تكلفة اختبار الاختراق VAPT في الإمارات لتطبيقات SaaS والواجهات والتطبيقات

في منطقة الخليج العربي، أصبح اختبار الاختراق ليس مجرد خيار تقني بل متطلباً تجارياً لا مفر منه. المؤسسات الحكومية في الإمارات والسعودية، وشركات الفنتك الخاضعة لرقابة مصرف الإمارات المركزي (CBUAE) أو هيئة السوق المالية السعودية (SAMA)، والشركات الساعية إلى الحصول على عملاء مؤسسيين - كلها تطلب اليوم تقرير اختبار الاختراق قبل أي شراكة أو تعاقد. السؤال لم يعد "هل نحتاج إلى VAPT؟" بل "كيف نشتريه بذكاء؟"

هذا المقال موجّه للمؤسسين التقنيين والمديرين التنفيذيين للتقنية (CTO) ومسؤولي أمن المعلومات (CISO) ومديري الهندسة في شركات SaaS والفنتك العاملة في الإمارات ومنطقة الخليج. هدفه أن يمنحك القدرة على تقييم عروض VAPT بمعايير موضوعية - لا بسعر العرض وحده.

---

كم تبلغ تكلفة VAPT في الإمارات؟

لا توجد تكلفة موحدة لـ تقييم الثغرات الأمنية في الإمارات. التسعير يعتمد على حجم النطاق المُختبَر وتعقيده. عروض Seven Labs تبدأ من [أدخل تسعير Seven Labs المعتمد بالدرهم الإماراتي حسب النطاق] وتتفاوت تبعاً لعدد التطبيقات، وأدوار المستخدمين، وعدد نقاط نهاية API، ومنطق العمل، ومتطلبات إعادة الاختبار. الاختبار اليدوي لمنطق الأعمال وعزل المستأجرين والأدوار المتعددة هو ما يُشكّل الجزء الأكبر من القيمة والتكلفة معاً - وليس الفحص الآلي وحده.

---

ما الفرق بين فحص الثغرات واختبار الاختراق؟

يخلط كثير من المشترين في السوق الخليجي بين أربعة مستويات مختلفة من تدقيق أمن المعلومات. الفحص الآلي يكشف الثغرات المعروفة في المكتبات والإعدادات - لكنه لا يختبر ما إذا كان بإمكان مهاجم حقيقي استغلال منطق أعمالك، أو تجاوز عزل المستأجرين، أو التصعيد من صلاحيات مستخدم عادي إلى مسؤول. اختبار الاختراق الحقيقي يفعل كل ذلك - يدوياً، بمنظور المهاجم.

الخلاصة العملية: الفحص الآلي المسعّر بجزء من تكلفة اختبار الاختراق ليس نسخة أرخص من نفس المنتج. إنه منتج مختلف تماماً بمستوى مختلف من تغطية المخاطر. لتطبيقات SaaS التي تتعامل مع بيانات المستخدمين أو المدفوعات أو العمليات الحساسة، الفحص الآلي وحده لا يرقى إلى مستوى الضمان الأمني المطلوب.

---

ما الذي يحدد تكلفة اختبار اختراق SaaS؟

فحص أمان SaaS أكثر تعقيداً من تطبيق ويب واحد، لأن سطح الهجوم يتكاثف عبر أبعاد متعددة. فهم ما يحرّك التكلفة يساعدك على التحديد الدقيق للنطاق - تجنباً للدفع مقابل تغطية لا تحتاجها، أو تفويت تغطية تحتاجها فعلاً.

عدد التطبيقات والواجهات. منصة SaaS النموذجية تتضمن تطبيق ويب موجّه للعملاء، ولوحة إدارة، وطبقة API، وأحياناً تطبيقاً للهاتف. كل منها سطح اختبار مستقل.

أدوار المستخدمين. تطبيق SaaS بخمسة أدوار (مستخدم مجاني، مستخدم مدفوع، مسؤول مؤسسة، مسؤول أعلى، ودعم فني) يتطلب جلسات مصادقة مستقلة لكل دور للكشف عن ثغرات التحكم في الوصول والتصعيد في الصلاحيات. كل دور إضافي يعني وقت اختبار إضافياً.

