فحص الثغرات وتقييمها واختبار الاختراق وVAPT: ماذا يعني كل منها
كثيراً ما تُستخدم المصطلحات وكأنها شيء واحد، وهي ليست كذلك، والفرق بينها يحدد ما تدفعه وما تحصل عليه.
| المصطلح | ما هو | من ينفّذه | ما تحصل عليه |
|---|---|---|---|
| فحص الثغرات | أداة آلية تفحص الأنظمة بحثاً عن نقاط ضعف معروفة مثل التحديثات الناقصة والإعدادات الضعيفة | أداة يشغّلها مهندس | قائمة بمشكلات محتملة قد تتضمن إنذارات خاطئة |
| تقييم الثغرات | فحص مع مراجعة مهندس: تُتحقق النتائج وتُجمَّع وتُرتَّب بحسب الخطورة | مهندس يستخدم أدوات | قائمة مرتّبة بالأولوية لنقاط ضعف مؤكدة مع طرق المعالجة |
| اختبار الاختراق | محاولة مرخّصة ومحدودة الزمن لاستغلال نقاط الضعف كما يفعل المهاجم، لإظهار ما يمكن الوصول إليه فعلاً | خبير اختبار، يدوياً في معظمه | تقرير بالأدلة والأثر ونصائح المعالجة |
| VAPT | تقييم الثغرات واختبار الاختراق معاً | مهندس وخبير اختبار | تقرير واحد يغطي القائمة الواسعة ومسارات الهجوم المثبتة |
| تمرين الفريق الأحمر | محاكاة أطول وقائمة على هدف لهجوم حقيقي، وغالباً تشمل الأشخاص والمواقع | فريق متخصص | تقرير عن بلوغ الهدف من عدمه وكيف جرى اكتشافه |
أي اختبار يناسب أي حالة
هذه نقاط انطلاق. وتغيّر أنظمتك وبياناتك والمتطلب الذي طُلب منك الإجابة.
- لم تُجرِ أي اختبار من قبل. ابدأ بتقييم ثغرات للعناوين الخارجية والخوادم الرئيسية. فهو أرخص وسيلة لكشف الثغرات الواضحة.
- تدير تطبيق ويب أو واجهة برمجية (API) موجّهة للعملاء. أضف اختبار اختراق لتطبيق الويب. فالفاحصات الآلية تفوّت أخطاء منطق العمل مثل وصول مستخدم إلى بيانات مستخدم آخر.
- تقبل الدفع بالبطاقة عبر الإنترنت أو تخزّن بيانات البطاقات. يتوقع معيار صناعة البطاقات (PCI DSS) اختبار اختراق للأنظمة ضمن النطاق؛ اقرأ المتطلب في النسخة الحالية على موقع مجلس معايير أمن البطاقات.
- تطلب مناقصة أو بنك أو عميل تقرير VAPT حديثاً. اقرأ النص الدقيق: فقد يحدد النطاق أو عمر التقرير أو نوع الفاحص.
- غيّرت شيئاً كبيراً. تطبيق جديد أو انتقال إلى السحابة أو شبكة مكتب جديدة أو اندماج، كلها وقت مناسب للاختبار من جديد.
- تريد قياس وعي الموظفين. محاكاة تصيّد بموافقة مكتوبة تُظهر كم شخصاً ينقر ويدخل بيانات الدخول.
ما الذي قد يشمله النطاق
الاختبار محدد النطاق دائماً. والنطاق قائمة بما يجوز اختباره، ولا يُمسّ شيء خارجه. ومن النطاقات الشائعة:
- الشبكة الخارجية: العناوين والخدمات التي يمكن بلوغها من الإنترنت، مثل جدران الحماية وشبكات VPN وخوادم البريد والويب.
- الشبكة الداخلية: ما يمكن للمهاجم بلوغه بعد دخوله، ومنه Active Directory وخوادم الملفات وكلمات المرور الضعيفة.
- تطبيق الويب والواجهة البرمجية: تسجيل الدخول والجلسات والتحكم بالوصول ومعالجة المدخلات. ويستخدم الفاحصون عادةً قائمة OWASP لأخطر عشر ثغرات أساساً للمقارنة.
- تطبيق الجوال: التطبيق والبيانات المخزّنة فيه واتصاله بالخادم.
- إعدادات السحابة: إعدادات التخزين والهوية والشبكة في حسابك السحابي.
- الهندسة الاجتماعية: التصيّد أو الاتصالات الهاتفية أو الدخول الفعلي إلى الموقع، بموافقة مكتوبة فقط.
