الخطوات التالية

حالة استخدام

يجب أن تكون في هذه المرحلة قادرًا على إجراء تقييمات أمنية عالية الجودة لمواقع الويب، لكن لا يزال لديك الكثير لتتعلمه من حيث إدارة وصقل عمل الاختبار وأيضًا من حيث تقنيات الاختبار الأكثر غموضًا وتطورًا. يُغطي هذا الموضوع الفرعي بعض المسارات التي يمكنك اتباعها لمواصلة التدريب وبناء مهاراتك.

الأهداف

بعد استكمال هذا الموضوع الفرعي، يجب أن يعرف الممارسون كيف يمكنهم الاستمرار في التمرن وتطوير مهارات تقييم أمن تطبيقات الويب الخاصة بهم.

العرض

هناك بعض المسارات التكميلية التي يمكنك استخدامها لتطوير والتمرن على المهارات التي اكتسبتها في مسار التعلّم هذا، ويجب ألا تمنعك هذه المسارات من القيام بالعمل الفعلي لتقييم أمان مواقع الويب ولكن يمكن استخدامها أثناء وقت الخمول.

التعمّق

كما تتذكر استخدم مسار التعلّم هذا مخابر من أكاديمية بورت سويغر لكنه لم يستخدم جميع مخابر المواضيع التي تمت تغطيتها. في حال رغبتك بذلك يمكنك العودة وتجربة المخابر المصنّفة على أنها“للخبراء”-rated labs. لاحظ أن هذه المخابر تمثل حالات نادرة جدًا وغالبًا ما تكون صعبة على خبراء تقييم أمن تطبيقات الويب ذوي الخبرة.

التوسّع

غطّى مسار التعلّم هذا أهم جوانب أمن تطبيقات الويب ولكن هناك العديد من المجالات الأخرى.

تحتوي أكاديمية بورت سويغر على مواضيع و ومخابر لم يتم تضمينها في مسار التعلّم هذا، وإذا كنت مهتمًا لا تتردد في الاطلاع عليها. لاحظ أنه إذا قمت بالتسجيل للحصول على حساب في أكاديمية بورت سويغر سيسمح ذلك بتتبع المخابر التي أنهيتها. يمكن أن يساعدك هذا في العثور بسهولة على مخابر ومناطق جديدة لم تستكملها.

كما أن دليل اختبار مشروع أمان تطبيق الويب المفتوح هو دليل شامل للغاية لتقييمات أمان تطبيقات الويب والثغرات التي قد يجدها المرء، وإذا كان لديك بضع دقائق فغالبًا ما يكون من المثير للاهتمام الاطلاع بسرعة على محتويات المواضيع التي لا تتعرف عليها وتقرأها.

من المحبذ أيضًا قراءة تقارير الثغرات التي ينشرها باحثون آخرون بانتظام لفهم كل من منهجياتهم والثغرات التي وجدوها داخل مواقع الويب وتطبيقات الويب. يُمثل هذا التقرير بداية رائعة لأنه يشير إلى كل من الأخطاء الأساسية التي ارتكبت في تطبيقات الويب مع شرح متعمّق لمدى الضرر الذي يمكن أن يحدثه المتطفل الذي يستغل هذه الثغرات، ولكن يجب أن تراعي أنه يركز على موقع ويب يحتوي على أخطاء فادحة بشكل خاص حيث لن تكون معظم الثغرات التي تجدها أنت أو باحثون أمنيون آخرون بسيطة.

الممارسة واكتساب الخبرة

الشيء الأكثر تأثيرًا الذي يمكنك القيام به لتحسين مهارات اختبار تطبيقات الويب هو اختبار تطبيقات الويب، وهناك طريقتان أساسيتان تسمحان لك بالقيام بذلك بنفسك. تشمل الأولى التحقق من تطبيقات الويب التي تحوي ثغرات عمدًا في دليل تطبيقات الويب الضعيفة ضمن مشروع أمان تطبيق الويب المفتوح، من بينها جوس شوب ودي آي دبليو إيه وأيضًا الكثير غيرها. إذا كنت تواجه صعوبة في العثور على معظم الثغرات في دي آي دبليو إيه فهذا مكان من الجيد أن تبدأ به، حيث يمكنك التنزيل والتدرب على هذه المواقع وبعضها مستضاف عبر الإنترنت حتى لا تضطر إلى مواجهة متاعب في تنزيل شيء ما.