نقاط نهاية API. يُختبر كل Endpoint بشكل منفصل: المصادقة، التفويض، التحقق من المدخلات، تحديد معدل الطلبات، وتسرّب البيانات في الاستجابات. منصة SaaS بـ 200 Endpoint تستلزم وقتاً أطول بكثير مقارنة بمنصة بـ 40 Endpoint.

معمارية المستأجرين المتعددين. تطبيقات SaaS متعددة المستأجرين (Multi-tenant) تستلزم اختبار عزل المستأجرين تحديداً: هل يمكن لمستأجر A الوصول إلى بيانات مستأجر B؟ هل يمكن لمسؤول على مستوى مستأجر التصعيد إلى مسؤول على مستوى المنصة؟ هذه اختبارات يدوية بطبيعتها.

تدفقات الدفع. أي تكامل مع بوابات دفع - Checkout.com أو Telr أو Network International أو غيرها - يستلزم اختباراً خاصاً لتلاعب الطلبات، والتلاعب بالأسعار، وتجاوز الكوبونات، وإساءة استخدام المبالغ المستردة. هذا اختبار منطق أعمال لا يمكن أتمتته.

معالجة رفع الملفات. نقاط نهاية الرفع عالية الخطورة دائماً. الاختبار يشمل تجاوز نوع الملف، وتنفيذ الملفات الخبيثة، واجتياز المسارات، وسوء تكوين التخزين.

لوحات الإدارة. الواجهات الإدارية تستلزم جلسات مصادقة منفصلة واختبارات خاصة للتصعيد الأفقي والرأسي في الصلاحيات، والتصدير الجماعي للبيانات، ووظائف انتحال الهوية.

البنية التحتية السحابية. إذا كان النطاق يشمل AWS أو Azure أو GCP - صلاحيات IAM، والخدمات المكشوفة، وأذونات التخزين، وتجزئة الشبكة - يتطلب المشاركة أدوات وخبرات خاصة بالسحابة.

التطبيقات المحمولة. Android وiOS منصتان منفصلتان للاختبار. كل منصة لها منهجيتها: التحليل الثابت، والتعليق الديناميكي في وقت التشغيل، وتجاوز Certificate Pinning، والتخزين غير الآمن، واختبار تفاعل API.

الوصول إلى الكود المصدري. الاختبار White-box بالوصول الكامل إلى الكود أسرع وأشمل. الاختبار Grey-box أو Black-box بدون كود مصدري يأخذ وقتاً أطول لتحقيق تغطية مماثلة.

التعيين التنظيمي. المشاركات التي تستلزم تعيين النتائج إلى ضوابط CBUAE أو SAMA CSF أو DIFC أو PCI DSS أو ISO 27001 أو SOC 2 تُضيف نطاقاً تقريرياً.

شروط إعادة الاختبار. اختبار VAPT احترافي يتضمن دورة إعادة اختبار واحدة على الأقل للتحقق من معالجة الثغرات الحرجة والعالية. تحديد ما إذا كانت مُدرجة أم تُفوتر بشكل منفصل يؤثر على إجمالي تكلفة المشاركة.

---

تكلفة VAPT حسب نوع الأصل

التسعير بالدرهم الإماراتي. يتم تحديد نطاق كل مشاركة بشكل فردي. اطلب عرضاً محدد النطاق على /contact.

---

ماذا يجب أن يتضمن تقرير VAPT الاحترافي؟

تقرير الثغرات من اختبار اختراق احترافي هو المخرج الرئيسي الذي سيراجعه فرق المشتريات المؤسسية، ومسؤولو الامتثال، وجهات التنظيم مثل CBUAE وSAMA. التقرير المُولَّد كلياً بأداة فحص آلي - حتى لو كانت متطورة - ليس تقرير اختبار اختراق ولا يلبي المعيار المطلوب.

تقرير VAPT الاحترافي يتضمن:

الملخص التنفيذي. نظرة عامة غير تقنية على ما تم اختباره، وما تم اكتشافه، والوضع العام للمخاطر. موجّه لجمهور الإدارة العليا والمجلس.

النطاق والمنهجية. تعريف دقيق لما تم اختباره - عناوين URL، مسارات API الأساسية، إصدارات التطبيق، معرّفات الحزم المحمولة، مناطق السحابة، نطاقات IP - والمنهجية المطبقة (Grey-box، مصادق عليه، استغلال يدوي).

