الموارد · الأمن السيبراني
ما هو فحص سطح الهجوم الخارجي (external attack surface)، ومن يحتاج إليه، وكم يكلّف؟
الإجابة المختصرة
يجرد فحص سطح الهجوم الخارجي (external attack surface assessment، EASM) كل ما تعرضه المؤسسة على الإنترنت، النطاقات والنطاقات الفرعية والبنية التحتية للبريد والمنافذ المفتوحة ولوحات الإدارة، من موقع المهاجم لا من الداخل، ويرتّبه حسب المخاطر. ينبغي لكل مؤسسة لديها موقع إلكتروني وبريد وخادم واحد على الأقل إجراؤه. في ArveNova يبدأ التقييم الموقّع لسطح الهجوم الخارجي من €2,200 (غير شامل الضريبة)؛ ويُؤكَّد السعر النهائي بعد مكالمة قصيرة لتحديد النطاق وفقاً لعدد الأصول والنطاق.
ما هو سطح الهجوم (attack surface) بالضبط؟
سطح الهجوم (attack surface) هو مجموع نقاط الدخول التي قد يجرّبها المهاجم للوصول إليكم. يشمل سطح الهجوم الداخلي الأنظمة التي يُوصَل إليها من الداخل، مثل حواسيب الموظفين والشبكة الداخلية وActive Directory. أما سطح الهجوم الخارجي (external attack surface) فهو الجزء الذي يستطيع أي شخص على الإنترنت رؤيته:
- النطاقات والنطاقات الفرعية (بما فيها السجلات المنسية مثل
vpn.وmail.وtest.وold-portal.) - المنافذ المفتوحة والخدمات العاملة عليها (RDP وSSH وقواعد البيانات والإدارة عن بُعد)
- تطبيقات الويب ولوحات الإدارة ونقاط نهاية API
- بنية البريد الإلكتروني: سجلات SPF وDKIM وDMARC، وخطر الانتحال الناتج عن غيابها
- شهادات TLS، بما فيها المنتهية الصلاحية أو المهيّأة بشكل خاطئ
- نطاقات lookalike / typosquat التي تقلّد علامتكم التجارية
معظم الهجمات لا تبدأ بثغرة zero-day متطورة، بل بعنصر منسيّ من هذه القائمة: جهاز VPN بلا patch، أو نطاق بلا DMARC، أو خادم اختبار لم يعد أحد يتذكره.
كيف يُجرى الفحص، وهل يمكن أن يضرّ بأنظمتنا؟
هناك نوعان من التقييم، والفرق بينهما مهم:
التقييم السلبي لا يقرأ إلا المصادر العامة: سجلات DNS وسجلات Certificate Transparency وWHOIS ومحركات البحث. لا تُرسَل حزمة واحدة إلى أنظمتكم، لذا لا يحتاج إلى إذن ولا يحمل أي خطر لتوقف الخدمة. ويعمل موصّل (connector) Fjordex (MCP) ضمن هذا النوع.
التقييم النشط يُجري فحص المنافذ والكشف عن إصدارات الخدمات ومطابقة ثغرات CVE المعروفة؛ فهو يتصل بأنظمتكم لكنه لا يشغّل أي exploit. ويتطلب تفويضاً كتابياً، ويُتفق معكم على نافذة الاختبار.
وبعدهما يأتي تحقق الاختراق: تحقق يدوي غير مدمّر من النتائج الحرجة. لا تُنفَّذ هذه الخطوة إلا بموجب قواعد اشتباك (Rules of Engagement) موقّعة واتفاقية عدم إفصاح (NDA)، وتُسعَّر بشكل منفصل.
من يحتاج إليه؟
القاعدة المختصرة: إذا كان لديكم أي شيء مكشوف على الإنترنت فلديكم سطح هجوم خارجي (external attack surface)، وهناك من يفحصه بالفعل. الحالات الأكثر إلحاحاً هي:
- الشركات الصغيرة والمتوسطة (شمال قبرص وتركيا): معظمها بلا فريق لتقنية المعلومات، والبنية التحتية موزّعة بين مزوّدين خارجيين، ولا أحد يرى الصورة كاملة. أكثر النتائج شيوعاً: إمكانية إرسال رسائل فواتير مزيفة باسم الشركة بسبب غياب DMARC، وكشف RDP على الإنترنت، ونطاقات فرعية بلا مالك واضح.
