تطبيق حراري

يشمل أمن التطبيقات ( AppSec ) جميع المهام التي تُدخل دورة حياة تطوير برمجيات آمنة إلى فرق التطوير. هدفه النهائي هو تحسين ممارسات الأمان، ومن خلال ذلك، اكتشاف المشكلات الأمنية في التطبيقات وإصلاحها، والأفضل منعها. وهو يشمل دورة حياة التطبيق بأكملها بدءًا من تحليل المتطلبات والتصميم والتنفيذ والتحقق، وصولًا إلى الصيانة. ^{[ 1 ]}

أمن تطبيقات الويب هو فرع من فروع أمن المعلومات، ويختص بأمن المواقع الإلكترونية وتطبيقات الويب وخدمات الويب . ويستند أمن تطبيقات الويب، بشكل عام، إلى مبادئ أمن التطبيقات، ولكنه يطبقها تحديدًا على الإنترنت وأنظمة الويب . ^{[ 2 ] [ 3 ]} كما يركز أمن التطبيقات على تطبيقات الهواتف المحمولة وأمنها، بما في ذلك تطبيقات iOS وAndroid.

أدوات أمان تطبيقات الويب هي أدوات متخصصة للعمل مع حركة مرور HTTP، على سبيل المثال، جدران حماية تطبيقات الويب .

تُحدد الأساليب المختلفة مجموعات فرعية مختلفة من الثغرات الأمنية الكامنة في التطبيق، وتكون أكثر فعالية في مراحل مختلفة من دورة حياة البرمجيات. ويمثل كل منها مفاضلات مختلفة بين الوقت والجهد والتكلفة والثغرات المكتشفة.

• مراجعة التصميم . قبل كتابة الكود، يمكن مراجعة بنية التطبيق وتصميمه بحثًا عن أي ثغرات أمنية. ومن التقنيات الشائعة في هذه المرحلة إنشاء نموذج للتهديدات .
• اختبار الصندوق الأبيض ، أو مراجعة الكود . فحص نقدي للبنية الداخلية، والهندسة المعمارية، والتصميم، وما إلى ذلك.
• اختبار الصندوق الأسود . يختبر الوظائف بدلاً من البنية الداخلية.
• أدوات الأتمتة. يمكن أتمتة العديد من أدوات الأمان من خلال دمجها في بيئة التطوير أو الاختبار. ومن أمثلة ذلك أدوات DAST/SAST المؤتمتة المدمجة في محررات الأكواد أو منصات التكامل المستمر/التسليم المستمر (CI/CD).
• منصات الثغرات الأمنية المنسقة . هذه حلول أمنية للتطبيقات مدعومة من قبل المخترقين، تقدمها العديد من المواقع الإلكترونية ومطوري البرامج، والتي يمكن للأفراد من خلالها الحصول على التقدير والتعويض مقابل الإبلاغ عن الأخطاء.

يوفر مشروع أمن التطبيقات العالمي المفتوح ( OWASP ) موارد مجانية ومفتوحة المصدر. وتقوده مؤسسة OWASP غير الربحية. وتُعدّ قائمة OWASP لأهم 10 ثغرات أمنية لعام 2017 نتاجًا لبحث حديث استند إلى بيانات شاملة جُمعت من أكثر من 40 منظمة شريكة. وكشفت هذه البيانات عن ما يقارب 2.3 مليون ثغرة أمنية في أكثر من 50,000 تطبيق. ^{[ 4 ]} ووفقًا لقائمة OWASP لأهم 10 ثغرات أمنية لعام 2021، تشمل أخطر عشرة مخاطر أمنية لتطبيقات الويب ما يلي: ^{[ 5 ] [ 6 ]}

1. نظام التحكم في الوصول معطل
2. إخفاقات التشفير
3. حقن
4. تصميم غير آمن
5. سوء تكوين الأمان
6. مكونات ضعيفة وقديمة
7. حالات فشل تحديد الهوية والمصادقة
8. أعطال في سلامة البرامج والبيانات
9. تسجيل حالات فشل المراقبة الأمنية*
10. تزوير الطلبات من جانب الخادم (SSRF)*

قائمة OWASP لأفضل 10 ضوابط استباقية لعام 2024 هي قائمة بتقنيات الأمان التي يجب على كل مهندس ومطور برامج معرفتها والالتزام بها.

تحتوي القائمة الحالية على ما يلي:

1. تطبيق نظام التحكم في الوصول
2. استخدم التشفير بالطريقة الصحيحة
3. تحقق من صحة جميع المدخلات وتعامل مع الاستثناءات
4. معالجة الأمن من البداية
5. إعدادات آمنة افتراضياً
6. حافظ على أمان مكوناتك
7. تطبيق الهوية الرقمية
8. استخدم ميزات أمان المتصفح
9. تطبيق نظام تسجيل ومراقبة الأمان
10. إيقاف عمليات تزوير الطلبات من جانب الخادم

تستكشف تقنيات اختبار الأمان الثغرات الأمنية في التطبيقات، مما يجعلها عرضة للاستغلال . ومن الأفضل تطبيق اختبار الأمان طوال دورة حياة تطوير البرمجيات (SDLC) لضمان معالجة الثغرات الأمنية في الوقت المناسب وبشكل شامل.