جرد الأصول. سجل بجميع الأصول ضمن النطاق، بما فيها تلك الخارجة عن النطاق أو غير الميسّرة، لتحديد حدود التغطية.

نتائج الثغرات. كل نتيجة موثقة بـ:

• درجة CVSS (v3.1 الأساسية، والزمنية، والبيئية حيثما انطبق)
• وصف الثغرة والسبب الجذري
• تأثير الأعمال - ما يمكن لمهاجم فعله بهذه الثغرة في سياق هذا التطبيق تحديداً
• الأدلة - لقطات شاشة، أزواج الطلب/الاستجابة، عينات Payload، أو فيديو حيثما انطبق
• خطوات الاستنساخ - كافية لكي يتمكن فريق التطوير من تكرار النتيجة
• توجيه المعالجة - محدد وقابل للتنفيذ ومناسب لمجموعة التقنيات المستخدمة
• نقاط النهاية أو المعاملات أو المكونات المتأثرة

حالة إعادة الاختبار. بعد المعالجة، يوثق قسم إعادة الاختبار النتائج التي تم التحقق من إغلاقها، والنتائج التي لا تزال مفتوحة، والنتائج التي عولجت جزئياً.

القيود. أي قيود على الاختبار - نقاط نهاية مستبعدة، مصادقة لم تُوفَّر، تحديدات معدل تمت مواجهتها، تخفيضات نطاق أُجريت خلال المشاركة.

ملخص المخاطر. نظرة مجمّعة للنتائج حسب الشدة والفئة، مع خارطة طريق لأولويات المعالجة.

---

أي الثغرات تُفوَّت عادةً قبل إطلاق SaaS؟

في مشاركات Seven Labs VAPT عبر أكثر من 50 نظام ذكاء اصطناعي وأمن منشور في بيئات الإنتاج، تظهر ما لا يقل عن 8 من فئات الثغرات الـ 11 التالية بتكرار عالٍ في تطبيقات SaaS قبل الإطلاق. التحليل الكامل مع درجات CVSS وسيناريوهات الاستغلال وخطوات المعالجة متاح في المقال التفصيلي: 11 ثغرة حرجة تُفوّتها معظم شركات SaaS قبل الإطلاق.

الفئات الأكثر شيوعاً في نطاق دول الخليج:

BOLA/IDOR (كسر تفويض مستوى الكائن). الثغرة الأكثر تكراراً في مشاركات VAPT لتطبيقات SaaS. مستخدم يغيّر معرفاً رقمياً أو UUID في طلب ويصل إلى بيانات مستأجر آخر. OWASP API1:2023. CVSS 8.1–9.8.

كسر التحكم في الوصول. حارسات المصادقة على مستوى المسار التي تُغفل فحوصات التفويض على مستوى الكائن. يظهر في نقاط النهاية الإدارية والعمليات الجماعية ووظائف التصدير.

معالجة JWT غير آمنة. هجمات ارتباك الخوارزمية، ومفاتيح توقيع ضعيفة، وغياب التحقق من انتهاء الصلاحية، والتلاعب بحمولة JWT. OWASP A02:2021.

الحقن (Injection). SQL وNoSQL وحقن الأوامر في حقول البحث ومعاملات الفلترة ونقاط نهاية العمليات الجماعية. OWASP A03:2021.

الأسرار المكشوفة. مفاتيح API وبيانات اعتماد قواعد البيانات والمفاتيح الخاصة المودعة في نظام إدارة الإصدارات أو المكشوفة في مخرجات البناء أو متغيرات البيئة أو استجابات API.

غياب تحديد معدل الطلبات. نقاط نهاية تسجيل الدخول والـ OTP وإعادة تعيين كلمة المرور وAPI بدون تحديد معدل، معرّضة لهجمات القوة الغاشمة والتعداد. OWASP API4:2023.

إخفاقات عزل المستأجرين. تطبيقات SaaS متعددة المستأجرين حيث يمكن لمستأجر قراءة بيانات مستأجر آخر أو تعديلها أو حذفها من خلال مراجع الكائنات المباشرة أو الذاكرات المؤقتة المشتركة أو فلاتر البيانات المُهيأة بشكل خاطئ.

