01
تفويض الكائنات
الوصول بين المستخدمين والمستأجرين إلى الكائنات المحمية.
نطاق اختبار اختراق متخصص
اختبار اختراق واجهات البرمجة
تتعطل واجهات البرمجة غالبًا عند طبقة التفويض.
اختبار REST وGraphQL وWebhooks مع تركيز على تفويض الكائنات وانكشاف البيانات وإساءة استهلاك الموارد.
تسلسل الاختبار
- 01
الجرد
النقاط الموثقة وغير الموثقة والإصدارات والطرق.
- 02
الأدوار
رسم كل دور ومستأجر ونوع رمز.
- 03
التفويض
اختبار الوصول للكائنات والوظائف عبر حدود الأدوار.
- 04
البيانات
الانكشاف الزائد والإسناد الجماعي ومسارات الحقن.
- 05
الإساءة
حدود المعدل واستهلاك الموارد وإساءة تدفقات الأعمال.
- 06
التقرير
نتائج لكل نقطة نهاية مع طلبات قابلة لإعادة الإنتاج.
يتحقق اختبار اختراق واجهات البرمجة من أن كل نقطة نهاية تفرض التفويض على كل كائن ولكل دور وطريقة. تُختبر الواجهات وفق OWASP API Security Top 10، مع عمق خاص في التفويض على مستوى الكائن والوظيفة لأن الطلب الذي كان يجب رفضه هو أصل كثير من حوادث الواجهات.
- اختبار وفق OWASP API Security Top 10 بأدلة طلبات موثقة.
- البحث النشط عن الواجهات الظلية والمتقادمة.
- تسليم النتائج لكل نقطة نهاية لتطابق ملكية الخدمات.
كيف يرتبط هذا النطاق ببقية البرنامج الأمني؟
لاختبار سير عمل المتصفح حول الواجهة استخدم اختبار أمان تطبيقات الويب.
لضوابط الجهاز والعميل استخدم اختبار اختراق تطبيقات الجوال.
لمسار أوسع عبر التطبيق والبنية استخدم اختبار الاختراق.
لمن تناسب هذه الخدمة؟
- فرق المنتجات التي تعرض نقاط نهاية حرجة.
- المؤسسات التي تستخدم الواجهات للمصادقة أو تبادل البيانات.
- المنصات متعددة المستأجرين والأدوار وواجهات الآلة إلى الآلة.
ما الذي تستلمه؟
- 01تقرير لكل نقطة نهاية يبيّن الطلب والدور والأثر.
- 02إرشادات معالجة للتفويض والبيانات والمدخلات وضوابط الإساءة.
- 03ملخص تنفيذي يربط النتائج بمخاطر الأعمال والمستأجرين.
ما يشمله الارتباط
02
تفويض الوظائف
الوصول إلى العمليات الإدارية برموز أقل صلاحية.
03
اختبار GraphQL
الاستبطان وعمق الاستعلام وتجميع الطلبات وتفويض المحللات.
04
انكشاف البيانات
استجابات تعيد حقولًا أكثر مما يحتاجه العميل.
05
الإسناد الجماعي والحقن
ربط مدخلات غير متحققة بخصائص داخلية وفئات الحقن.
06
حدود المعدل
التعداد وحشو بيانات الاعتماد واستهلاك الموارد والتكلفة.
معايير الخبرة والتسليم
أدلة قابلة للتحقق
تُربط كل نتيجة بخطوات إعادة إنتاج واضحة وأثر أعمال ومسؤول معالجة محدد.
سياق تنظيمي محلي
تُقرأ الضوابط ضمن متطلبات NCA ECC وSAMA CSF ونظام حماية البيانات الشخصية عند انطباقها.
تسليم يخدم القرار والتنفيذ
يحصل المهندسون على التفاصيل التقنية، وتحصل القيادة على ترتيب مخاطر واضح وقابل للتصرف.
أسئلة وأجوبة
هل يلزم مخطط OpenAPI أو GraphQL؟
يساعد ويسرّع العمل لكنه ليس شرطًا؛ نجرد النقاط بشكل مستقل وغالبًا نجد نقاطًا غير موثقة.
هل يشمل الاختبار REST وGraphQL؟
نعم. يضيف GraphQL مخاطر الاستبطان وعمق الاستعلام والتجميع فوق اختبارات التفويض نفسها.
هل اختبار الواجهة مشمول في اختبار تطبيق الويب؟
تُغطى الواجهات التي يستدعيها التطبيق. أما النطاق المستقل فيختبر كل دور وطريقة وكائن وعميل آلة إلى آلة.
تابع داخل الركيزة
- 07اختبار أمان تطبيقات الويباختبار يدوي موثّق لتطبيقات الويب يغطي منطق الأعمال والتحكم بالوصول والجلسات وفئات الحقن وفق OWASP.
- 08اختبار اختراق تطبيقات الجوالاختبار iOS وAndroid عبر ملف التطبيق والتخزين المحلي وأمن النقل وضوابط التشغيل وواجهات الخلفية.
- 01اختبار الاختراقمحاكاة هجوم واقعية تغطي التطبيقات وواجهات البرمجة والبنية التحتية والشبكات والبيئات السحابية.