متطلبات اختبار الاختراق في إطار SAMA

المتطلب، بعبارة واضحة

يُتوقع من المنشآت الخاضعة لإشراف البنك المركزي السعودي إجراء اختبارات اختراق خارجية مستقلة سنوياً كحد أدنى، بنطاق يغطي الأنظمة المتاحة خارجياً وتطبيقات الويب والبنية التحتية للشبكة.

وثلاث كلمات في هذه الجملة تحمل الثقل، وكل واحدة منها موضع يفشل فيه الدليل عادةً عند المراجعة:

• مستقلة - لا ينفّذها الفريق الذي يبني الأنظمة محل الاختبار أو يشغّلها.
• سنوياً كحد أدنى - الدورة السنوية أرضية، والتغيير الجوهري على الأنظمة المتاحة عبر الإنترنت محفّز منفصل.
• اختبار اختراق - لا فحص آلي للثغرات بغلاف مختلف. وقد أصبح المدققون بارعين في التمييز بينهما.

أين تفشل أدلة SAMA فعلياً

أربعة أنماط من الإخفاق تمثّل معظم ما يُعترض عليه، والأربعة تجنّبها أرخص من معالجتها.

فحص آلي يُقدَّم على أنه اختبار اختراق

العلامة الفارقة بنيوية: كل نتيجة عبارة عن CVE بوصف من المورّد، ولا شيء مترابط، ولا يوجد سرد يشرح ما يمكن لمهاجم تحقيقه. فاختبار الاختراق يُظهر الأثر - هذه الخدمة المكشوفة تُنتج بيانات اعتماد، وهذه البيانات تصل إلى ذلك النظام الداخلي الذي يحوي تلك البيانات. وإن كان تقريركم قائمة مرتّبة بالإصدارات، فهو فحص آلي. الفرق كاملاً (بالإنجليزية).

استقلالية لا تصمد

اختبار ينفّذه فريق الهندسة، أو مزود الخدمات المُدارة الذي يشغّل البنية التحتية أيضاً، أو مورّد يقيّم منتجه هو. كل واحد من هذه يخفق في شرط الاستقلالية مهما كانت كفاءة الاختبار.

نطاق يغفل الطبقة الموجّهة للعملاء

الأنظمة الخلفية للخدمات المصرفية عبر الهاتف، وواجهات API للشركاء، وتكامل التقنية المالية الجديد الذي أُطلق بعد اعتماد النطاق. والأنظمة المتاحة عبر الإنترنت وتطبيقات الويب مذكورة صراحةً في الإطار، فالفجوة هنا إغفال مباشر لا مسألة اجتهاد.

غياب إعادة الاختبار

تقرير فيه اثنتا عشرة نتيجة عالية الخطورة دون دليل على إغلاق أيٍّ منها هو، من منظور المراجع، توثيق لمشكلة لم تُعالَج. فدورة المعالجة وإعادة الاختبار هي ما يحوّل الاختبار إلى دليل امتثال.

ما الذي يغطيه الارتباط

الأساس التنظيمي، كل عام:

• اختبار الشبكة الخارجية - البيئة المتاحة عبر الإنترنت بالكامل: الخدمات المصرفية الإلكترونية، وواجهات المدفوعات، وVPN والوصول عن بُعد، والبنية التحتية للبريد، والخوادم التي نُشرت لمشروع ولم تُسحب قط.
• اختبار تطبيقات الويب وواجهات API - المصادقة وإدارة الجلسات، والتفويض وضبط الوصول بين العملاء، ومنطق الأعمال في مسارات العمليات، والحقن، وواجهات API خلف تطبيقات الهاتف. وفي منشأة مالية تكون نتائج منطق الأعمال عادةً هي الأهم، وهي التي لا تجدها الأدوات الآلية أبداً.