رفع الملفات غير الآمن. نقاط نهاية الرفع التي تقبل أنواعاً عشوائية من الملفات، أو لا تتحقق من المحتوى، أو تخزن الملفات في مسارات قابلة للتنفيذ. يمكن أن تؤدي إلى تنفيذ كود عن بُعد.

الإفراط في كشف بيانات API. استجابات API التي تعيد تمثيلات الكائن الكاملة بما في ذلك الحقول التي لا يحتاجها العميل - ولا ينبغي أن يصل إليها. OWASP API3:2023.

الإعدادات الخاطئة السحابية. دلاء تخزين متاحة للعامة، وأدوار IAM ذات صلاحيات مفرطة، ومجموعات أمان غير مقيدة، وغياب التشفير في حالة السكون أو النقل.

التسجيل غير الكافي. لا مسار تدقيق لأحداث المصادقة، أو إخفاقات الصلاحيات، أو الوصول إلى البيانات الحساسة. يعني أن الاختراق قد يمر دون اكتشاف. OWASP A09:2021.

هذه الثغرات تُكتشف بشكل متكرر في الشركات الخليجية الناشئة في مجال الفنتك، والمنصات الصحية، وتطبيقات المشتريات والـ CRM - وهي القطاعات الأكثر طلباً لشهادات الامتثال من جهات مثل CBUAE وDIFC وSAMA.

---

Black-Box أم Grey-Box أم White-Box: أي الأنواع تشتري؟

اختبار Black-Box. المختبر لا يملك معرفة مسبقة بالتطبيق، ولا بيانات اعتماد، ولا وثائق. يحاكي مهاجماً خارجياً غير مصادق عليه. مناسب لاختبار السطح الخارجي للهجوم، لكنه يُفوّت الغالبية العظمى من ثغرات منطق الأعمال المصادق عليها. يستغرق وقتاً أطول لتحقيق تغطية مماثلة ويكلف أكثر لكل ثغرة مكتشفة.

اختبار Grey-Box (اختبار اختراق مصادق عليه). المختبر يملك بيانات اعتماد لكل دور مستخدم وربما وثائق جزئية. هذه هي المنهجية الموصى بها لمعظم تطبيقات SaaS لأنها تدعم اختبار الأدوار المتعددة المصادق عليها، ومنطق الأعمال، وعزل المستأجرين - مع الحفاظ على منظور المهاجم. معظم مشاركات تقييم مخاطر الأمن السيبراني في Seven Labs تعتمد Grey-box لأنه يوفر أعلى تغطية مقابل الميزانية.

اختبار White-Box. المختبر يملك الوصول الكامل - الكود المصدري، وثائق المعمارية، بيانات الاعتماد، مواصفات API، ومخططات البنية التحتية. أقصى تغطية. مناسب للتطبيقات التي تتعامل مع المعاملات المالية أو البيانات الصحية أو البيانات الشخصية المنظمة حيث يُشترط الضمان الشامل.

لمعظم شركات SaaS في الخليج، Grey-box هو الخيار الصحيح. يغطي فئات الثغرات التي تظهر فعلياً في تطبيقات SaaS قبل الإطلاق، ويدعم اختبار منطق الأعمال وعزل المستأجرين، ويوفر تغطية لا يمكن لـ Black-box الوصول إليها دون مضاعفة الجدول الزمني أربع مرات.

---

متى يجب على شركة SaaS إجراء VAPT؟

قبل الإطلاق. اللحظة الأكثر فعالية من حيث التكلفة لإيجاد الثغرات وإصلاحها هي قبل أن يكون المستخدمون والبيانات والتكاملات نشطة. VAPT قبل الإطلاق يحدد الثغرات عندما تستلزم المعالجة وقت المطوّر فحسب - قبل أن يحمل الاختراق عواقب تنظيمية أو سمعة أو تعاقدية.

قبل المشتريات المؤسسية. العملاء المؤسسيون في الإمارات والسعودية ومنطقة الخليج يطلبون بشكل منتظم تقرير اختبار اختراق حالي كجزء من العناية الواجبة للبائع. بدونه، تتوقف الصفقات أو تنهار. هذا هو المحرك الأعمالي الفوري الأكثر شيوعاً لـ VAPT في المنطقة.