بمجرد أن تتأكد من أنك قد وجدت ثغرات في المواقع غير الآمنة عن قصد، فإن إحدى الطرق الجيدة للحصول على التدريب هي المشاركة في برامج مكافأة اكتشاف الثغرات، لأن مالكي المواقع يمنحون الأشخاص الإذن باختبار مواقع الويب الخاصة بهم وعادةً ما يُعوضونك إذا أبلغت عن ثغرة أمنية جديدة لهم. في كثير من الأحيان تحتوي هذه المواقع بالفعل على برامج أمان متقدمة ولذلك تكون الثغرات قليلة ومتفرقة. لكن بدل أن تحاول محاكاة الواقع يمكنك استخدام مواقع الويب الحقيقية هذه وبالتالي ستبني تجربة حقيقية. لاحظ أن بعض الأشخاص قادرون على كسب العيش من خلال برامج مكافآت الأخطاء والثغرات ولكن التقنيات التي يستخدمونها ليست هي نفسها المستخدمة في تقييمات أمان تطبيقات الويب الشاملة. إذا كان هدفك هو ممارسة مهاراتك وتطويرها فمن الأفضل إجراء تقييمات شاملة للمواقع التي تحتوي على مكافآت لاكتشاف الثغرات واعتبار أي تعويض تتلقاه مجرد أمر إضافي.

أكبر منصتي مكافآت لقاء اكتشاف الثغرات هما هاكر ون (HackerOne) و بغ كراود (Bugcrowd)، ويسمح كلاهما لمالكي المواقع بالتواصل مع “المخترقين” الذين يرغبون باختبار مواقع الويب، كما يحتوي كلاهما على قوائم بمالكي المواقع المشاركين وعادةً ما يكون من المستحسن اختيار برنامج حديث ذو أجور متواضعة. من المفترض أن يساعدك هذا في العثور على موقع يكون من المرجح أكثر أن تعثر فيه على ثغرات، وبالطبع خلال الاختبار تأكد من الامتثال لقواعد برنامج مكافآت اكتشاف الثغرات.

اختبار مهارة

يتناول اختبار المهارات هذا مسار التعلّم بأكمله على نطاق أوسع، حيث يُعد فهم نموذج الربط البيني للأنظمة المفتوحة أمرًا بالغ الأهمية لفهم طبقات اتصال الشبكة والثغرات التي يمكن استغلالها في كل مستوى. يمكنك معرفة المزيد عن النموذج هنا وفي الموضوع الفرعي 5 من مسار التعلّم هذا.

يتناول اختبار المهارات هذا مسار التعلّم بأكمله على نطاق أوسع، حيث يُعد فهم نموذج الربط البيني للأنظمة المفتوحة أمرًا بالغ الأهمية لفهم طبقات اتصال الشبكة والثغرات التي يمكن استغلالها في كل مستوى. يمكنك معرفة المزيد عن النموذج هنا وفي الموضوع الفرعي 5 من مسار التعلّم هذا.

في بنية تطبيقات الويب النموذجية، تؤدي طبقات نموذج الربط البيني للأنظمة المفتوحة المختلفة أدوارًا متميزة من إدارة نقل البيانات حتى تأمين قنوات الاتصال. تستكشف هذه المجموعة من الأسئلة متعددة الخيارات طبقات نموذج الربط البيني للأنظمة المفتوحة المشاركة في بنية تطبيقات الويب إلى جانب الثغرات المحتملة وقنوات الهجوم المقابلة. اختبر معرفتك بأمن الشبكة واكتسب نظرة متعمّقة بالطبقات التي تكمن فيها التهديدات بشكل شائع، وإذا كان ذلك ممكنًا ناقش إجاباتك على هذه الأسئلة مع زميل أو مرشد يساعد في التحقق من فهمك للموضوع بشكل صحيح.\

1. في أي طبقات نموذج الربط البيني للأنظمة المفتوحة يعمل بروتوكول تحكم الإرسال الذي يستهدفه المهاجمون عادة في أنواع مختلفة من هجمات الشبكة؟

أ) طبقة التطبيق
ب) طبقة النقل
ج) طبقة الشبكة
د) طبقة رابط البيانات\

2. ما هي الثغرة الأمنية المرتبطة عادة بطبقة النقل (الطبقة 4) من نموذج الربط البيني للأنظمة المفتوحة، حيث يحاول المهاجمون إنهاك موارد الشبكة من خلال حجم كبير من حركة المرور؟

