اختبار الاختراق

📅 آخر تحديث: ٢ أغسطس ٢٠٢٦
✍️ نُشر في: ٢ أغسطس ٢٠٢٦
الموسوعة الحرة

اختبار الاختراق ، المعروف اختصارًا بـ Pentest ، هو هجوم إلكتروني مُحاكاة مُصرّح به يُجرى على نظام حاسوبي لتقييم أمان النظام. [ 1 ] يُجرى الاختبار لتحديد نقاط الضعف (أو الثغرات الأمنية )، بما في ذلك إمكانية وصول جهات غير مُصرّح لها إلى خصائص النظام وبياناته، [ 2 ] [ 3 ] بالإضافة إلى نقاط القوة، [ 4 ] مما يُتيح إجراء تقييم شامل للمخاطر .

تُحدد عملية اختبار الاختراق عادةً الأنظمة المستهدفة وهدفًا محددًا، ثم تُراجع المعلومات المتاحة وتتخذ وسائل مختلفة لتحقيق ذلك الهدف. قد يكون هدف اختبار الاختراق صندوقًا أبيض (حيث تُقدم معلومات أساسية ومعلومات عن النظام للمختبِر مسبقًا) أو صندوقًا أسود (حيث تُقدم معلومات أساسية فقط عنه باستثناء اسم الشركة). أما اختبار الاختراق ذو الصندوق الرمادي فهو مزيج من النوعين (حيث تُشارك معلومات محدودة عن الهدف مع المدقق). [ 5 ] [ 6 ] [ 4 ] توجد أنواع مختلفة من اختبار الاختراق، بحسب هدف المؤسسة، وتشمل: الشبكات (الخارجية والداخلية)، والشبكات اللاسلكية، وتطبيقات الويب، والهندسة الاجتماعية، والتحقق من المعالجة. يُساعد اختبار الاختراق في تحديد نقاط ضعف النظام التي يُمكن استغلالها للهجوم، وتقدير مدى ضعفه.

يُعرّف المركز الوطني للأمن السيبراني في المملكة المتحدة اختبار الاختراق بأنه: "طريقة لضمان أمن نظام تكنولوجيا المعلومات من خلال محاولة اختراق بعض أو كل جوانب أمن ذلك النظام، باستخدام الأدوات والتقنيات نفسها التي قد يستخدمها المهاجم." [ 7 ] تُعدّ اختبارات الاختراق جزءًا من التدقيق الأمني ​​الشامل . فعلى سبيل المثال، يتطلب معيار أمن بيانات صناعة بطاقات الدفع إجراء اختبار اختراق دوري، وبعد أي تغييرات في النظام. [ 8 ] كما يُمكن لاختبار الاختراق أن يدعم تقييمات المخاطر كما هو موضح في إطار إدارة المخاطر الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST) SP 800-53. [ 9 ]

توجد العديد من الأطر والمنهجيات القياسية لإجراء اختبارات الاختراق. تشمل هذه الأطر دليل منهجية اختبار أمن المصادر المفتوحة (OSSTMM)، ومعيار تنفيذ اختبار الاختراق (PTES)، والمنشور الخاص 800-115 الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST )، وإطار تقييم أمن نظم المعلومات (ISSAF)، ودليل اختبار OWASP . وتقدم CREST، وهي هيئة مهنية غير ربحية تُعنى بصناعة الأمن السيبراني التقني، معيارها الخاص باختبار الاختراق القابل للدفاع (CREST Defensive Penetration Test) الذي يوفر للصناعة إرشادات حول أنشطة ضمان معقولة تجاريًا عند إجراء اختبارات الاختراق. [ 10 ]

منذ عام 2017، أصبح مصطلح "اختبار الاختراق كخدمة" (PTaaS) شائعًا. ويتضمن ذلك استخدام منصة لإجراء الاختبار كبديل للاستعانة بمستشارين. [ 11 ]

غاية

تختلف أهداف اختبار الاختراق باختلاف نوع النشاط المعتمد لأي مهمة، ويتركز الهدف الأساسي على اكتشاف الثغرات الأمنية التي قد يستغلها فاعل خبيث، وإبلاغ العميل بهذه الثغرات مع تقديم استراتيجيات التخفيف الموصى بها. وقد تُقيّم تقارير اختبار الاختراق أيضًا الآثار المحتملة على المؤسسة وتقترح تدابير مضادة للحد من المخاطر. [ 12 ]

تاريخ

بحلول منتصف الستينيات، أدى تزايد شعبية أنظمة الحواسيب ذات المشاركة الزمنية ، التي أتاحت الوصول إلى الموارد عبر خطوط الاتصال، إلى ظهور مخاوف أمنية جديدة. وكما يوضح الباحثان ديبورا راسل وجي تي جانجيمي الأب، "مثّلت الستينيات البداية الحقيقية لعصر أمن الحواسيب". [ 13 ] : 27

في يونيو 1965، على سبيل المثال، عقد عدد من أبرز خبراء أمن الحاسوب في الولايات المتحدة أحد أوائل المؤتمرات الكبرى حول أمن الأنظمة، والذي استضافته شركة تطوير الأنظمة (SDC)، وهي شركة متعاقدة مع الحكومة. خلال المؤتمر، أشار أحد الحضور إلى أن أحد موظفي SDC تمكن بسهولة من اختراق العديد من إجراءات الحماية المضافة إلى نظام حاسوب AN/FSQ-32 الخاص بالشركة ، وهو نظام حاسوبي يعمل بتقنية المشاركة الزمنية. أملاً في أن تكون دراسات أمن الأنظمة الإضافية مفيدة، طلب الحضور إجراء دراسات في مجالات مثل اختراق الحماية الأمنية في النظام ذي المشاركة الزمنية. بعبارة أخرى، بادر المشاركون في المؤتمر بتقديم أحد أوائل الطلبات الرسمية لاستخدام اختراق الحواسيب كأداة لدراسة أمن الأنظمة. [ 14 ] : 7-8

