خريطة OWASP لفرق المطوّرين

OWASP Top 10 وثيقة توعية: تحدّد أكبر فئات المخاطر لتطبيقات الويب المستخلصة من تحليلات البيانات واستطلاعات المجتمع. يستند الإصدار الحالي 2025 – الثامن إجمالًا – إلى بيانات أكثر من 2.8 مليون تطبيق مُختبَر ويتناول 589 من CWE؛ والجديد هو الفئتان «Software Supply Chain Failures» (A03) و«Mishandling of Exceptional Conditions» (A10)، ويبقى «Broken Access Control» في المرتبة الأولى ويشمل الآن أيضًا SSRF. وبالنسبة لفرق المطوّرين تصلح Top 10 كنقطة انطلاق ومفردات مشتركة مع الإدارة والمدققين – لكنها ليست مصمّمة كقائمة متطلبات قابلة للتحقق أو كقائمة اختبارات. ولهذا الغرض تحيل OWASP نفسها إلى ASVS وWSTG.

يترجم Application Security Verification Standard (ASVS) «التطبيق الآمن» إلى متطلبات ملموسة قابلة للتحقق. يضمّ الإصدار 5.0.0 (المنشور في 30 مايو 2025) عدد 345 متطلبًا في 17 فصلًا – من التفويض مرورًا بالتشفير حتى OAuth/OIDC – وثلاثة مستويات: Level 1 كمدخل لاستخدام ASVS، وLevel 2 كمستوى أمني قياسي شامل، وLevel 3 للتطبيقات ذات احتياجات الحماية العالية. ولأن المتطلبات متاحة أيضًا بصيغة قابلة للقراءة آليًا CSV وJSON، يمكن نقلها مباشرة إلى قوائم العمل (Backlogs) ومعايير Definition of Done – وتُستخدم كمقياس موضوعي في المناقصات وعقود المورّدين.

تقدّم Cheat Sheet Series إرشادات موجزة وقريبة من التنفيذ حول موضوعات بعينها – من تخزين كلمات المرور مرورًا بمنع Injection حتى إدارة الأسرار (Secrets Management) – في 120 ورقة محدَّثة باستمرار حاليًا (حتى يوليو 2026). تربط طرق عرض الفهرس الأوراق بـ ASVS وTop 10 وProactive Controls، بحيث يمكن لكل متطلب العثور مباشرة على وسيلة التنفيذ المناسبة – مثالية لتأهيل المطوّرين الجدد وكمرجع في مراجعات الشيفرة. أما OWASP Developer Guide، أحد أقدم مشاريع OWASP (المنشور لأول مرة عام 2002، والإصدار الحالي 4.x)، فيُعرّف نفسه عمدًا كدليل إرشادي: لا يكرّر المحتوى، بل يقود كعمل تمهيدي وشامل عبر منظومة OWASP.

Web Security Testing Guide (WSTG) هو المنهجية المرجعية للاختبار الأمني لتطبيقات الويب. يعالج الإصدار المستقر الحالي 4.2 (ديسمبر 2020) كل سيناريو اختبار عبر معرّفات فريدة بصيغة WSTG-<Kategorie>-<Nummer>؛ ويجري حاليًا إعداد الإصدار 5.0 علنًا على GitHub ويجب التعامل معه كنسخة عمل. تستخدم الفرق WSTG لاستخلاص خطط الاختبار للإصدارات، وتنظيم الاختبارات الأمنية الداخلية، وتحديد نطاق اختبارات الاختراق الخارجية بشكل قابل للتتبّع – وتوفّر معرّفات الاختبار المستقرة بذلك لغة مشتركة بين التطوير والمختبرين ومقدّمي الخدمات.

على مستوى الأدوات توفّر المنظومة ركائز جاهزة للاستخدام مفتوحة المصدر. يفحص Dependency-Check (مشروع OWASP رئيسي) بوصفه أداة Software Composition Analysis تبعيات المشروع مقابل الثغرات الأمنية المعروفة علنًا من NVD، ويندمج في عملية البناء عبر CLI أو Maven أو Gradle أو Jenkins أو Azure DevOps. ويرتقي Dependency-Track (مشروع رئيسي أيضًا) بذلك إلى مستوى المحفظة: تقيّم المنصة قوائم CycloneDX SBOM باستمرار، وتدعم VEX، وتُظهر مخاطر الثغرات والإصدارات والتراخيص عبر جميع التطبيقات – ومع فئة Top 10 الجديدة «Software Supply Chain Failures» تكتسب هذه الركيزة وزنًا إضافيًا. وتكمّل أداة فحص DAST المسماة ZAP الاختبارات الديناميكية المؤتمتة في خط CI؛ ولم تعد مشروعًا لـ OWASP منذ 2023 وتستمر منذ 2024 باسم «ZAP by Checkmarx»، لكنها تبقى مفتوحة المصدر ومجانية.

لا يقيس Software Assurance Maturity Model (SAMM، الإصدار 2؛ إصدار النموذج الحالي v2.2.0 من يوليو 2024) تطبيقات بعينها، بل عملية التطوير: خمس وظائف أعمال (Governance وDesign وImplementation وVerification وOperations) مع 15 ممارسة أمنية وثلاثة مستويات نضج لكلّ منها – قابل للقياس، وموجّه نحو التنفيذ، ومحايد تجاه التقنيات والعمليات. يُظهر تقييم SAMM موقع المؤسسة ويقدّم خارطة طريق مرتّبة حسب الأولوية. ومن هنا ينتج التكامل في العمل اليومي: تأتي المتطلبات من ASVS إلى قائمة العمل، وتدعم Cheat Sheets وDeveloper Guide التنفيذ والتأهيل، وينظّم WSTG التحقق، وتؤتمت Dependency-Track وDependency-Check وZAP الفحوص في خط المعالجة – ويجعل SAMM التقدّم عبر جميع الفرق قابلًا للقياس والتوجيه.