بعد التغييرات الرئيسية في المصادقة. تكامل SSO جديد، أو تغيير في مكتبة JWT، أو تدفق OAuth جديد، أو إعادة هيكلة نموذج الأدوار الرئيسية - كل هذا يُدخل سطح هجوم جديداً يستلزم إعادة اختبار مستهدفة.

بعد تكامل الدفع. تدفقات الدفع - خاصة تلك التي تتضمن رموز الترويج والخصومات وترقيات الاشتراك ومعالجة المبالغ المستردة - أهداف ذات قيمة عالية لمنطق الأعمال. الاختبار بعد التكامل، لا بعد الحادثة.

بعد ترحيل البنية التحتية. الانتقال من مزود سحابي لآخر، أو تبني إعداد جديد لتنسيق الحاويات، أو إعادة هيكلة VPC يُغيّر سطح هجومك السحابي. تقييم أمن السحابة يجب أن يتبع التغييرات الرئيسية في البنية التحتية.

قبل مراجعة الامتثال. إذا كانت خارطة طريقك تتضمن PCI DSS أو ISO 27001 أو SOC 2 أو مراجعة CBUAE أو SAMA أو DIFC، فاختبار الاختراق ضابط مطلوب أو متوقع. البدء بـ VAPT قرب الموعد النهائي للامتثال لا يترك وقتاً كافياً للمعالجة.

بعد حادثة أمنية. اختراق أو حدث وصول شاذ أو إفصاح عن ثغرة يجب أن يُشغّل VAPT شاملاً لفهم النطاق الكامل للتعرض - ليس فقط المسار المحدد الذي تم استغلاله.

على فترات منتظمة. التطبيقات تتطور. الميزات الجديدة تُدخل نقاط نهاية جديدة، والتبعيات الجديدة تُدخل ثغرات جديدة، وأدوات المهاجمين تتقدم. VAPT السنوي حد أدنى للتطبيقات التي تتعامل مع بيانات حساسة. التطبيقات الأعلى مخاطرة تستفيد من إيقاع أكثر تكراراً.

---

كيف تقيّم مزوّد VAPT

ليس كل مزودي VAPT في الإمارات والخليج يقدمون نفس المنتج. المؤشرات التالية تكشف مزوداً يبيع فحصاً آلياً بسعر اختبار اختراق.

لا شرح للاختبار اليدوي. المزوّد المحترف يستطيع أن يشرح بالتحديد ما يفعله مهندسوه يدوياً - أي أدوات يستخدمون، وما يختبرونه يدوياً، ولماذا. إذا كانت الإجابة مبهمة، فالمشاركة على الأرجح تعتمد على الماسحات الضوئية.

لا منهجية مسمّاة. OWASP Testing Guide، أو PTES، أو OWASP API Security Top 10 - المزوّد المحترف يطبق منهجية موثقة ويمكنه تسميتها. "نتبع أفضل الممارسات الصناعية" ليست منهجية.

لا شروط إعادة الاختبار. اختبار اختراق بدون إعادة اختبار هو تدقيق، ليس خدمة متكاملة مع المعالجة. إذا لم تكن شروط إعادة الاختبار في العقد، اسأل لماذا.

لا نموذج تقرير. كل مزوّد محترف لديه نموذج تقرير مُعقَّم يمكنه مشاركته عند الطلب. إذا لم يستطع أو لم يرغب، لا يمكنك تقييم ما تشتريه.

لا أدلة في النتائج. نتائج اختبار الاختراق الحقيقية تتضمن لقطات شاشة وأزواج الطلب/الاستجابة وعينات Payload أو مقاطع استغلال. مخرجات الماسح بدون أدلة ليست نتيجة.

لا اختبار منطق الأعمال. اسأل صراحةً: "هل يختبر مهندسوكم BOLA وإخفاقات عزل المستأجرين وتجاوز منطق الدفع؟" إذا كانت الإجابة غير مؤكدة، فالمشاركة لا تغطي الثغرات الأكثر احتمالاً للوجود في تطبيق SaaS الخاص بك.