في مؤتمر الحاسوب المشترك الذي عُقد في ربيع عام 1968، اجتمع العديد من كبار المتخصصين في مجال الحاسوب لمناقشة مخاوف أمن الأنظمة. خلال هذا المؤتمر، استخدم خبراء أمن الحاسوب ويليس وير ، وهارولد بيترسن، ورين تيرن، وجميعهم من مؤسسة راند ، بالإضافة إلى برنارد بيترز من وكالة الأمن القومي (NSA)، مصطلح "الاختراق" لوصف أي هجوم على نظام حاسوبي. في ورقة بحثية، أشار وير إلى أنظمة المشاركة الزمنية العسكرية التي يمكن الوصول إليها عن بُعد، محذرًا من أنه "يجب توقع المحاولات المتعمدة لاختراق هذه الأنظمة الحاسوبية". وشارك زميلاه بيترسن وتيرن نفس المخاوف، ملاحظين أن أنظمة الاتصالات عبر الإنترنت "...عرضة لتهديدات الخصوصية"، بما في ذلك "الاختراق المتعمد". وأكد برنارد بيترز من وكالة الأمن القومي على نفس النقطة، مُصرًا على أن مدخلات ومخرجات الحاسوب "...يمكن أن تُوفر كميات كبيرة من المعلومات لبرنامج اختراق". خلال المؤتمر، تم تحديد اختراق الحاسوب رسميًا كتهديد رئيسي لأنظمة الحاسوب المتصلة بالإنترنت. [ 14 ] : 8

تم توضيح التهديد الذي يشكله اختراق الحواسيب لاحقًا في تقرير رئيسي أعدته وزارة الدفاع الأمريكية (البنتاغون) في أواخر عام 1967. في الأساس، استعان مسؤولو البنتاغون بويليس وير لقيادة فريق عمل من الخبراء من وكالة الأمن القومي، ووكالة المخابرات المركزية ، ووزارة الدفاع، والأوساط الأكاديمية، والصناعة، لتقييم أمن أنظمة الحواسيب ذات المشاركة الزمنية بشكل رسمي. وبالاعتماد على العديد من الأوراق البحثية التي قُدّمت خلال مؤتمر الحاسوب المشترك في ربيع عام 1967، أكد فريق العمل إلى حد كبير التهديد الذي يشكله اختراق الحواسيب على أمن النظام. صُنّف تقرير وير في البداية سريًا، لكن سرعان ما اعتبره العديد من كبار خبراء الحاسوب في البلاد الوثيقة المرجعية في مجال أمن الحاسوب. [ 14 ] وقد وصف جيفري ر. يوست من معهد تشارلز باباج مؤخرًا تقرير وير بأنه "...أهم دراسة وأكثرها شمولًا على الإطلاق حول القضايا التقنية والتشغيلية المتعلقة بأنظمة الحوسبة الآمنة في تلك الفترة." [ 15 ] في الواقع، أكد تقرير وير مجددًا على التهديد الكبير الذي يشكله اختراق الحواسيب على أنظمة الحواسيب الجديدة ذات المشاركة الزمنية عبر الإنترنت.

لفهم نقاط ضعف الأنظمة بشكل أفضل، بدأت الحكومة الفيدرالية ومتعاقدوها بتنظيم فرق من خبراء الاختراق، تُعرف باسم فرق النمور ، لاستخدام اختراق الحواسيب لاختبار أمن الأنظمة. وذكرت ديبورا راسل وجي تي جانجيمي الأب أنه خلال سبعينيات القرن الماضي، ظهرت فرق النمور لأول مرة في مجال الحواسيب. وكانت فرق النمور فرقًا مدعومة من الحكومة والقطاع الخاص، تضم خبراء اختراق حاولوا اختراق دفاعات أنظمة الحاسوب في محاولة للكشف عن الثغرات الأمنية، ومعالجتها في نهاية المطاف. [ 13 ] : 29

يشير دونالد ماكنزي، وهو باحث بارز في تاريخ أمن الحاسوب، إلى أن "مؤسسة راند أجرت بعض دراسات الاختراق (تجارب لتجاوز ضوابط أمن الحاسوب ) لأنظمة المشاركة الزمنية المبكرة نيابةً عن الحكومة". [ 16 ] [ 17 ] كما يُقر جيفري ر. يوست من معهد تشارلز باباج، في عمله الخاص بتاريخ أمن الحاسوب، بأن كلاً من مؤسسة راند ومركز تطوير البرمجيات (SDC) قد "شاركا في بعض الدراسات الأولى التي تُسمى "دراسات الاختراق" لمحاولة اختراق أنظمة المشاركة الزمنية لاختبار مدى ضعفها". [ 15 ] وفي جميع هذه الدراسات المبكرة تقريبًا، نجحت فرق متخصصة في اختراق جميع أنظمة الحاسوب المستهدفة، نظرًا لضعف دفاعات أنظمة المشاركة الزمنية في البلاد.

من بين الجهود المبكرة التي بذلتها فرق اختبار الاختراق في مؤسسة راند، برزت فائدة اختبار الاختراق كأداة لتقييم أمن الأنظمة. في ذلك الوقت، أشار أحد محللي راند إلى أن الاختبارات "...أثبتت جدوى اختبار اختراق الأنظمة كأداة لتقييم فعالية وكفاءة إجراءات حماية البيانات المُطبقة". إضافةً إلى ذلك، أكد عدد من محللي راند أن تمارين اختبار الاختراق تُقدم جميعها فوائد عديدة تُبرر استمرار استخدامها. وكما أشاروا في إحدى أوراقهم البحثية، "يبدو أن المخترق يُطور عقلية ماكرة في بحثه عن نقاط ضعف ونقص نظام التشغيل ، وهو أمر يصعب محاكاته". لهذه الأسباب وغيرها، أوصى العديد من المحللين في راند بمواصلة دراسة تقنيات الاختراق لما لها من فائدة في تقييم أمن الأنظمة. [ 14 ] : 9