ماذا يتضمن تقرير الاختبار الجيد
التقرير هو المنتج نفسه. اطلب الاطلاع على نموذج منه، بعد إزالة بيانات العميل، قبل أن تشتري.
- ملخص تنفيذي. عرض من صفحة أو صفحتين للإدارة: ما اختُبر والخطورة العامة وأهم الإجراءات.
- النطاق والمنهج. ما دخل في النطاق وما خرج منه والتواريخ والأدوات والأسلوب، ليمكن تكرار العمل.
- النتائج مع الخطورة. كل مشكلة بتصنيف خطورتها ومكان العثور عليها وسبب أهميتها.
- الأدلة. لقطات شاشة أو طلبات أو مخرجات تثبت النتيجة، ليتمكن فريقك من إعادة إنتاجها.
- نصائح المعالجة. حلول محددة بترتيب منطقي، لا قائمة مشكلات فحسب.
- إعادة الاختبار. وسيلة للتأكد من نجاح الإصلاح: اسأل هل إعادة الاختبار مشمولة أو محدودة أو مدفوعة.
تحديد النطاق وقواعد الاشتباك
لا يعمل الفاحص المسؤول إلا بإذن مكتوب. وقبل بدء أي اختبار يُتوقع الاتفاق كتابةً على ما يلي:
- الأنظمة والعناوين والتطبيقات الدقيقة ضمن النطاق، وكل ما يجب ألا يُمسّ.
- نافذة الاختبار، بما في ذلك هل تجري الفحوص التي قد تسبب انقطاعاً خارج ساعات العمل.
- الأنظمة الحساسة أو الحية التي تحتاج عناية إضافية، وجهة اتصال تستطيع إيقاف الاختبار.
- كيف تُعالَج النتائج والبيانات وتُخزَّن وتُحذف، بموجب اتفاقية سرية.
- من ينفّذ العمل وماذا سيتضمن التقرير.
أسئلة تطرحها عند مقارنة عروض الأسعار
قد يختلف عرضان يحملان العنوان نفسه اختلافاً كبيراً في العمل. وجّه هذه الأسئلة إلى كل شركة واحصل على الإجابات كتابةً.
- ما بالضبط ضمن النطاق؟ كم عدد العناوين والتطبيقات وأدوار المستخدمين والصفحات؟ العرض الرخيص يعني غالباً نطاقاً ضيقاً.
- ما حصة العمل اليدوي؟ ما نسبة الاختبار اليدوي ونسبة الفحص الآلي؟
- بتسجيل دخول أم بدونه؟ هل يدخل الفاحص بحسابات اختبار لكل دور مستخدم أم يختبر من الخارج فقط؟
- من ينفّذ العمل؟ من هم الفاحصون وما مؤهلاتهم؟ اطلب من الشركة ذكر ذلك في خطاب التعاقد.
- كيف يبدو التقرير؟ اطلب نموذجاً وتأكد من أنه يتضمن أدلة وحلولاً.
- هل إعادة الاختبار مشمولة؟ اسأل كم مرة وخلال أي مدة.
- كيف تُعالَج البيانات؟ أين تُخزَّن النتائج ومن يطّلع عليها ومتى تُحذف.
- ما الجدول الزمني؟ تاريخ البدء وفترة الاختبار وتاريخ التقرير، ليصل التقرير قبل موعدك النهائي.
أطر قد يذكرها المدقق
يطلب المدققون والجهات التنظيمية الاختبار الأمني ضمن أطر عدة، منها NESA / UAE IA وADHICS للرعاية الصحية في أبوظبي وقانون حماية البيانات الشخصية (PDPL) وISO 27001 وPCI DSS. ويمكن أن يكون تقرير الاختبار دليلاً لإطار الضوابط لديك، ويمكن ربط التقرير الجيد به عند الطلب. وتقرير الاختبار ليس شهادة امتثال: فالمدقق أو الجهة التنظيمية هي التي تقرر ما تقبله، فاقرأ المتطلب الذي طُلب منك واسألها إن لم يكن واضحاً.
كيف تتعامل كويك نت مع الاختبار
تحدد كويك نت كومبيوترز نطاق الاختبارات الأمنية عند المعاينة وتصدر تقريراً مكتوباً بنصائح المعالجة، ولا تصدر شهادة امتثال. وتصف صفحات الخدمة أنواع الاختبار ومراحله: خدمات VAPT في الإمارات واختبار الاختراق في الإمارات. وتعمل كويك نت في أبوظبي والعين، وتتولى مشاريع دبي على أساس المشروع. الاختبار يكشف نقاط الضعف، وسدّها يعني غالباً أعمالاً على جدران الحماية والشبكة، تغطيها صفحتا دليل جدران الحماية وتدقيق أمن جدار الحماية.