- الجامعات: عشرات الكليات، ومئات النطاقات الفرعية، ومشاريع الطلاب، وخدمات أُوقفت لكنها لا تزال في DNS. سطح الهجوم كبير ومبعثر، وبناء الجرد له قيمة بحد ذاته.
- المستشفيات والعيادات: بيانات المرضى، والتزامات KVKK/GDPR، وعمليات لا تحتمل التوقف. وكون الفحص السلبي لا يمسّ أي نظام على الإطلاق ميزة حاسمة هنا.
- البلديات والجهات العامة: خدمات المواطنين، والاعتماد الكبير على المراسلات بالبريد الإلكتروني، ومخاطر السمعة.
- المؤسسات التي تواجه متطلبات التأمين السيبراني أو المناقصات: تطلب شركات التأمين والعملاء الكبار بشكل متزايد تقرير تقييم خارجي مستقل.
كم يكلّف؟ أسعار ArveNova
الأرقام أدناه أسعار ابتدائية باليورو وغير شاملة الضريبة. يُقدَّم السعر النهائي كتابياً بعد تأكيد عدد الأصول والنطاق في مكالمة تحديد النطاق. يمكن شراء المستويات منفصلة أو معاً؛ ويبدأ كل عمل بنطاق مكتوب وتفويض موقّع (ROE).
| المستوى | النطاق | المخرجات | السعر الابتدائي |
|---|---|---|---|
| المستوى 1 تقييم سطح الهجوم الخارجي | اكتشاف النطاقات والنطاقات الفرعية، المنافذ والخدمات المفتوحة، SPF/DKIM/DMARC، وضع TLS، نطاقات typosquat، لوحات الإدارة المكشوفة، مطابقة الثغرات المعروفة (CVE). خارجي ودون تسجيل دخول. | تقرير موقّع (بالتركية؛ وبالإنجليزية عند الطلب)، نتائج مرتبة حسب الأولوية وخطوات المعالجة؛ خط الأساس للمستويات التالية | ابتداءً من €2,200 |
| المستوى 2 اختبار أمان تطبيقات الويب وواجهات API | اختبار يدوي للصلاحيات في الأنظمة التي تتطلب تسجيل الدخول (بوابات العملاء، التجارة الإلكترونية، أنظمة الحجز والتقديم، LMS): IDOR والتحكم في الوصول، تفويض API، المصادقة والجلسات، رفع الملفات، XSS المخزّن. بموجب تفويض كتابي وحساب اختبار. | تقرير لكل منصة | ابتداءً من €2,800 / منصة |
| المستوى 3 تقييم وضع أمان Active Directory | داخل الشبكة، ببيانات اعتماد وفي وضع القراءة فقط: حسابات قابلة لـ Kerberoast وAS-REP، سياسة كلمات مرور ضعيفة، إعدادات خاطئة لشهادات ADCS. تُخطَّط مسارات الهجوم ولا تُنفَّذ؛ ليس اختبار اختراق داخلياً. | تقرير وضع أمان AD | ابتداءً من €1,750 لنطاق واحد؛ متعدد الحرم الجامعي: اطلب عرض سعر |
| المستوى 4 المراقبة الدورية | تكرار دوري لتقييم خط الأساس؛ ما الذي تغيّر منذ الفترة السابقة: خدمات ومنافذ ونطاقات فرعية جديدة، نتائج مغلقة ومفتوحة. يُحدَّد حد الأصول كتابياً في عرض السعر. | تقرير شهري بالتغييرات | ابتداءً من €99 / شهر آلي، ابتداءً من €299 / شهر بمراجعة خبير؛ يتطلب خط أساس المستوى 1 |
| التحقق اليدوي من النتائج إضافة للمستوى 1 | تحقق عملي من النتائج الحرجة والعالية بموجب تفويض كتابي، مع الأدلة؛ تُؤكَّد كل نتيجة أو تُعلَّم كإنذار كاذب. | ملحق موقّع لتقرير المستوى 1 | ابتداءً من €900، لما يصل إلى 5 نتائج |
على ماذا يعتمد السعر؟ في الجانب الخارجي، على عدد الأصول المرئية من الإنترنت: النطاقات والنطاقات الفرعية وعناوين IP العامة والخدمات. لا يحدد عدد الموظفين أو الحواسيب السعر الخارجي مباشرة؛ يُسعَّر المستوى 3 (Active Directory) حسب عدد المستخدمين والحرم الجامعية، والمستوى 2 حسب عدد المنصات.