كان جيمس ب. أندرسون أحد أبرز خبراء اختراق الحواسيب خلال تلك السنوات التأسيسية، حيث عمل مع وكالة الأمن القومي ومؤسسة راند ووكالات حكومية أخرى لدراسة أمن الأنظمة. في أوائل عام 1971، تعاقدت القوات الجوية الأمريكية مع شركة أندرسون الخاصة لدراسة أمن نظام المشاركة الزمنية في البنتاغون. في دراسته، حدد أندرسون عددًا من العوامل الرئيسية المؤثرة في اختراق الحواسيب. ووصف تسلسلًا عامًا للهجوم في خطوات [ 18 ] :

  1. ابحث عن ثغرة أمنية قابلة للاستغلال.
  2. صمم هجومًا حوله.
  3. اختبر الهجوم.
  4. استولِ على خط قيد الاستخدام.
  5. ابدأ الهجوم.
  6. استغل المدخل لاستعادة المعلومات.

بمرور الوقت، ساعد وصف أندرسون لخطوات اختراق الحواسيب العامة في توجيه العديد من خبراء الأمن الآخرين، الذين اعتمدوا على هذه التقنية لتقييم أمن أنظمة الحواسيب ذات المشاركة الزمنية. [ 14 ] : 9

في السنوات اللاحقة، تطورت عملية اختراق الحواسيب كأداة لتقييم الأمن لتصبح أكثر دقة وتطورًا. في أوائل ثمانينيات القرن الماضي، لخص الصحفي ويليام برود بإيجاز الجهود المتواصلة التي تبذلها فرق متخصصة لتقييم أمن الأنظمة. وكما ذكر برود، فإن التقرير الذي رعته وزارة الدفاع الأمريكية والذي أعده ويليس وير "...أظهر كيف يمكن للجواسيس اختراق الحواسيب بنشاط، وسرقة أو نسخ الملفات الإلكترونية، وتخريب الأجهزة التي تحمي عادةً المعلومات السرية للغاية. وقد أدت هذه الدراسة إلى أكثر من عقد من النشاط الصامت الذي قامت به مجموعات نخبوية من علماء الحاسوب العاملين لدى الحكومة، والذين حاولوا اختراق الحواسيب الحساسة. وقد نجحوا في كل محاولة." [ 19 ]

على الرغم من أن هذه الدراسات المختلفة قد أشارت إلى أن أمن الحاسوب في الولايات المتحدة لا يزال يمثل مشكلة رئيسية، فقد طرح الباحث إدوارد هانت مؤخرًا وجهة نظر أوسع نطاقًا حول الدراسة المكثفة لاختراق الحواسيب كأداة أمنية. ويشير هانت في ورقة بحثية حديثة حول تاريخ اختبار الاختراق إلى أن المؤسسة الدفاعية في نهاية المطاف "...ابتكرت العديد من الأدوات المستخدمة في الحرب السيبرانية الحديثة"، حيث قامت بتحديد ودراسة الطرق العديدة التي يمكن لمخترقي الحواسيب من خلالها اختراق الأنظمة المستهدفة. [ 14 ] : 5

أدوات

تتوفر مجموعة واسعة من أدوات تقييم الأمان للمساعدة في اختبار الاختراق، بما في ذلك البرامج المجانية والبرامج التجارية . [ 20 ]

منهجية فرضية العيب

منهجية فرضية العيوب هي أسلوب لتحليل النظم والتنبؤ بالاختراق، حيث يتم تجميع قائمة بالعيوب المفترضة في نظام برمجي من خلال تحليل مواصفات النظام ووثائقه. ثم تُرتّب قائمة العيوب المفترضة حسب الأولوية بناءً على الاحتمالية المُقدّرة لوجود عيب فعلي، وسهولة استغلاله من حيث التحكم أو الاختراق. وتُستخدم القائمة المُرتّبة حسب الأولوية لتوجيه الاختبار الفعلي للنظام. [ 21 ]

توزيعات أنظمة التشغيل المتخصصة

تُصمَّم العديد من توزيعات أنظمة التشغيل خصيصًا لاختبار الاختراق. [ 22 ] تحتوي هذه التوزيعات عادةً على مجموعة أدوات مُجهَّزة ومُهيَّأة مسبقًا. لا يحتاج مُختبِر الاختراق إلى البحث عن كل أداة على حدة، مما قد يزيد من مخاطر حدوث تعقيدات، مثل أخطاء الترجمة، ومشاكل التبعيات، وأخطاء التكوين. كما أن الحصول على أدوات إضافية قد لا يكون عمليًا في سياق عمل المُختبِر.

تتضمن الأمثلة البارزة لاختبار الاختراق لأنظمة التشغيل ما يلي:

تُسهّل العديد من أنظمة التشغيل المتخصصة الأخرى اختبار الاختراق، حيث يُخصص كل منها، بدرجات متفاوتة، لمجال محدد من مجالات اختبار الاختراق. تتضمن بعض توزيعات لينكس ثغرات أمنية معروفة في نظام التشغيل والتطبيقات، ويمكن نشرها كأهداف للتدريب . تُساعد هذه الأنظمة متخصصي الأمن الجدد على تجربة أحدث أدوات الأمان في بيئة معملية. ومن الأمثلة على ذلك Damn Vulnerable Linux (DVL)، وOWASP Web Testing Environment (WTW)، وMetasploitable.

أطر البرمجيات

أدوات الأجهزة

توجد أدوات برمجية مصممة خصيصًا لاختبار الاختراق. مع ذلك، ليست كل الأدوات المستخدمة في هذا الاختبار مصممة لهذا الغرض تحديدًا. فبعض الأجهزة، مثل معدات القياس والتصحيح، تُعاد استخدامها لاختبار الاختراق نظرًا لوظائفها المتقدمة وقدراتها المتعددة.

