هاجم نفسك لتُثبت أن دفاعك يعمل

يمكنك تثبيت كل أداة دفاعية في العالم — وتظلّ لا تعلم إن كانت تعمل فعلًا. السبيل الوحيد لتعلم هو أن تهاجم نفسك وترى إن كان التنبيه يُطلَق. لكن الهجوم دون حدود خطرٌ بحدّ ذاته. إليك كيف فعلناها بشكل صحيح.

المشكلة: دفاعٌ لم يُختبَر هو أمل

تُثبّت الشركة مضاد فيروسات، وجدار حماية، ومراقبة — وتفترض أنها محميّة. لكن هل يمنع جدار الحماية فعلًا؟ هل يصل التنبيه عن محاولة اقتحام فعلًا، وخلال كم ثانية؟ بلا اختبار فعّال، هذه افتراضات. وحين يصل هجوم حقيقي، تكتشف الجواب بأشدّ الطرق إيلامًا.

البوابة قبل كل شيء: تفويض موقّع (RoE)

قبل أن نشغّل حتى فحصًا واحدًا ضدّ هدف، توجد بوابة تفويض موقّعة (قواعد الاشتباك). دون نموذج موافقة رقمي موقّع يغطّي الهدف — لا يجري أي اختبار فعّال. تفرض البوابة أيضًا نافذة زمنية وخيار إلغاء. هذه ليست بيروقراطية: إنها الدليل ذاته على الموافقة الذي يتطلبه تنظيمٌ كالتعديل 13، وهي الحماية القانونية لنا وللعميل. هجوم حجب خدمة حقيقي؟ يُرفَض دائمًا — وأقصى ما يُسمح به اختبار حمل مُتحكَّم به.

ما بنيناه: مُطلِق حملات

بدلًا من تشغيل اختبار واحد في المرة، بنينا مُطلِق حملات يُنسّق اختبارات كثيرة معًا — مصفوفة من هدف × طريقة. إحدى الطرق، مثلًا، اختبار اختراق تطبيقات الويب (كشف حقن SQL بـ sqlmap وفحص DAST). تعمل كل حملة ضدّ القائمة، وتجمع الاكتشافات، وترفعها إلى لوحة الأمن الموحّدة ذاتها حيث تعيش سائر المعلومات.

القلب: مصفوفة تغطية الفريق البنفسجي

هنا يحدث السحر. أخذنا كل كشوفنا (ما يعرف الدفاع التقاطه) وطابقنا كلًّا منها مع تقنية في MITRE ATT&CK — القاموس العالمي لكيفية عمل المهاجمين فعلًا. النتيجة مصفوفة تغطية: لوحة تُظهر بالضبط أي تقنيات هجوم نكشفها، وأين الثغرات. "الفريق البنفسجي" = الجمع بين الجانب الأحمر (الهجوم) والجانب الأزرق (الدفاع) في حلقة واحدة.

نقاط الإثبات الثلاث التي تُبرم الصفقة

• "هذا هو انكشافك" — فحص خارجي يُظهر ما يراه المهاجم.
• "هذا هو الإصلاح — من 62 إلى 88" — درجة تحصين قبل/بعد.
• "أثبتنا أن التنبيه يُطلَق على خادمك" — مصفوفة التغطية أثناء العمل.

كيف اختبرناه

شغّلنا طريقة الهجوم الأولى (كشف حقن SQL + DAST) ضدّ هدف اختبار مفوَّض، ووجدنا ثغرة حقيقية — ما أثبت أن المسار من الطرف إلى الطرف يعمل: مُطلِق ← بوابة تفويض ← اختبار ← اكتشاف في اللوحة. وفي الوقت ذاته أثبتت بوابة RoE جدارتها: بلا تفويض موقّع، لا يجري أي اختبار.

يصف هذا المقال النهج على مستوى المبدأ. كل نشاطنا الهجومي مُتحكَّم به، ومفوَّض بتوقيع، وقابل للإلغاء؛ ولا نكشف أدوات ولا حمولات ولا تفاصيل تساعد مهاجمًا.