تدقيق أمني للتطبيقات
مراجعة تطبيقات الويب وفق معيار OWASP ASVS: المصادقة، والجلسات، والتحكّم في الوصول، والحقن.
تدقيق أمني واختبار اختراق في تونس ملاحظات دقيقة وإصلاحات، لا إنذارات.
نختبر تطبيقاتكم ونظام أودو وخوادمكم كما يفعل المهاجم، ثم نساعدكم على الإصلاح. تحدّد كل ملاحظة العنصرَ المعني ودرجةَ خطورته والإصلاحَ الواجب تطبيقه.
- خدمات
- 04
- مراحل
- 04
- تقنيات
- 08
لماذا نحن
لماذا يكون التدقيق الذي يجريه مطوّرون أكثر فائدة
لا قيمة لتقرير أمني ما لم تُصلَح ثغراته. فكثير من عمليات التدقيق تسلّم قائمة طويلة من التنبيهات العامة يصعب على فريق التطوير ترتيبها حسب الأولوية. أمّا نحن فنكتب بأنفسنا تطبيقات الويب ووحدات أودو ومواقع ووردبريس ونصونها: نعرف أين نبحث وكيف نُصلح.
تحدّد كل ملاحظة العنصر المعني، وتشرح الخطر الفعلي على نشاطكم، وتعطي درجة خطورة CVSS، وتقترح إصلاحًا قابلًا للتطبيق. ونبقى متاحين أثناء الإصلاح، ثم نتحقّق من أن الثغرات أُغلقت فعلًا. ويبقى كل ذلك سرّيًا ومؤطّرًا بقواعد تدخّل موقّعة.
ما نقوم به
اختبار اختراق للويب والواجهات البرمجية
اختبارات بالصندوق الأسود أو الرمادي على نطاق محدّد، مع إثباتات الاستغلال ودرجات CVSS.
التحصين
إعداد آمن لأودو وووردبريس وخوادم لينكس وترويسات HTTP.
مراجعة الشيفرة والمرافقة
مراجعة أمنية للشيفرة، وتحليل للتبعيات، وتوعية لمطوّريكم.
لمن هذه الخدمة
ناشرو البرمجيات وفرق المنتجات
تطلقون تطبيقًا وتريدون رأيًا خارجيًا قبل الإطلاق أو قبل جولة تمويل.
الشركات التي تستعمل أودو أو ووردبريس
يحتوي نظامكم أو موقعكم على بيانات العملاء وتريدون معرفة إن كان مكشوفًا.
مؤسسات خاضعة لمتطلّبات
يطلب منكم عميل أو شريك أو معيار ما إثبات اختبار اختراق حديث.
كيف يسير المشروع
تحديد النطاق والترخيص
النطاق والبيئات وحسابات الاختبار والأوقات والتقنيات المسموح بها، مصادق عليها كتابيًا.
الاختبارات
استطلاع، واختبارات يدوية ومؤتمتة وفق OWASP، واستغلال مضبوط للثغرات المكتشفة.
التقرير والعرض
ملخّص للإدارة، وتفاصيل تقنية لكل ملاحظة، واجتماع عرض مع فرقكم.
الإصلاح وإعادة الاختبار
مرافقة أثناء الإصلاح، ثم اختبار جديد للملاحظات للتأكّد من إغلاقها.
ما تتسلّمونه
- نطاق وقواعد تدخّل موقّعة
- تقرير يضمّ كل ملاحظة ودرجة خطورتها وإصلاحها
- ملخّص واضح للإدارة
- مرافقة أثناء الإصلاح
- اختبار تحقّق بعد الإصلاح
التقنيات
- OWASP ASVS
- OWASP Top 10
- CVSS 3.1
- Burp Suite
- Nmap
- Semgrep
- Linux
- Cloudflare
أسئلة متكرّرة
هل يمكن أن تعطّل الاختبارات بيئة الإنتاج؟
نحدّد كتابيًا النطاق والأوقات والتقنيات المسموح بها قبل البدء. وتُجرى الاختبارات الحسّاسة على بيئة تجريبية.
ماذا يتضمّن التقرير؟
ملخّصًا للإدارة، ثم كل ملاحظة مع العنصر المعني ودرجة خطورتها والدليل والإصلاح المقترح.
كم يستغرق اختبار الاختراق؟
يتوقّف ذلك على النطاق: عدد التطبيقات وأدوار المستخدمين والواجهات البرمجية. ويُخطَّط اختبار تطبيق ويب عادي في بضعة أيام من الاختبارات، إضافة إلى كتابة التقرير.
ما الفرق بين التدقيق الأمني واختبار الاختراق؟
يفحص التدقيق الإعدادات والشيفرة والممارسات مقارنة بمعيار مثل OWASP ASVS. أما اختبار الاختراق فيحاكي هجومًا حقيقيًا لإثبات ما يمكن أن يحصل عليه المهاجم. وكثيرًا ما يُجمع بينهما.
هل تبقى معلوماتنا سرّية؟
نعم. يمكن توقيع اتفاقية عدم إفصاح قبل تحديد النطاق، وتُحفظ الأدلّة مشفّرة وتُحذف في نهاية المهمة وفق القواعد المتّفق عليها.
اتصل بنا
لنتحدّث عن مشروعكم.
منتج جديد، أو نظام أودو تريدون نقله إلينا، أو تطبيق يحتاج إلى تدقيق: صِفوا حاجتكم وسنعود إليكم بتحليل أوّلي.
- يجيبكم مهندس، لا مندوب مبيعات
- لقاء أوّل وتقدير دون التزام
- سرية تامة لمعلوماتكم، مع إمكانية توقيع اتفاقية عدم إفصاح
تواصل مباشر
contact@shararahconsulting.com+216 25 163 280تونس العاصمة، تونس