  • Proxmark3 — أداة متعددة الأغراض لتحليل أمن تحديد الترددات الراديوية (RFID).
  • BadUSB — مجموعة أدوات لاستغلال الثغرات الأمنية في أجهزة USB لحقن ضغطات مفاتيح أو حمولات ضارة.
  • Flipper Zero — جهاز محمول ومفتوح المصدر متعدد الوظائف لاختبار اختراق البروتوكولات اللاسلكية مثل Sub-GHz وRFID وNFC والأشعة تحت الحمراء والبلوتوث.
  • Raspberry Pi - جهاز كمبيوتر صغير الحجم ومتعدد الاستخدامات ذو لوحة واحدة، ويستخدم عادة في اختبار الاختراق لمهام مثل استطلاع الشبكة واستغلالها.
  • SDR (الراديو المعرف بالبرمجيات) - أداة متعددة الاستخدامات لتحليل ومهاجمة الاتصالات والبروتوكولات اللاسلكية، بما في ذلك اعتراض الإشارات ومحاكاتها وفك تشفيرها وإرسالها.
  • ChipWhisperer - أداة أجهزة متخصصة لهجمات القنوات الجانبية، تسمح بتحليل التطبيقات المشفرة ونقاط الضعف من خلال استهلاك الطاقة أو الانبعاثات الكهرومغناطيسية.

مراحل اختبار الاختراق

يمكن تبسيط عملية اختبار الاختراق إلى المراحل السبع التالية:

  1. الاستطلاع: هو عملية جمع معلومات مهمة عن نظام مستهدف. يمكن استخدام هذه المعلومات لتحسين الهجوم على النظام المستهدف. على سبيل المثال، يمكن استخدام محركات البحث مفتوحة المصدر للعثور على بيانات يمكن استخدامها في هجوم الهندسة الاجتماعية .
  2. المسح: يستخدم أدوات تقنية لتعزيز معرفة المهاجم بالنظام. على سبيل المثال، يمكن استخدام Nmap لمسح المنافذ المفتوحة.
  3. الوصول: باستخدام البيانات التي جُمعت في مرحلتي الاستطلاع والمسح، يستطيع المهاجم استخدام حمولة خبيثة لاستغلال النظام المستهدف. على سبيل المثال، يمكن استخدام Metasploit لأتمتة الهجمات على الثغرات الأمنية المعروفة. بمجرد استغلال المهاجم لثغرة أمنية، قد يتمكن من الوصول إلى أجهزة أخرى، وهكذا تتكرر العملية، أي يبحث عن ثغرات جديدة ويحاول استغلالها. تُعرف هذه العملية بالتحول.
  4. الحفاظ على الوصول: يتطلب الحفاظ على الوصول اتخاذ الخطوات اللازمة للتواجد باستمرار داخل البيئة المستهدفة من أجل جمع أكبر قدر ممكن من البيانات.
  5. إخفاء الآثار: يجب على المهاجم إزالة أي أثر لاختراق نظام الضحية، وأي نوع من البيانات التي تم جمعها، وأحداث السجل، من أجل الحفاظ على سرية هويته. [ 23 ]
  6. إعداد التقارير: يتم تصنيف نقاط الضعف من خلال مصفوفة المخاطر وتوثيقها في تقرير يحتوي على ملخص تنفيذي ووصف لنقاط الضعف وتوصيات للمعالجة.
  7. المعالجة وإعادة الاختبار: بمجرد أن تقوم المؤسسة المستهدفة بتقييم تقرير اختبار الاختراق ومعالجة العناصر بناءً على مستوى تقبّلها للمخاطر، يتم إجراء إعادة اختبار لتلك الثغرات الأمنية للتأكد من نجاح المعالجة، ويتم تقديم تقرير مختصر لإعادة الاختبار يوضح النتائج. [ 24 ]

اختبار DDoS المستمر

أدى تزايد وتيرة وحجم هجمات الحرمان من الخدمة الموزعة (DDoS)، والتي تضاعفت أكثر من مرتين في عام 2025 لتصل إلى أكثر من 47 مليون، مع نمو الهجمات ذات الحجم الهائل بنسبة 700٪ على أساس سنوي [ 25 ] ، إلى زيادة الاهتمام بالنهج المستمر للتحقق من صحة أمان DDoS.

بخلاف اختبارات الاختراق التقليدية، التي تُجرى عادةً خلال فترات الصيانة المجدولة، يُعد اختبار DDoS المستمر منهجيةً تُجري محاكاةً مستمرةً ومنخفضة التأثير لحركة مرور DDoS على بيئات الإنتاج أو بيئات مُكافئة لها، وذلك للتحقق من صحة الدفاعات عبر طبقات الشبكة (L3) والنقل (L4) والتطبيقات (L7). [ 26 ] وقد أدرج مُزودو منصات الحوسبة السحابية، مثل مايكروسوفت أزور، اختبار DDoS المستمر في أنظمتهم الأمنية، حيث أدرجوا شركاء محاكاة مُعتمدين، من بينهم MazeBolt وRed Button وRedWolf، لاستخدامهم ضد البيئات المحمية. [ 26 ]

يتماشى هذا النهج مع التحول الأوسع نحو إدارة التعرض المستمر للتهديدات (CTEM)، وهو إطار عمل قدمته شركة غارتنر عام 2022، يدعو إلى تحديد المخاطر الأمنية وترتيب أولوياتها والتحقق منها بشكل مستمر بدلاً من التقييمات الدورية. وقدّرت غارتنر أن المؤسسات التي تتبنى برامج إدارة التعرض المستمر ستكون أقل عرضة للاختراق بثلاث مرات بحلول عام 2026. [ 27 ] ويجادل مؤيدو اختبار هجمات DDoS المستمر بأنه يعالج أوجه القصور في التقييمات التي تُجرى في وقت محدد، بما في ذلك اكتشاف أي تغيير في إعدادات البنية التحتية للتخفيف من المخاطر، وتوفير أدلة قابلة للتدقيق لأغراض الحوكمة والامتثال التنظيمي. [ 26 ]