معالجة بيانات غير واضحة. اختبار الاختراق يلمس بيانات الإنتاج أو التطوير الخاصة بك. اسأل كيف تُخزَّن بيانات الاعتماد وبيانات الاختبار والأدلة المستخرجة، وكيف تُنقَل، ومتى تُحذَف بعد انتهاء المشاركة.

تقرير مُولَّد كلياً بماسح. انظر إلى أوصاف النتائج في نموذج التقرير. إذا كانت تبدو كمخرجات أداة آلية مع الحد الأدنى من الشرح السياقي لتأثير الأعمال، هذا ما ستحصل عليه.

لا مبررات لدرجة الشدة. درجات CVSS يجب أن تُرافقها توضيح لسبب تطبيق تلك الدرجة على هذه النتيجة في هذا التطبيق تحديداً. نسخ الدرجة الأساسية من قاعدة بيانات CVE بدون سياق بيئي ليس تقييم شدة.

---

قائمة مراجعة أمان SaaS قبل الإطلاق

هذه القائمة تغطي فئات الضوابط التي تظهر بشكل متكرر كثغرات في مشاركات VAPT قبل الإطلاق. إنها ليست بديلاً عن اختبار الاختراق - إنها حد أدنى يجب إكماله قبله.

المصادقة

• كلمات المرور مجزأة باستخدام bcrypt أو Argon2 أو scrypt (ليس MD5 أو SHA-1 أو SHA-256 بدون ملح)
• MFA متاح ومفروض لأدوار المسؤولين
• تدفق إعادة تعيين كلمة المرور لا يسمح بإعادة استخدام الرمز أو غياب انتهاء الصلاحية
• تكاملات OAuth وSSO تم التحقق منها للتحقق من تثبيت URI إعادة التوجيه ومعالجة معامل الحالة

التفويض

• فحوصات ملكية الكائن على مستوى الكائن لكل نقطة نهاية استرداد وتعديل
• التحكم في الوصول القائم على الأدوار مُطبَّق من جانب الخادم، وليس العميل
• نقاط نهاية المسؤول تستلزم التحقق الصريح من دور المسؤول - وليس فقط المصادقة
• العمليات الجماعية (التصدير، الحذف، التحديث) تفرض الملكية عبر جميع السجلات في الدفعة

عزل المستأجرين

• أمان على مستوى الصف أو ما يعادله مُطبَّق على مستوى قاعدة البيانات
• لا ذاكرات تخزين مؤقت مشتركة بدون مفاتيح محددة النطاق للمستأجر
• اختبار الوصول عبر المستأجرين بحسابين منفصلين قبل الإطلاق
• معرّفات المستأجرين غير قابلة للتنبؤ أو العدّ التسلسلي

تحديد معدل الطلبات

• نقطة نهاية تسجيل الدخول محدودة المعدل ومقفلة بعد الإخفاقات المتكررة
• نقاط نهاية OTP وإعادة تعيين كلمة المرور محدودة المعدل لكل IP ولكل حساب
• نقاط نهاية API محدودة المعدل لكل مستخدم/رمز، وليس فقط لكل IP
• العمليات المكثفة (البحث، التصدير، المعالجة الدفعية) محمية ضد الإساءة

التحقق من المدخلات

• جميع المدخلات التي يتحكم فيها المستخدم يتم التحقق منها من جانب الخادم قبل استخدامها في الاستعلامات أو الأوامر
• استعلامات SQL تستخدم عبارات مُعلَّمة أو ORM بإعدادات آمنة افتراضية
• رفع الملفات يتم التحقق منه بنوع المحتوى (وليس فقط الامتداد)، ومحدود الحجم، ومخزّن خارج جذر الويب

إدارة الأسرار

• لا بيانات اعتماد أو مفاتيح API أو رموز في نظام إدارة الإصدارات (تحقق من تاريخ الالتزامات الكامل)
• متغيرات البيئة مستخدمة لجميع الأسرار في الإنتاج
• عملية تدوير الأسرار موثقة ومختبرة

أمان كلمات المرور والجلسات

• رموز الجلسة عشوائية من الناحية التشفيرية وطويلة بما يكفي
• الجلسات تُبطَل عند تسجيل الخروج (إبطال من جانب الخادم، ليس فقط حذف ملف تعريف الارتباط من العميل)
• يتم التحقق من صحة JWT للخوارزمية وانتهاء الصلاحية والمُصدِر والجمهور في كل طلب
• تدوير رمز التحديث مُطبَّق إذا كانت تُستخدم رموز تحديث طويلة الأجل

