ. حرّك المقياس وانظر كيف يتغير كل شيء.
التصنيف الثاني، والذي ستراه في عقود العمل الحقيقية، هو حسب الهدف. يحدد كل عقد الاثنين معاً، مثلاً: "اختبار تطبيق ويب Grey Box".
Assumed Breach: السيناريو الذي تحبه الشركات
بدلاً من إضاعة وقت العميل في محاولة الدخول، ينطلق الاختبار من افتراض أن المهاجم أصبح في الداخل، مثل موظف وقع ضحية تصيّد. تستلم جهازاً وحساب موظف عادي، والسؤال: إلى أين تصل من هنا؟ الفكرة منطقية لأن الدخول الأولي غالباً مسألة وقت، والأهم معرفة حجم الضرر الممكن.
هنا الفرق بين من يحفظ التعريفات ومن يعمل في المجال: الاختبار محدود بالوقت (Time-boxed)، فكل ساعة تصرفها في اكتشاف ما يعرفه العميل هي ساعة ضاعت من فحص ما لا يعرفه.
| المعيار | Black Box | Grey Box | White Box |
|---|---|---|---|
| وقت الاستطلاع | كبير | متوسط | قليل |
| التغطية بنفس الوقت | الأقل | متوسطة | الأعلى |
| محاكاة مهاجم خارجي | الأقرب | جزئية | الأبعد |
| ثغرات المنطق والصلاحيات | يصعب الوصول إليها | جيد | الأفضل |
| أنسب استخدام | قياس الظاهر من الخارج | تطبيق بمستخدمين أو Assumed Breach | قبل الإطلاق وللأنظمة الحساسة |
للمحترفين: تصنيف OSSTMM
دليل OSSTMM يقسم الاختبارات حسب سؤالين: كم يعرف المختبِر؟ وهل يعرف الهدف بوجود اختبار؟ هذا مهم لأن التصنيف البسيط لا يذكر الطرف الآخر.
| النوع | معرفة المختبِر | هل الهدف يعرف؟ |
|---|---|---|
| Blind | لا يعرف شيئاً | يعرف بالاختبار |
| Double Blind | لا يعرف شيئاً | لا يعرف |
| Gray Box | معرفة محدودة | يعرف مسبقاً |
| Double Gray Box | معرفة محدودة | يعرف النطاق والوقت، وليس التفاصيل |
| Tandem | الطرفان مستعدان ومتفقان مسبقاً | يعرف |
| Reversal | معرفة كاملة | لا يعرف كيف ولا متى |
الجدول تبسيط تعليمي، والتعريفات الدقيقة بالدليل نفسه.
مراجع يستخدمها المحترفون
أنت الآن مستشار أمني، والعملاء يطلبون نصيحتك. اقرأ كل طلب واختر الخدمة المناسبة. يجب أن تصيب في 4 من 5 لتنجح، وكل جولة تأتي بسيناريوهات مختلفة.
في العمل الحقيقي، أول ما يصلك هو طلب من العميل، وخطأ في قراءته قد يخرجك عن النطاق المسموح. اقرأ الخطاب بتركيز واستخرج المعلومات.
قائمة أسئلة ما قبل الاختبار (Scoping)
هذه أسئلة يسألها المختبِر المحترف قبل أن يعطي عرض سعر. احفظها معك، وسنبني عليها في غرفة قواعد الاشتباك.
1. ما الهدف من الاختبار: امتثال، إطلاق منتج، أو حادثة سابقة؟ 2. ما الأنظمة داخل النطاق؟ وما الممنوع لمسه؟ 3. ما المعلومات والحسابات التي سنستلمها؟ 4. ما أوقات الاختبار المسموحة؟ وهل توجد أنظمة حساسة للتعطل؟ 5. هل الهندسة الاجتماعية أو هجمات تعطيل الخدمة مسموحة؟ 6. هل فريق الدفاع يعرف بالاختبار؟ 7. من جهة الاتصال وقت الطوارئ؟ 8. كيف وبأي صيغة تُسلَّم النتائج؟ وهل توجد إعادة فحص بعد الإصلاح؟
لا يوجد نوع "أفضل" بالمطلق. هناك نوع مناسب لسؤال العميل ولوقته. والأهم من اسم النوع هو الاتفاق المكتوب: ماذا ستستلم، وما المسموح لمسه، وما الهدف.