اختبارات الاختراق: فهمها والتعاقد عليها بشكل صحيح

اختبار الاختراق فحص أمني محدود زمنيًا ومُتعاقد عليه، يحدد فيه المختبرون الثغرات الأمنية يدويًا ويربطونها ببعضها ويستغلونها بشكل منضبط لإثبات مخاطرها الفعلية. ويجب تمييزه بوضوح عن فحص الثغرات الأمنية: فهذا الأخير يفحص آليًا وعلى نطاق واسع مقابل أنماط ثغرات معروفة، لكنه لا يتحقق من النتائج ويُنتج بانتظام إنذارات كاذبة – فهو جزء من إدارة الثغرات الأمنية المستمرة، لا بديل عن اختبار الاختراق. أما محاكاة الهجمات (Red Teaming) فتسعى إلى هدف آخر: إذ تحاكي سرًّا هجومًا واقعيًا على أصول جوهرية محددة، وتفحص في الوقت ذاته قدرة المدافعين على الاكتشاف والاستجابة، بينما يفحص اختبار الاختراق نطاقًا محددًا بحثًا عن الثغرات الأمنية بأكبر قدر ممكن من الشمول.

تفحص اختبارات تطبيقات الويب وAPI من بين أمور أخرى المصادقة وإدارة الجلسات والتحكم في الوصول وثغرات الحقن. وتستهدف اختبارات البنية التحتية الخارجية سطح الهجوم الذي يمكن الوصول إليه من الإنترنت، بينما تنطلق الاختبارات الداخلية من مهاجم داخل الشبكة وتفحص مثلًا تصعيد الصلاحيات والتنقل الأفقي (Lateral Movement) ونقاط ضعف Active Directory. وتركز اختبارات اختراق السحابة على الإعدادات الخاطئة ونماذج الهوية والصلاحيات في إطار المسؤولية المشتركة مع المزوّد. وتتناول اختبارات تطبيقات الأجهزة المحمولة تخزين البيانات محليًا وآليات حماية المنصة وواجهات الخلفية؛ وتفحص اختبارات الشبكات اللاسلكية المصادقة والتشفير وتجزئة الشبكة في الموقع.

يصف هذا التصنيف مقدار المعرفة المسبقة التي يحصل عليها المختبرون. ففي اختبار Black-Box يبدأون دون معلومات داخلية – بشكل واقعي من منظور المهاجم، لكنه يستغرق وقتًا طويلًا وبتغطية أقل، لأن وقت الاختبار يذهب إلى جمع المعلومات. وفي اختبار White-Box تتوفر وثائق البنية المعمارية أو الإعدادات أو الشيفرة المصدرية، ما يتيح أكبر عمق للاختبار في كل وحدة زمنية. ويقع نهج Grey-Box بينهما، وعادةً مع حسابات اختبار ووثائق؛ وقد ترسّخ في الممارسة العملية كمعيار فعّال لمعظم أهداف الفحص. وبشكل مستقل عن ذلك يُحدَّد المنظور (خارجي/داخلي) ودرجة الإعلان المسبق عند تحديد النطاق.

تجعل المنهجيات المعترف بها اختبارات الاختراق قابلة للتتبع والمقارنة. فبالنسبة لتطبيقات الويب وAPI يُعد OWASP Web Security Testing Guide ‏(WSTG) المرجع؛ وقد صدر الإصدار المستقر الحالي 4.2 في ديسمبر 2020، والإصدار 5.0 قيد التطوير. وينظم Penetration Testing Execution Standard ‏(PTES، الإصدار 1.0) العملية الكاملة في سبع مراحل، من تفاعلات Pre-Engagement مرورًا بجمع المعلومات ونمذجة التهديدات وتحليل الثغرات الأمنية والاستغلال وما بعد الاستغلال وصولًا إلى إعداد التقارير. وبالنسبة للمنطقة الناطقة بالألمانية يصف «Praxis-Leitfaden für IS-Penetrationstests» الصادر عن BSI (إصدار 2016) نهجًا منظمًا ويقدّم إرشادات خاصة عند التعاقد. ويُفصح المزوّدون الجادّون عن المنهجية المستخدمة في التقرير.

يبدأ اختبار الاختراق بتحديد النطاق: تُحدَّد كتابيًا الأهداف والأنظمة ونوافذ الاختبار والاستثناءات وجهات الاتصال في حالات الطوارئ. ثم يلي ذلك جمع المعلومات وتحليل الثغرات الأمنية، والاستغلال المنضبط للنتائج ذات الصلة، والتقرير المتضمن ملخصًا إداريًا وتفاصيل تقنية وتقييمًا للمخاطر وتوصيات إجراءات مرتبة حسب الأولوية؛ وتُختتم الدورة بإعادة اختبار بعد المعالجة. ومن الناحية القانونية لا غنى عن التكليف الكتابي المسبق من صاحب الحق («Permission to Test»): فدونه قد تستوفي أفعال الاختبار أركان الجرائم المنصوص عليها في المواد 202a وما يليها من StGB (التجسس على البيانات واعتراضها). ولا يجوز فحص أنظمة الأطراف الثالثة – مثلًا لدى مزوّدي الاستضافة أو السحابة أو SaaS – إلا بموافقتهم أو في إطار سياسات الاختبار الخاصة بهم؛ وتندرج اتفاقيات السرية وحماية البيانات في كل عقد.

لا توجد دورية إلزامية عامة؛ والراسخ هو فحص الأنظمة الحرجة سنويًا على الأقل، إضافةً إلى اختبارات مرتبطة بمناسبات بعد تغييرات جوهرية في البنية المعمارية أو التطبيقات. وتطلب NIS2 (التوجيه (EU) 2022/2555) في المادة 21 الفقرة 2 البند (f) سياسات وإجراءات لتقييم فعالية إجراءات إدارة المخاطر – واختبارات الاختراق وسيلة راسخة لذلك. وبالنسبة للقطاع المالي تذكر DORA (اللائحة (EU) 2022/2554، المطبقة منذ 17 يناير 2025) اختبارات الاختراق صراحةً كجزء من برنامج اختبار المرونة (المادة 25)؛ ويتعين على المؤسسات المالية التي تحددها السلطات لذلك إجراء اختبارات اختراق موجّهة بالتهديدات (TLPT) إضافيةً مرة كل ثلاث سنوات على الأقل وفق المادة 26. وفي قطاع السيارات تتوقع تقييمات TISAX المستندة إلى كتالوج VDA-ISA (الإصدار 6؛ وبالنسبة للتقييمات المتعاقد عليها اعتبارًا من 2027 الكتالوج اللاحق ISA 2027) أدلة إثبات على فحوصات تقنية منتظمة وإدارة فعّالة للثغرات الأمنية – واختبارات الاختراق وسيلة إثبات شائعة لذلك.