كشف API

• استجابات API تُعيد فقط الحقول التي يتطلبها دور الطلب (لا إفراط في الجلب بشكل افتراضي)
• نقاط النهاية الداخلية فقط غير متاحة من الإنترنت العام
• استبطان GraphQL مُعطَّل في الإنتاج إذا لم يكن مطلوباً
• إصدار API لا يُبقي نقاط النهاية المتقادمة نشطة بضوابط أمنية مُخففة

معالجة الملفات

• الملفات المرفوعة تُقدَّم من نطاق منفصل أو CDN بدون تنفيذ سكريبت
• بيانات تعريف الملف (EXIF، خصائص المستند) تُزال إذا كانت الملفات تُعاد تقديمها لمستخدمين آخرين
• أذونات التخزين مراجعة - لا قراءة عامة على الدلاء التي يجب أن تكون خاصة

التسجيل والمراقبة

• أحداث المصادقة (تسجيل الدخول، الخروج، فشل تسجيل الدخول، أحداث MFA) مُسجَّلة مع IP والطابع الزمني
• إخفاقات التفويض مُسجَّلة
• الوصول إلى البيانات الحساسة (التصدير الجماعي، العمليات الإدارية) مُسجَّل
• سلامة السجلات - السجلات للكتابة مرة واحدة وغير متاحة لمستخدم التطبيق

النسخ الاحتياطية والاسترداد

• تم التحقق من تشفير النسخ الاحتياطية في حالة السكون
• إجراء الاستعادة مُختبَر في بيئة غير إنتاجية
• الوصول إلى النسخ الاحتياطية مقيد بدور IAM منفصل لا تستخدمه خدمات التطبيق

صلاحيات السحابة

• مبدأ الامتياز الأقل مُطبَّق على جميع حسابات الخدمات وأدوار IAM
• لا سياسات IAM بحرف البدل في الإنتاج
• حظر الوصول العام مُفعَّل على حسابات التخزين
• قوائم ACL للشبكة ومجموعات الأمان مراجعة - لا دخول 0.0.0.0/0 على منافذ الإدارة

التبعيات من جهات خارجية

• تم تشغيل تدقيق التبعيات (npm audit أو pip-audit أو ما يعادلها)
• ثغرات CVE الحرجة المعروفة في التبعيات معالجة قبل الإطلاق
• قائمة مكونات البرامج (SBOM) متاحة لطلبات العملاء المؤسسيين

الاستجابة للحوادث

• عملية محددة للاستجابة للثغرة المُبلَّغ عنها أو الاختراق
• جهة اتصال أمنية (security@yourdomain.com أو ما يعادلها) منشورة ومُراقَبة
• قوالب اتصال لإشعار الاختراق مُعدَّة (حتى لو لم تُستخدم أبداً)

---

اطلب عرضاً محدد النطاق لـ VAPT

الفجوة بين الفحص الآلي واختبار الاختراق الاحترافي هي الفجوة بين إيجاد CVEs المعروفة في تبعياتك واكتشاف أن تفويض متعدد المستأجرين الخاص بك قابل للتجاوز، وأن تطبيق JWT الخاص بك يسمح بتصعيد الصلاحيات، وأن تدفق الدفع الخاص بك عرضة للتلاعب بالطلبات. سبّق Seven Labs 11 ثغرة حرجة في مشاركة VAPT واحدة لشركة SaaS ناشئة - ثغرات لم تكشفها الماسحات، لكن مختبراً يدوياً مصادقاً عليه وجدها خلال اليوم الأول من الاختبار.

إذا كنت تستعد للإطلاق، أو تستجيب لاستبيان أمان مشتريات مؤسسية، أو تُكمل مراجعة امتثال لجهة تنظيمية خليجية، فنقطة البداية هي عرض محدد النطاق يفصل الفحص الآلي عن الاستغلال اليدوي واختبار منطق الأعمال.

اطلب عرضاً محدد النطاق لـ VAPT - أو راجع خدمات VAPT واختبار الاختراق لدينا لفهم ما تغطيه مشاركة Seven Labs قبل التواصل.