ويُنصح به إلى جانب ذلك، وتدرجه معظم المنشآت في دورة سنوية أو متناوبة:

• اختبار الشبكة الداخلية - ما يصل إليه موطئ القدم فعلاً، وهل يصمد العزل بين البيئة المؤسسية وبيئة المدفوعات.
• Active Directory - استغلال ADCS وKerberoasting والتفويض ومسارات ACL إلى Domain Admin. وهكذا يتحول موطئ قدم متواضع إلى اختراق على مستوى البنك، وهو غير مرئي للاختبار الخارجي.
• السحابة - تصعيد الصلاحيات في Entra ID وAzure RBAC، والتخزين المكشوف وأخطاء إعداد الهوية، حيث انتقلت أحمال العمل.
• افتراض الاختراق - الانطلاق من موطئ قدم بدل المحيط، وهو ما يجيب على السؤال الذي يطرحه مجلس الإدارة فعلاً: إلى أي مدى يمكن أن يصل أحدهم؟

وحيث تتعاملون أيضاً مع بيانات البطاقات، يسري المتطلب 11.4 من PCI DSS بالتوازي ويتداخل بدرجة كبيرة - وبتحديد نطاقهما معاً يصبحان ارتباطاً واحداً لا اثنين.

المُخرَج

تقرير مبني على الطريقة التي تستهلكه بها المنشآت المالية فعلياً: ملخص تنفيذي يستطيع مجلس إدارتكم وجهتكم التنظيمية قراءته دون وسيط، ومتن تقني فيه خطوات إعادة الإنتاج والأدلة وتصنيفات CVSS لمهندسيكم، وربط صريح من كل نتيجة إلى ضابط الإطار المعني بها، حتى لا يضطر فريق الامتثال لديكم إلى بناء هذا الربط بنفسه.

ثم الأجزاء التي تحوّل التقرير إلى دليل: دعم المعالجة أثناء الإصلاح، وإعادة اختبار النتائج المغلقة، وخطاب إقرار يذكر أن الاختبار نُفّذ، ومن نفّذه، وعلى أي نطاق، وفي أي تواريخ. وكلها مشمولة. ويوجد نموذج تقرير يبيّن الشكل.

من ينفّذ الاختبار

تتعامل مع المختبِر مباشرةً - لا مدير حسابات، ولا مبتدئ يشغّل الأدوات تحت اسم خبير على الفاتورة، ولا انتظار ثلاثة أسابيع بين الاختبار والتقرير. وبالنسبة لموعد تنظيمي نهائي، هذه المباشرة هي عادةً ما يجعلك تلتزم بالموعد.

أما الشهادات، فهذا سؤال يُطرح دائماً في مشتريات القطاع المالي: OSCP+ وeCPPT وeWPT وeCIR، إضافةً إلى AZ-500 وSC-200 وSC-300 للجزء الخاص بـ Microsoft وAzure - وجميعها قابلة للتحقق عبر محفظة شهادات OffSec. وقبل التفرغ للعمل الهجومي كنت مهندس اكتشاف ومحلل استخبارات تهديدات، وهي خلفية مفيدة في هذا القطاع تحديداً: فالتقرير لا يخبركم كيف يعمل مسار الهجوم فحسب، بل كيف كان سيبدو في نظام SIEM لديكم، وهل كانت مراقبتكم ستلتقطه.

أعمل عن بُعد من عمّان على توقيت GMT+3، بنفس ساعات العمل وأسبوع العمل في الرياض، بالعربية أو الإنجليزية.

كيف تبدأ

أخبرني بنوع ترخيصكم، وما يشمله النطاق، وموعد اكتمال الاختبار المطلوب. وستحصل على عرض سعر ثابت وتاريخ بدء. وإن كانت دورتكم السنوية تقترب وأردتم رؤية تعرّضكم الخارجي الحالي أولاً، فإن الفحص الخارجي المجاني يستغرق دقائق.

ذات صلة: اختبار الاختراق في السعودية لكيفية تكامل SAMA مع NCA ECC، والضابط 2-11 إن كان عليكم التزام حكومي أيضاً، ونظرة عامة على الامتثال لما عدا ذلك. تواصل معي - بالعربية مرحّب بك.