نقاط الضعف

تشمل العمليات القانونية التي تسمح للمختبِر بتنفيذ عملية غير قانونية أوامر SQL غير المُفلتة، وكلمات المرور المُشفّرة غير المُعدّلة في المشاريع المرئية المصدر، والعلاقات البشرية، ووظائف التشفير أو التجزئة القديمة. [ 28 ] قد لا يكون وجود ثغرة واحدة كافيًا لتمكين استغلال خطير. غالبًا ما يكون من الضروري استغلال ثغرات متعددة معروفة وتشكيل الحمولة بطريقة تبدو كعملية صالحة. يوفر Metasploit مكتبة Ruby للمهام الشائعة، ويحتفظ بقاعدة بيانات للثغرات المعروفة. [ 29 ]

عند العمل ضمن قيود الميزانية والوقت، يُعدّ اختبار الثغرات الأمنية (Fuzzing) أسلوبًا شائعًا لاكتشاف نقاط الضعف. [ 30 ] يهدف هذا الأسلوب إلى الحصول على خطأ غير معالج من خلال إدخال بيانات عشوائية. يستخدم المختبِر هذه البيانات العشوائية للوصول إلى مسارات التعليمات البرمجية الأقل استخدامًا، بينما تخلو مسارات التعليمات البرمجية الأكثر استخدامًا عادةً من الأخطاء. تُعدّ الأخطاء مفيدة لأنها إما تكشف عن معلومات إضافية، مثل أعطال خادم HTTP مع تتبعات كاملة للمعلومات، أو يمكن استخدامها مباشرةً، مثل تجاوزات سعة المخزن المؤقت . [ 31 ]

تخيل موقعًا إلكترونيًا يحتوي على 100 مربع إدخال نصي. بعضها عرضة لهجمات حقن SQL على سلاسل نصية معينة. من المأمول أن يؤدي إدخال سلاسل نصية عشوائية في هذه المربعات لفترة من الوقت إلى اكتشاف مسار الكود المعيب. يظهر الخطأ على شكل صفحة HTML معطوبة، نصفها معروض بسبب خطأ في SQL. في هذه الحالة، تُعامل مربعات النص فقط كتدفقات إدخال. مع ذلك، تحتوي أنظمة البرمجيات على العديد من تدفقات الإدخال المحتملة، مثل بيانات ملفات تعريف الارتباط وبيانات الجلسات، وتدفق الملفات المرفوعة، وقنوات RPC، أو الذاكرة. يمكن أن تحدث الأخطاء في أي من تدفقات الإدخال هذه. يهدف الاختبار أولًا إلى الحصول على خطأ غير معالج، ثم فهم الخلل بناءً على حالة الاختبار الفاشلة. يكتب المختبرون أداة آلية لاختبار فهمهم للخلل حتى يصبح صحيحًا. بعد ذلك، قد يتضح كيفية تغليف الحمولة بحيث يقوم النظام المستهدف بتشغيلها. إذا لم يكن هذا ممكنًا، يمكن التمني أن يُسفر خطأ آخر ينتجه برنامج الفحص العشوائي عن نتائج أفضل. يوفر استخدام برنامج الفحص العشوائي الوقت من خلال عدم فحص مسارات الكود المناسبة حيث يكون استغلال الثغرات غير مرجح.

الحمولة

قد تتضمن العملية غير القانونية، أو الحمولة في مصطلحات Metasploit، وظائف لتسجيل ضغطات المفاتيح، والتقاط لقطات شاشة، وتثبيت برامج إعلانية ، وسرقة بيانات الاعتماد، وإنشاء أبواب خلفية باستخدام شفرة برمجية خبيثة ، أو تغيير البيانات. تحتفظ بعض الشركات بقواعد بيانات ضخمة للثغرات الأمنية المعروفة، وتوفر منتجات تختبر الأنظمة المستهدفة تلقائيًا بحثًا عن نقاط الضعف.

خدمات اختبار الاختراق الحكومية الموحدة

قامت إدارة الخدمات العامة (GSA) بتوحيد خدمة "اختبار الاختراق" كخدمة دعم معتمدة مسبقًا، وذلك لمعالجة الثغرات الأمنية المحتملة بسرعة، وإيقاف الخصوم قبل أن يؤثروا على الحكومات الفيدرالية وحكومات الولايات والحكومات المحلية في الولايات المتحدة. تُعرف هذه الخدمات عادةً باسم خدمات الأمن السيبراني عالية التكيف (HACS)، وهي مدرجة على موقع US GSA Advantage الإلكتروني. [ 32 ]

أسفر هذا الجهد عن تحديد مزودي خدمات رئيسيين خضعوا لمراجعة فنية دقيقة وتقييم شامل لتقديم خدمات الاختراق المتقدمة هذه. وتهدف خدمة إدارة الخدمات العامة هذه إلى تحسين سرعة طلب هذه الخدمات ونشرها، والحد من ازدواجية عقود الحكومة الأمريكية، وحماية ودعم البنية التحتية الأمريكية بطريقة أكثر فعالية وفي الوقت المناسب.

اختبار الاختراق 132-45A [ 33 ] هو اختبار أمني يُحاكي فيه مُقيّمو الخدمة هجمات واقعية لتحديد طرق تجاوز ميزات الأمان لتطبيق أو نظام أو شبكة. عادةً ما تختبر خدمات اختبار الاختراق من HACS فعالية التدابير الأمنية الوقائية والكاشفة التي تستخدمها المؤسسة لحماية الأصول والبيانات. وكجزء من هذه الخدمة، يُجري قراصنة أخلاقيون معتمدون عادةً هجومًا مُحاكيًا على نظام أو أنظمة أو تطبيقات أو هدف آخر في البيئة، بحثًا عن نقاط الضعف الأمنية. بعد الاختبار، يُوثّقون عادةً نقاط الضعف ويُحددون الدفاعات الفعّالة وتلك التي يُمكن اختراقها أو استغلالها.