صفحات ذات صلة
خدمات VAPT · اختبار الاختراق · خدمات الأمن السيبراني في أبوظبي · دليل جدران الحماية والأمن السيبراني · تدقيق أمن جدار الحماية · عقد صيانة الأمن السيبراني · الاستعداد لتدقيق ADHICS
المصادر
- OWASP Top 10 (مخاطر تطبيقات الويب الشائعة)
- مجلس معايير أمن البطاقات (PCI SSC) (معيار صناعة البطاقات ومتطلبات الاختبار فيه)
روابط تم التحقق منها في 5 نوفمبر 2026. آخر مراجعة 5 نوفمبر 2026. هذه الصفحة معلومات عامة عن الاختبار الأمني وليست استشارة قانونية أو استشارة امتثال.
أسئلة شائعة حول VAPT واختبار الاختراق في الإمارات
ما هو VAPT؟
VAPT اختصار تقييم الثغرات واختبار الاختراق. يكشف التقييم نقاط الضعف في أنظمتك ويرتّبها، ثم يحاول اختبار الاختراق، بإذن، استغلال المهم منها ليُظهر ما يمكن للمهاجم بلوغه فعلاً. وعند تقديمهما معاً تحصل في تقرير واحد على قائمة واسعة وإثبات لأخطر المسارات.
ما الفرق بين فحص الثغرات واختبار الاختراق؟
فحص الثغرات آلي ويجد نقاط ضعف محتملة، وقد يتضمن إنذارات خاطئة. أما اختبار الاختراق فيدوي في معظمه: يحاول الخبير استغلال نقاط الضعف وربطها معاً وإظهار الأثر الحقيقي. الفحص واسع وقابل للتكرار، والاختبار أعمق ويثبت ما هو قابل للاستغلال.
كم مرة ينبغي أن تُجري الشركة اختبار اختراق؟
لا توجد قاعدة واحدة. تختبر شركات كثيرة مرة في السنة على الأقل ومرة أخرى بعد تغيير كبير مثل تطبيق جديد أو انتقال إلى السحابة أو شبكة جديدة. وبعض المعايير والعملاء يحددون فترتهم الخاصة، فراجع المتطلب الذي طُلب منك.
هل يعطّل اختبار الاختراق أنظمتنا؟
يُخطَّط الاختبار الجيد لتجنب الانقطاع. يُتفق كتابةً مسبقاً على النطاق ونافذة الاختبار وأي أنظمة حساسة أو حية، ويمكن جدولة الفحوص التي قد تسبب انقطاعاً خارج ساعات العمل. اسأل الشركة كيف تتعامل مع نظام يبطؤ أثناء الاختبار.
ماذا ينبغي أن يتضمن تقرير اختبار الاختراق؟
ملخصاً تنفيذياً، والنطاق والمنهج، وكل نتيجة بتصنيف خطورتها، والأدلة، ونصائح معالجة محددة، ووسيلة لإعادة الاختبار. اطلب نموذج تقرير قبل الشراء بعد إزالة بيانات العميل.
هل تقرير اختبار الاختراق هو نفسه شهادة امتثال؟
لا. يسجّل التقرير ما اختُبر وما وُجد. ويمكن أن يدعم دليلاً لإطار مثل NESA / UAE IA وADHICS وPDPL وISO 27001 وPCI DSS، لكن المدقق أو الجهة التنظيمية هي التي تقرر ما تقبله. وتصدر كويك نت تقرير اختبار لا شهادة.
كيف يُحدَّد نطاق اختبار الاختراق؟
يسرد النطاق العناوين والتطبيقات وأدوار المستخدمين والأنظمة التي يجوز اختبارها وما يجب تركه. ويُحدَّد النطاق قبل التسعير، عادةً عند المعاينة، لأن عدد العناوين والتطبيقات والأدوار هو الذي يحدد حجم الجهد.
هل نحتاج إلى إعادة اختبار بعد إصلاح المشكلات؟
تؤكد إعادة الاختبار نجاح الإصلاح وإغلاق المشكلة. اسأل كل شركة هل إعادة الاختبار مشمولة وكم مرة مسموحة وخلال أي مدة، فهنا غالباً تختلف العروض.