الركيزة د — الأمن السيبراني الدفاعي
المشكلة: إضافات قديمة، وكلمات مرور معاد استخدامها، وغياب التحقق بخطوتين، ولوحات إدارة مكشوفة للإنترنت كله، ونسخ احتياطية لم تُختبر أبداً. المهاجمون يؤتمتون البحث عن هذه الأساسيات بالضبط. إصلاحها غير مبهر — لكنه يزيل غالبية مخاطرك الواقعية.
| التفويض | كل تقييم يتطلب تفويضاً كتابياً صريحاً من مالك النظام، بنطاق وأهداف ونافذة فحص وتقنيات مسموحة ومستبعدات وجهة طوارئ معرفة قبل بدء أي عمل. |
|---|---|
| أنظمتك فقط | نعمل فقط على بنية تملكها أو مفوّض صراحة بتقييمها. لا أهداف طرف ثالث أبداً. |
| ما لا نفعله أبداً | لا مسح أو استغلال غير مأذون، ولا ثبات داخل الأنظمة، ولا استخراج بيانات، ولا فحوصات تدميرية، ولا تعطيل لخدماتك الحية. |
| حدود صادقة | لا نقدم مراقبة أو استجابة حوادث على مدار الساعة، ولا ندّعي شهادات أمنية، ولا توجد خدمة تضمن الأمان. ومراجعة الإعدادات المحدودة ليست اختبار اختراق. |
| اختبار الاختراق | غير مقدم حالياً. إذا كانت حاجتك اختبار اختراق رسمياً، فأنت تحتاج مزوداً راسخاً ومعتمداً — وسنقول ذلك بوضوح بدل أن نبيعك بديلاً باسم أكبر. |
للأنشطة التي تدير موقعاً أو خادماً صغيراً ولم تُراجع وضعيته الأمنية الأساسية أبداً — خصوصاً قبل إطلاق، أو بعد إعادة تصميم، أو عند الانتقال لمزود جديد.
وثيقة تفويض ونطاق موقعة: أهداف وفحوصات ونافذة ومستبعدات وجهة طوارئ.
مراجعة بقائمة فحص للأصل المتفق عليه، داخل النافذة المتفق عليها فقط.
ملاحظات بأدلة وأثر وخطورة وخطوات معالجة عملية — إضافة إلى حدود المراجعة نفسها.
إعادة فحص واحدة محدودة بعد معالجتك، داخل الساعات المشمولة.
صيغة التعاقد علنية: مقتطف تقرير عيّنة، وعيّنة ثانية تغطي الترويسات وأمان النقل، وقائمة فحص الأساس كاملة — بالإضافة إلى دليلنا بلغة بسيطة حول ما يشمله الأساس الأمني.
قائمة OWASP العشر الأولى هي قائمة التوعية المعيارية في الصناعة لأخطر مخاطر أمان تطبيقات الويب. فيما يلي القائمة الكاملة لإصدار 2021، وكل بند مقاس بصدق مقابل ما يغطيه أساسنا الدفاعي فعلياً — بما فيها ثلاثة بنود خارجة عنه بالكامل. الأساس مراجعة إعدادات ونظافة أمنية، وليس اختبار اختراق، ولا شيء في هذه الصفحة ضمان للحماية.
A01:2021 — Broken Access Control
يصل المستخدمون إلى صفحات أو ملفات أو إجراءات لا ينبغي أن يصلوا إليها.
الأساس: نظافة الحسابات وصلاحيات الإدارة: نراجع إعدادات الوصول على مستوى المنصة ومسارات الإدارة ومن يملك أي حساب. أما منطق الوصول داخل التطبيق فهو كود — ومراجعة الكود خارج الأساس.
A02:2021 — Cryptographic Failures
تنكشف البيانات الحساسة لأنها غير مشفرة أو مشفرة بضعف أو تُرسل عبر اتصالات غير آمنة.
الأساس: إعدادات النقل فقط: نتحقق من فرض HTTPS وإعدادات TLS. أما كيفية تشفير التطبيق للبيانات المخزنة فخارج الأساس.
A03:2021 — Injection
يُعامَل إدخال المهاجم كأوامر أو استعلامات قاعدة بيانات، فيقرأ البيانات أو يعدّلها.
الأساس: غير مغطاة. كشف الحقن يحتاج مراجعة كود أو اختبار أمان نشطاً — وكلاهما خارج الأساس.