في المملكة المتحدة، يتم توحيد خدمات اختبار الاختراق من خلال هيئات مهنية تعمل بالتعاون مع المركز الوطني للأمن السيبراني. [ 34 ]

تختلف نتائج اختبارات الاختراق باختلاف المعايير والمنهجيات المستخدمة. وهناك خمسة معايير لاختبار الاختراق: دليل منهجية اختبار أمان المصادر المفتوحة (OSSTMM)، [ 35 ] [ 36 ] مشروع أمان تطبيقات الويب المفتوحة (OWASP)، المعهد الوطني للمعايير والتكنولوجيا (NIST00)، إطار تقييم أمان نظم المعلومات (ISSAF)، ومنهجيات ومعايير اختبار الاختراق (PTES).

اختبار الاختراق والذكاء الاصطناعي

مع ظهور نماذج اللغة الكبيرة (LLMs) في أواخر عام 2022، استكشف الباحثون كيفية استخدام أساليب الذكاء الاصطناعي في اختبار الاختراق. ونظرًا لأن اختبار الاختراق في الواقع العملي للمؤسسات الكبرى يعتمد بالفعل على برامج شبه آلية مثل Nmap و Wireshark و Metasploit ، فقد افترض الباحثون إمكانية اختبار ما إذا كانت نماذج اللغة الكبيرة (LLMs) تُجري اختبارات الاختراق تلقائيًا عند منحها صلاحية الوصول إلى الأدوات والبيئة نفسها. وتشمل بعض التحديات الرئيسية أتمتة العملية بالكامل، وفهم نموذج اللغة الكبيرة (LLM) للسياق والتعلم من التجارب السابقة، وضمان دقة الأوامر المُنفذة.

انظر أيضاً

إطار عمل MITRE ATT&CK

إطار عمل MITRE ATT&CK (التكتيكات والتقنيات والمعرفة المشتركة للخصوم) هو قاعدة معرفية عالمية متاحة للجميع، تضم تكتيكات وتقنيات الخصوم، استنادًا إلى ملاحظات واقعية. طُوّر هذا الإطار من قِبل مؤسسة MITRE ، ونُشر لأول مرة عام 2015، ليصبح مرجعًا شائع الاستخدام في مجال اختبار الاختراق، لربط أنشطة الأمن الهجومية بسلوكيات المهاجمين المعروفة. [ 37 ]

يُصنّف هذا الإطار سلوك الخصم في مصفوفة من التكتيكات (أهداف الخصم، مثل الثبات ، والتحرك الجانبي ، أو تسريب البيانات ) والتقنيات (أساليب محددة لتحقيق تلك الأهداف). يستخدم مختبرو الاختراق إطار عمل ATT&CK من أجل:

  • قم بتصميم خطط الاختبار بحيث تتوافق التغطية مع سلوك المهاجم الموثق.
  • إنشاء تقارير تربط النتائج بمعرفات تقنية ATT&CK المحددة، مما يُمكّن المدافعين من تحديد أولويات عمليات الكشف.
  • تحقق مما إذا كانت ضوابط الأمان الحالية قادرة على اكتشاف أو منع تقنيات محددة.

اعتبارًا من الإصدار 19 من إطار عمل ATT&CK (الذي صدر في أبريل 2026)، يتضمن الإطار 15 فئة تكتيكية لبيئات المؤسسات، تغطي أنظمة التشغيل Windows و macOS و Linux والبنية التحتية السحابية (IaaS و SaaS) ومنصات الأجهزة المحمولة. [ 38 ]

أقرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) رسمياً إطار عمل ATT&CK في توجيهاتها بشأن أفضل الممارسات لرسم خرائط معلومات التهديدات، مما يعزز مكانته كمعيار معتمد حكومياً لأعمال تقييم الأمن. [ 39 ]

الفريق الأحمر، والفريق الأزرق، والفريق البنفسجي

تُعدّ تمارين الفريق الأحمر امتدادًا لاختبار الاختراق، حيث يقوم فريق مُختصّ ( الفريق الأحمر ) بمحاكاة هجوم مُعقّد ومُستمرّ ضدّ أفراد المؤسسة وعملياتها وتقنياتها، دون أن يكون الفريق المُدافع ( الفريق الأزرق ) على دراية كاملة بتوقيت الهجوم أو نطاقه. ويختلف هذا عن اختبار الاختراق التقليدي في تركيزه على اختبار قدرات المؤسسة على الكشف والاستجابة، وليس فقط على نقاط ضعفها التقنية.

  • يتبنى الفريق الأحمر عقلية وأدوات الجهات الفاعلة في التهديدات في العالم الحقيقي، باستخدام تكتيكات تشمل الهندسة الاجتماعية والتصيد الاحتيالي وسلاسل الاستغلال متعددة المراحل التي قد تمتد لأسابيع أو شهور.
  • يقوم الفريق الأزرق (عادةً ما يكون فريق عمليات الأمن الداخلي أو فريق الاستجابة للحوادث) بمراقبة علامات الاختراق ومحاولة اكتشاف الهجوم المحاكي واحتوائه ومعالجته.
  • تتضمن تمارين الفريق البنفسجي تعاون الفريقين الأحمر والأزرق - حيث يتبادلان المعلومات في الوقت الفعلي أو في ورش عمل منظمة - لتحسين تغطية الكشف وتسريع تعلم الفريق الدفاعي. يُفضّل هذا النموذج التعاوني بشكل متزايد من قبل المؤسسات التي ترغب في تحقيق تحسينات أسرع وقابلة للقياس لضوابطها الأمنية بدلاً من التقييم العدائي البحت.