أ) البرمجة النصية عبر المواقع
ب) حقن لغة الاستعلامات البنيوية
ج) حجب الخدمة
د) مشكلة في المصادقة\

3. في أي طبقات نموذج الربط البيني للأنظمة المفتوحة يعمل بروتوكول نقل النص التشعبي وبروتوكول نقل النص التشعبي الآمن عادةً، مما يجعلهما هدفًا شائعًا للهجمات مثل البرمجة النصية عبر المواقع وحقن لغة الاستعلامات البنيوية؟

أ) طبقة رابط البيانات
ب) طبقة النقل
ج) طبقة التطبيقات
د) طبقة العرض\

4. ما هي الثغرة الأمنية التي يتم استغلالها غالبًا في طبقة التطبيق (الطبقة 7) من نموذج الربط البيني للأنظمة المفتوحة بما يسمح للمهاجمين حقن التعليمات البرمجية الضارة في تطبيقات الويب واختراق بيانات المستخدمين؟

أ) حجب الخدمة
ب) البرمجة النصية عبر الموقع
ج) هجوم الوسيط
د) هجمة فيضان بروتوكول المزامنة\

5. في أي طبقات نموذج الربط البيني للأنظمة المفتوحة تعمل الموجهات والمبدلات وأين يمكن أن تحدث الثغرات مثل تزييف بروتوكول الإنترنت وتزييف بروتوكول تحليل العنوان؟

أ) الطبقة المادية
ب) طبقة الشبكة
ج) طبقة النقل
د) طبقة الجلسة\

6. ما الثغرة الأمنية التي تنطوي على اعتراض المهاجمين للاتصال بين طرفين، بما يسمح لهم بالتنصت على المعلومات الحساسة أو تعديل حزم البيانات؟

أ) البرمجة النصية عبر المواقع
ب) هجوم الوسيط
ج) حقن لغة الاستعلامات البنيوية
د) تجاوز سعة المخزن المؤقت\

7. في أي طبقات نموذج الربط البيني للأنظمة المفتوحة تعمل جدران الحماية وأنظمة الكشف عن التسلل عادةً بهدف تصفية ومراقبة حركة مرور الشبكة بحثًا عن الأنشطة المشبوهة؟

أ) طبقة التطبيق
ب) طبقة النقل
ج) طبقة الشبكة
د) طبقة رابط البيانات\

8. ما هي الثغرة الأمنية التي تنطوي على استغلال المهاجمين لثغرات في طبقة الشبكة لإعادة توجيه حركة المرور إلى وجهات ضارة أو اعتراض المعلومات الحساسة؟

أ) البرمجة النصية عبر المواقع
ب) تزييف بروتوكول تحليل العنوان
ج) حقن لغة الاستعلامات البنيوية
د) تزييف طلب المواقع المشتركة\

9. في أي طبقات نموذج الربط البيني للأنظمة المفتوحة تعمل بروتوكولات تشفير طبقة مآخذ توصيل آمنة وبرتوكول أمن طبقة النقل، مما يحمي البيانات المنقولة عبر الشبكة من الاعتراض والعبث؟

أ) طبقة العرض
ب) طبقة التطبيقات
ج) طبقة النقل
د) طبقة الشبكة\

10. ما هي الثغرة الأمنية التي تنطوي على تلاعب المهاجمين بحقول الإدخال داخل نماذج الويب أو عناوين مواقع الويب لحقن أوامر لغة الاستعلامات البنيوية الضارة بما يؤدي إلى الوصول دون تخويل إلى قاعدة البيانات الأساسية؟

أ) البرمجة النصية عبر المواقع
ب) حقن لغة الاستعلامات البنيوية
ج) حجب الخدمة
د) هجوم الوسيط\

الإجابات الصحيحة:

1. ب) طبقة النقلr
2. 2. ج) حجب الخدمة
3. ج) طبقة التطبيقات
4. ب) البرمجة النصية عبر الموقع
5. ب) طبقة الشبكة
6. ب) هجوم الوسيط
7. ج) طبقة الشبكة
8. ب) تزييف بروتوكول تحليل العنوان
9. ج) طبقة النقل
10. ب) حقن لغة الاستعلامات البنيوية

موارد التعلّم