A04:2021 — Insecure Design
يفتقر التصميم ذاته إلى الضوابط التي يحتاجها أي نظام آمن، قبل كتابة أي كود.
الأساس: غير مغطاة. مراجعة تصميم التطبيقات خارج الأساس.
A05:2021 — Security Misconfiguration
إعدادات افتراضية أو ناقصة أو مفتوحة أكثر من اللازم تترك الأبواب غير مقفلة.
الأساس: هذا هو قلب الأساس: تُراجَع إعدادات المنصة والخادم وتُصلَّب سطراً بسطر.
A06:2021 — Vulnerable and Outdated Components
تبقى إضافات أو قوالب أو مكتبات أو منصات معروفة الثغرات قيد الاستخدام بعد توفر إصلاحاتها.
الأساس: قلب الأساس: تُحصى المكونات وتُفحص إصداراتها وتُعلَّم المهجورة للإزالة.
A07:2021 — Identification and Authentication Failures
قواعد دخول ضعيفة تتيح للمهاجمين تخمين بيانات الدخول أو إعادة استخدامها أو تجاوزها.
الأساس: قلب الأساس: التحقق بخطوتين وكبح محاولات الدخول وسياسة كلمات المرور ومراجعة حسابات الإدارة فحوص قياسية.
A08:2021 — Software and Data Integrity Failures
تُقبل التحديثات أو البيانات دون التحقق من أنها أصلية ولم يُعبث بها.
الأساس: جزئياً: نراجع قنوات التحديث ومخاطر الإضافات المهجورة. أما التحقق من خطوط البناء وسلامة الكود فخارج الأساس.
A09:2021 — Security Logging and Monitoring Failures
بدون سجلات صالحة للاستخدام وتنبيهات، تمر الاختراقات دون أن يلاحظها أحد لشهور.
الأساس: جزئياً: نتحقق من إعدادات التسجيل. نحن لا نراقب أي شيء — المراقبة المستمرة خدمة منفصلة لا نقدمها.
A10:2021 — Server-Side Request Forgery
يُخدع الخادم لينفذ طلبات إلى أنظمة داخلية نيابة عن المهاجم.
الأساس: غير مغطاة. العثور على هذه الثغرة يحتاج اختباراً نشطاً للتطبيق — خارج الأساس.
تتبع الفئات والأسماء قائمة OWASP Top 10 (2021) الصادرة عن مؤسسة OWASP كمعيار توعية. وإدراجها هنا لا يدّعي أي انتماء أو اعتماد — هي الخريطة التي نقيس نطاقنا عليها.
لا. الأساس مراجعة دفاعية للإعدادات والنظافة الأمنية لأنظمة تملكها — إعدادات وتحديثات وصلاحيات وتصليب. أما اختبار الاختراق فيحاول مهاجمة النظام لإثبات الاستغلال؛ ونحن لا نقدم اختبارات اختراق ولا نصف الأساس بها أبداً.
تصريحاً موقّعاً ونطاقاً مكتوباً — قبل لمس أي شيء. والأعمال الأمنية لا تتم إلا على أنظمة تملكها أو مخوّل بإدارتها، والتقرير الموقّع يذكر بالضبط ما فُحص وما تغيّر وما بقي خارج النطاق.
لا — ومن يعدك بذلك يضللك. يزيل الأساس الأبواب الشائعة المعروفة: مكونات قديمة وصلاحيات إدارة ضعيفة وتصليب غائب. يقلل الخطر بصدق؛ ولا يلغيه.
تقريراً موقّعاً بالصيغة المعروضة في صفحة أعمالنا: كل ملاحظة بدليلها وأثرها وخطورتها، والمعالجة المطبقة أو الموصى بها، وقائمة صريحة بما يقع خارج نطاق الأساس.
لا. لا نقدم مراقبة ولا مركز عمليات أمنية ولا استجابة للحوادث — مقالاتنا وهذه الصفحة يقولان ذلك بوضوح. يتحقق الأساس من وجود التسجيل وضبط إعداداته؛ ومتابعته اليومية تبقى مسؤوليتك أو خدمة مزود آخر.
احكِ لنا ما تحاول بناءه أو إصلاحه. سنرد بخطوات تالية صادقة — بما في ذلك إن لم نكن الخيار المناسب لك.