اختبار أمان التطبيقات الديناميكي

📅 آخر تحديث: ٢٣ يوليو ٢٠٢٦
✍️ نُشر في: ٢٣ يوليو ٢٠٢٦
الموسوعة الحرة

يمثل اختبار أمان التطبيقات الديناميكي ( DAST ) عملية اختبار غير وظيفية تهدف إلى تحديد نقاط الضعف والثغرات الأمنية في التطبيق. يمكن إجراء هذه العملية يدويًا أو باستخدام أدوات آلية. يتطلب التقييم اليدوي للتطبيق تدخلًا بشريًا لتحديد العيوب الأمنية التي قد تغفل عنها الأدوات الآلية. عادةً ما لا يمكن تحديد أخطاء منطق الأعمال ، وحالات التزامن ، وبعض ثغرات اليوم الصفر إلا من خلال التقييمات اليدوية.

من جهة أخرى، تُعدّ أداة اختبار أمان التطبيقات الديناميكي (DAST) برنامجًا يتواصل مع تطبيق ويب عبر واجهة المستخدم الأمامية لتحديد الثغرات الأمنية المحتملة في التطبيق ونقاط الضعف في بنيته. [ 1 ] وهي تُجري اختبار الصندوق الأسود . على عكس أدوات اختبار أمان التطبيقات الثابتة ، لا تملك أدوات DAST صلاحية الوصول إلى شفرة المصدر، وبالتالي فهي تكشف الثغرات الأمنية من خلال تنفيذ هجمات فعلية.

تتيح أدوات DAST إجراء عمليات مسح متطورة، حيث تكشف عن الثغرات الأمنية بأقل قدر من تدخل المستخدم بمجرد تهيئتها باسم المضيف، ومعلمات الزحف، وبيانات اعتماد المصادقة. وتسعى هذه الأدوات إلى اكتشاف الثغرات الأمنية في سلاسل الاستعلام، والعناوين، والأجزاء، والأفعال (GET/POST/PUT)، وحقن DOM.

ملخص

تُسهّل أدوات اختبار أمان التطبيقات (DAST) المراجعة الآلية لتطبيقات الويب بهدف اكتشاف الثغرات الأمنية، وهي مُلزمة بالامتثال لمتطلبات تنظيمية مُتعددة. تستطيع ماسحات تطبيقات الويب البحث عن مجموعة واسعة من الثغرات، مثل التحقق من صحة المدخلات والمخرجات (مثل هجمات البرمجة النصية عبر المواقع وحقن SQL )، ومشاكل التطبيقات المُحددة، وأخطاء تكوين الخادم.

الماسحات الضوئية التجارية والمفتوحة المصدر

تُعدّ الماسحات الضوئية التجارية فئة من أدوات تقييم الويب التي تتطلب الشراء. تتضمن بعض الماسحات الضوئية بعض الميزات المجانية، ولكن معظمها يتطلب الشراء للاستفادة الكاملة من إمكانيات الأداة.

غالباً ما تكون الماسحات الضوئية مفتوحة المصدر مجانية للمستخدم.

نقاط القوة

تستطيع هذه الأدوات اكتشاف الثغرات الأمنية في الإصدارات التجريبية النهائية قبل طرحها في السوق. تحاكي الماسحات الضوئية مستخدمًا خبيثًا من خلال الهجوم والفحص، وتحديد النتائج غير المتوقعة، مما يسمح بمحاكاة هجوم واقعي. [ 2 ] تتمثل الميزة الرئيسية لهذه الأدوات في قدرتها على المسح على مدار العام للبحث المستمر عن الثغرات الأمنية. ومع اكتشاف ثغرات جديدة بانتظام، يُمكّن هذا الشركات من العثور على الثغرات ومعالجتها قبل استغلالها. [ 3 ]

باعتبارها أداة اختبار ديناميكية، فإن ماسحات الويب لا تعتمد على لغة برمجة محددة. يستطيع ماسح تطبيقات الويب فحص تطبيقات الويب التي تعمل بمحركات برمجية. يستخدم المهاجمون الأدوات نفسها، لذا إذا تمكنت الأدوات من اكتشاف ثغرة أمنية، فبإمكان المهاجمين فعل ذلك أيضًا. [ 4 ]

نقاط الضعف

أثناء الفحص باستخدام أداة DAST، قد تُستبدل البيانات أو تُحقن برامج ضارة في الموقع المستهدف. لذا، يُنصح بفحص المواقع في بيئة تحاكي بيئة الإنتاج ولكن ليست بيئة الإنتاج الفعلية، لضمان دقة النتائج وحماية البيانات في بيئة الإنتاج.

نظرًا لأن الأداة تُطبّق أسلوب اختبار ديناميكي ، فإنها لا تستطيع تغطية كامل شفرة المصدر للتطبيق، وبالتالي التطبيق نفسه. لذا، ينبغي على مُختبِر الاختراق فحص مدى تغطية تطبيق الويب أو سطح الهجوم الخاص به للتأكد من صحة تهيئة الأداة وقدرتها على فهم التطبيق. [ 5 ]

لا تستطيع الأداة تنفيذ جميع أنواع الهجمات على ثغرة أمنية معينة. لذا، عادةً ما تحتوي الأدوات على قائمة محددة مسبقًا من الهجمات، ولا تُنشئ حمولات الهجوم بناءً على تطبيق الويب المُختَبَر. كما أن بعض الأدوات محدودة الفهم لسلوك التطبيقات ذات المحتوى الديناميكي، مثل تطبيقات جافا سكريبت وفلاش .

انظر أيضاً

مراجع

  1. ↑ معايير تقييم ماسح أمان تطبيقات الويب، الإصدار 1.0 ، WASC، 2009
  2. ↑ "SAST مقابل DAST" . مركز أبحاث G2 . مؤرشف من الأصل بتاريخ 2020-05-03.
  3. ↑ "أهمية الفحص الدوري للثغرات الأمنية" . شركة AppCheck المحدودة . مؤرشف من الأصل بتاريخ 2020-08-06.
  4. ↑ باشفيتز، جادي. "مزايا وعيوب DAST" . برايت سيكيوريتي . تم الاسترجاع في 21-03-2023 .
  5. ↑ "SAST مقابل DAST: شرح اختبار أمان التطبيقات - نورث آي تي" . تم الاطلاع عليه بتاريخ 15-10-2025 .