اختبار اختراق السحابة

يطبق اختبار اختراق الحوسبة السحابية تقنيات اختبار الاختراق التقليدية على البنية التحتية والخدمات المستضافة على السحابة، ويشمل منصات مثل خدمات أمازون السحابية (AWS) ومايكروسوفت أزور ومنصة جوجل السحابية (GCP). ويركز على اكتشاف الثغرات الأمنية الخاصة بالبيئات السحابية، والتي تختلف اختلافًا كبيرًا عن الشبكات المحلية. [ 40 ]

تشمل المجالات الرئيسية للتقييم في اختبار اختراق الحوسبة السحابية ما يلي:

  • أخطاء في تكوين إدارة الهوية والوصول (IAM) - أدوار وسياسات وحسابات خدمة إدارة الهوية والوصول (IAM) المتساهلة للغاية والتي يمكن أن تسمح بتصعيد الامتيازات.
  • التعرض لبيانات التخزين السحابي - التخزين السحابي المتاح للعامة (مثل حاويات S3 ، وحاويات Azure Blob) التي تحتوي على بيانات حساسة.
  • أمان واجهات برمجة التطبيقات (API) - نقاط الضعف في واجهات برمجة التطبيقات السحابية الأصلية وعمليات التكامل مع جهات خارجية.
  • تجزئة الشبكة - مراجعة قواعد الشبكة الافتراضية، ومجموعات الأمان، وسياسات جدار الحماية.
  • أمان الحاويات و Kubernetes - تقييم صور الحاويات، وتكوينات التنسيق، وأذونات وقت التشغيل.

تنشر كبرى شركات الحوسبة السحابية سياسات الاستخدام المقبول التي تحكم أنشطة اختبار الاختراق على منصاتها. وتحدد كل من AWS وAzure وGCP أنواع الاختبارات المسموح بها دون إشعار مسبق، وتلك التي تتطلب موافقة مسبقة أو المحظورة تمامًا. [ 41 ]

مراجع عامة

  • الدليل الشامل لاختبار الاختراق [ 42 ]