توجد أنواع عديدة من الأدوات الآلية لتحديد الثغرات الأمنية في التطبيقات. تشمل فئات الأدوات الشائعة المستخدمة لتحديد الثغرات الأمنية في التطبيقات ما يلي:

• يُحلل اختبار أمان التطبيقات الثابت (SAST) شفرة المصدر بحثًا عن الثغرات الأمنية أثناء تطوير التطبيق. وبالمقارنة مع اختبار أمان التطبيقات الديناميكي (DAST)، يُمكن استخدام SAST حتى قبل أن يصبح التطبيق جاهزًا للتنفيذ. ولأن SAST يمتلك إمكانية الوصول إلى شفرة المصدر الكاملة، فهو يُعتبر أسلوبًا مفتوحًا. وهذا يُتيح الحصول على نتائج أكثر تفصيلًا، ولكنه قد يُؤدي إلى العديد من النتائج الإيجابية الخاطئة التي تتطلب التحقق اليدوي.
• يكشف اختبار أمان التطبيقات الديناميكي (DAST، والذي يُطلق عليه غالبًا ماسحات الثغرات الأمنية ) عن الثغرات الأمنية تلقائيًا من خلال فحص وتحليل مواقع الويب. تتميز هذه الطريقة بقابليتها العالية للتوسع وسهولة دمجها وسرعتها. تُعد أدوات DAST مناسبة تمامًا للتعامل مع الهجمات منخفضة المستوى، مثل ثغرات الحقن، ولكنها غير مناسبة للكشف عن الثغرات عالية المستوى، مثل ثغرات المنطق أو منطق الأعمال. ^{[ 7 ]} تُستخدم أدوات اختبار التشويش (Fuzzing) عادةً لاختبار المدخلات. ^{[ 8 ]}
• تُسلط أبحاث أمن تطبيقات الصناعة الضوء على المخاطر المتزايدة المتعلقة بواجهات برمجة التطبيقات غير الآمنة، والتلاعب بالتعليمات البرمجية من جانب العميل، والاستغلال أثناء التشغيل، مما يعزز أهمية إجراء اختبارات أمنية شاملة وديناميكية واختبارات أمنية أثناء التشغيل. ^{[ 9 ]}
• يُقيّم اختبار أمان التطبيقات التفاعلي (IAST) التطبيقات من داخلها باستخدام أدوات برمجية. يجمع هذا الأسلوب بين مزايا كلٍ من اختبار أمان التطبيقات الثابت (SAST) واختبار أمان التطبيقات الديناميكي (DAST)، بالإضافة إلى توفير إمكانية الوصول إلى الشفرة البرمجية، وحركة مرور HTTP، ومعلومات المكتبات، واتصالات الواجهة الخلفية، ومعلومات التكوين. ^{[ 10 ] [ 11 ]} تتطلب بعض منتجات IAST مهاجمة التطبيق، بينما يمكن استخدام منتجات أخرى أثناء اختبارات ضمان الجودة العادية. ^{[ 12 ] [ 13 ]}
• تعمل خاصية الحماية الذاتية لتطبيقات وقت التشغيل على تعزيز التطبيقات الحالية لتوفير اكتشاف ومنع الاختراقات من داخل وقت تشغيل التطبيق.
• تحاول أدوات فحص التبعيات (وتسمى أيضاً تحليل مكونات البرمجيات ) اكتشاف استخدام مكونات برمجية ذات ثغرات أمنية معروفة. يمكن لهذه الأدوات العمل عند الطلب، مثلاً أثناء عملية بناء شفرة المصدر، أو بشكل دوري.

• معيار التشفير الآمن CERT
• ISO/IEC 27034-1:2011 تكنولوجيا المعلومات - تقنيات الأمان - أمان التطبيقات - الجزء 1: نظرة عامة ومفاهيم
• ISO/IEC TR 24772:2013 تكنولوجيا المعلومات - لغات البرمجة - إرشادات لتجنب الثغرات الأمنية في لغات البرمجة من خلال اختيار اللغة واستخدامها
• منشور خاص من المعهد الوطني للمعايير والتكنولوجيا رقم 800-53
• OWASP ASVS: معيار التحقق من أمان تطبيقات الويب ^{[ 14 ]}

• تعداد نقاط الضعف الشائعة
• أمن البيانات
• موبايل
• OWASP
• دورة حياة تطوير أمن مايكروسوفت
• أمان قابل للاستخدام