مراجع

  1. ↑ "ما هو اختبار الاختراق؟" . تم الاطلاع عليه بتاريخ 18-12-2018 .
  2. ↑ دليل التحضير لاختبارات CISSP® و CAPCM: الطبعة البلاتينية . جون وايلي وأولاده. 2006-11-06. ISBN 978-0-470-00792-1يمكن لاختبار الاختراق تحديد كيفية استجابة النظام للهجوم، وما إذا كان من الممكن اختراق دفاعات النظام أم لا، وما هي المعلومات التي يمكن الحصول عليها من النظام .
  3. ↑ كيفن م. هنري (2012). اختبار الاختراق: حماية الشبكات والأنظمة . شركة IT Governance المحدودة. رقم ISBN 978-1-849-28371-7اختبار الاختراق هو محاكاة لهجوم على نظام أو شبكة أو قطعة من المعدات أو منشأة أخرى، بهدف إثبات مدى ضعف هذا النظام أو "الهدف" أمام هجوم حقيقي.
  4. ١ ٢ كريس توماس (سبيس روغ)، دان باترسون (٢٠١٧). اختراق كلمات المرور سهل باستخدام برنامج سبيس روغ من آي بي إم (فيديو). سي بي إس التفاعلية . يبدأ الحدث من الساعة ٤:٣٠ إلى ٥:٣٠ . تم الاطلاع عليه في ١ ديسمبر ٢٠١٧ .
  5. ↑ "شرح أنواع اختبار الاختراق" . 2017-06-09 . تم الاطلاع عليه بتاريخ 2018-10-23 .
  6. ↑ "اختبار الاختراق: تقييم أمنك الشامل قبل المهاجمين" (ملف PDF) . معهد SANS . مؤرشف من الأصل بتاريخ 27 فبراير 2014. تم الاطلاع عليه بتاريخ 16 يناير 2014 .
  7. ↑ "اختبار الاختراق" . المركز الوطني للأمن السيبراني . أغسطس 2017. تم الاطلاع عليه في 30 أكتوبر 2018 .
  8. ↑ آلان كالدر وجيرانت ويليامز (2014). معيار أمان بيانات صناعة بطاقات الدفع: دليل موجز، الطبعة الثالثة . شركة IT Governance Limited. رقم ISBN 978-1-84928-554-4إجراء عمليات فحص ثغرات الشبكة مرة واحدة على الأقل كل ثلاثة أشهر وبعد أي تغيير جوهري في الشبكة
  9. ↑ "إطار إدارة المخاطر التابع للمعهد الوطني للمعايير والتكنولوجيا" . المعهد الوطني للمعايير والتكنولوجيا . 2020. مؤرشف من الأصل في 6 مايو 2021.
  10. ↑ "CREST تصدر إرشادات حول اختبار الاختراق" . IntelligentCISO . 2022.
  11. ↑ كيري، إوين. "منشور المجلس: تطور الأمن السيبراني: من اختبار الاختراق التقليدي إلى اختبار الاختراق كخدمة (PTaaS) وإدارة التهديدات السيبرانية (CTEM)" . فوربس . مؤرشف من الأصل بتاريخ 9 فبراير 2025. تم الاطلاع عليه بتاريخ 12 مارس 2026 .
  12. ↑ "كتابة تقرير اختبار الاختراق" . معهد SANS . تم الاطلاع عليه بتاريخ 12 يناير 2015 .
  13. 1 2 راسل، ديبورا؛ جانجيمي، جي تي (1991). أساسيات أمن الحاسوب . أورايلي ميديا ​​إنك. ISBN 9780937175712.
  14. 1 2 3 4 5 6 هانت، إدوارد (2012). "برامج اختراق الحواسيب الحكومية الأمريكية وآثارها على الحرب السيبرانية". حوليات IEEE لتاريخ الحوسبة . 34 (3): 4-21 . Bibcode : 2012IAHC...34c...4H . doi : 10.1109/MAHC.2011.82 .
  15. 1 2 يوست، جيفري ر. (2007). "تاريخ معايير أمن الحاسوب". تاريخ أمن المعلومات . ص 595-621 . doi : 10.1016/B978-044451608-4/50021-3 . ISBN  978-0-444-51608-4.
  16. ↑ ماكنزي، د.؛ بوتينجر، ج. (1997). "الرياضيات والتكنولوجيا والثقة: التحقق الرسمي وأمن الحاسوب والجيش الأمريكي". حوليات IEEE لتاريخ الحوسبة . 19 (3): 41-59 . doi : 10.1109/85.601735 . OCLC 5871977875. INIST 2872773 .  
  17. ↑ ماكنزي، دونالد أ. (2004). ميكنة البرهان: الحوسبة، والمخاطر، والثقة . معهد ماساتشوستس للتكنولوجيا . ص 156. ISBN  978-0-262-13393-7.
  18. ↑ أندرسون، جيمس ب. (1972). دراسة تخطيط تكنولوجيا أمن الحاسوب (ملف PDF) (تقرير). جيمس ب. أندرسون وشركاه . تم الاطلاع عليه بتاريخ 25 يونيو 2026 .
  19. ↑ برود، ويليام ج. (25 سبتمبر 1983). "أمن الحاسوب يُقلق الخبراء العسكريين" . صحيفة نيويورك تايمز . بروكويست 122275288 . 
  20. ↑ الدليل الفني لاختبار وتقييم أمن المعلومات (تقرير). منشور خاص رقم 800-115 صادر عن المعهد الوطني للمعايير والتكنولوجيا. 2008. تاريخ الاطلاع: 25 يونيو 2026 .
  21. ↑ "أربعة مستويات للاختبار" (ملف PDF) . 1 ديسمبر 2006. ص 10. تم الاطلاع عليه في 9 سبتمبر 2025 . 
  22. ↑ فيركلوث، جيريمي (2011). "الفصل 1: أدوات المهنة" (ملف PDF) . مجموعة أدوات اختبار الاختراق مفتوحة المصدر ( الطبعة الثالثة). إلسيفير . ISBN  978-1597496278تم الاطلاع عليه بتاريخ 4 يناير 2018 .
  23. ↑ "ملخص المراحل الخمس لاختبار الاختراق - سايبراري" . سايبراري . 6 مايو 2015. مؤرشف من الأصل في 8 أبريل 2019. تم الاطلاع عليه بتاريخ 25 يونيو 2018 .
  24. ↑ "اختبار الاختراق في أستراليا: تلبية توقعات العملاء الأمنية والتميز في اختيار الموردين" . كور سنتينل . 27 يونيو 2025. تم الاطلاع عليه بتاريخ 15 يوليو 2025 .
  25. ↑ "تقرير عن تهديدات هجمات الحرمان من الخدمة الموزعة للربع الأخير من عام 2025" . مدونة كلاود فلير . فبراير 2026. تاريخ الاطلاع: 11 فبراير 2026 .
  26. 1 2 3 "دليل تعليمي: اختبار محاكاة حماية Azure من هجمات DDoS" . Microsoft Learn . Microsoft . تم الاطلاع عليه بتاريخ 11 فبراير 2026 .
  27. ↑ "إدارة التعرض المستمر للتهديدات (CTEM)" . Splunk . تم الاسترجاع في 11 فبراير 2026 .
  28. ↑ "حقن SQL" . OWASP . تم الاطلاع عليه بتاريخ 14 يونيو 2013 .
  29. ↑ "برنامج اختبار الاختراق Metasploit" . Metasploit . تم الاطلاع عليه بتاريخ 14 يونيو 2013 .
  30. ↑ "الاختبار العشوائي" . OWASP . تم الاطلاع عليه بتاريخ 14 يونيو 2013 .
  31. ↑ "نظام تسجيل نقاط الضعف الشائعة" . قاعدة بيانات الثغرات الأمنية الوطنية . المعهد الوطني للمعايير والتكنولوجيا . تم الاطلاع عليه بتاريخ 14 يونيو 2013 .
  32. ↑ "خدمات GSA HACS SIN 132-45" . 1 مارس 2018. مؤرشف من الأصل في 23 مارس 2019. تم الاطلاع عليه في 1 مارس 2018 .
  33. ↑ "خدمات اختبار الاختراق" . 1 مارس 2018. مؤرشف من الأصل في 26 يونيو 2018. تم الاطلاع عليه في 1 مارس 2018 .
  34. ↑ "اختبار الاختراق" . المركز الوطني للأمن السيبراني . 8 أغسطس 2007.
  35. ↑ فيلهلم، توماس (2013). "المنهجيات والأطر". اختبار الاختراق الاحترافي . ص 75-87 . doi : 10.1016/B978-1-59749-993-4.00004-5 . ISBN  978-1-59749-993-4.
  36. ↑ فيركلوث، جيريمي (2017). "بناء مختبرات اختبار الاختراق". مجموعة أدوات اختبار الاختراق مفتوحة المصدر . الصفحات 371-400 . doi : 10.1016/B978-0-12-802149-1.00010-5 . ISBN  978-0-12-802149-1.
  37. ↑ "ما هو إطار عمل MITRE ATT&CK؟" . Sophos . 4 مايو 2026. تم الاطلاع عليه بتاريخ 22 يوليو 2026 .
  38. ^ "ميتري أت أند سي كيه" . ميتري ATT&CK . تم الاسترجاع 2026-07-22 .
  39. ↑ "ما هو إطار عمل MITRE ATT&CK؟" . أمن مايكروسوفت . تم الاطلاع عليه بتاريخ 22-07-2026 .
  40. ↑ "اختبار اختراق الحوسبة السحابية: دليل المشتري لعام 2026" . شركة Blaze Information Security . 2 يونيو 2026. تاريخ الاسترجاع : 22 يوليو 2026 .
  41. ↑ "دليل اختبار اختراق الحوسبة السحابية لعام 2026" . أسترا سيكيوريتي . 8 أبريل 2026. تاريخ الاسترجاع: 22 يوليو 2026 .
  42. ↑ "الدليل الشامل لاختبار الاختراق | كور سنتينل" . كور سنتينل . تم الاطلاع عليه بتاريخ 23-10-2018 .