اختبار الاختراق: خدمة منفصلة خارج المستويات أعلاه. يُحدَّد السيناريو والمنهجية والمخرجات كتابياً لكل مشروع؛ ويُحدَّد النطاق والسعر في عرض السعر. اطلبوا عرض سعر.
المراقبة المستمرة: مراقبة على مدار الساعة عبر وكيل (agent) يُثبَّت على أجهزتكم الطرفية (endpoints)، وهي خدمة منفصلة عن المستوى 4. يُحدَّد النطاق وتاريخ البدء والسعر في عرض السعر. اطلبوا عرض سعر.
كيف يبدو التقرير؟ نموذج لنتيجة
لكل نتيجة البنية نفسها: العنوان، ودرجة الخطورة (تُحسب من متجه CVSS ولا تُحدَّد يدوياً أبداً)، ودرجة الثقة، والدليل، ورؤية المهاجم (RED)، والحل (BLUE). نموذج للتنسيق من التقرير الموقّع (ليس تشغيلاً حقيقياً):
[F-03] مكوّن ويب قديم، Apache httpd 2.4.49
الخطورة: حرجة (CVSS 9.8، المصدر الأساسي NVD)
CVE: CVE-2021-41773 · CWE-22
الثقة: CONFIRMED · الأصل: https://target.example:443
RED: اجتياز المسار، ظروف لقراءة الملفات عن بُعد.
BLUE: الترقية إلى الإصدار 2.4.51 أو أحدث.تعمل مطابقة CVE بمقارنة إصدار الخدمة المكتشف مع مجموعة بيانات CVE مستندة إلى NVD؛ وتُفصَل المطابقات التي تعتمد على نطاق من الإصدارات تحت وسم «غير مؤكَّد»، ولا تُطابَق الأصول الموجودة خلف استضافة مشتركة أو CDN مع ثغرات CVE. أما النموذج الثاني أدناه فمن فحص أمان البريد الإلكتروني في موصّل (connector) Fjordex:
{
"id": "email.dmarc_missing",
"title": "لا يوجد سجل DMARC",
"severity": "high",
"evidence": "لم يُعثر على سجل TXT لـ _dmarc.example-company.com.",
"recommendation": "ابدأ بالإبلاغ عبر p=none، وانتقل إلى p=quarantine بعد 2-4 أسابيع، ثم إلى p=reject.",
"category": "email"
}ما يعنيه هذا السطر الواحد: يستطيع أي شخص الآن إرسال فواتير مزيفة إلى عملائكم من accounts@example-company.com، ولن ترفضها خوادم البريد المستقبِلة. الحل سجل DNS واحد، لكن إن لم ينبّه إليه أحد يبقى مفتوحاً لسنوات.
كم مرة ينبغي تكرار الفحص؟
سطح الهجوم الخارجي (external attack surface) ليس ثابتاً: اشتراك SaaS جديد، أو نطاق فرعي فُتح لحملة تسويقية، أو تغيير مزوّد الاستضافة، كل ذلك يغيّر السطح. النصيحة العملية: تقييم كامل واحد سنوياً (المستوى 1)، مع مراقبة delta شهرية بينهما (المستوى 4). وبالنسبة للأسطح الكبيرة كالمستشفيات والجامعات، تساوي المراقبة الشهرية أكثر من فحص لمرة واحدة، لأن المشكلات تظهر عادةً في العناصر «المفتوحة حديثاً».
هل تحتاجون إلى تقييم موقّع؟
تواصلوا معنا للحصول على تقرير موقّع والتحقق من النتائج والمراقبة المنتظمة. يُؤكَّد السعر النهائي بعد مكالمة قصيرة لتحديد النطاق.
الأسئلة الشائعة
ما الفرق بين فحص سطح الهجوم الخارجي (external attack surface) واختبار الاختراق؟
ينتج فحص سطح الهجوم (attack surface) جرداً وترتيباً للمخاطر: ما الذي يظهر من أصولكم من الخارج، وأيّه ينطوي على خطر. أما اختبار الاختراق فيثبت يدوياً أن إحدى نقاط الضعف هذه قابلة للاستغلال فعلاً. الأول واسع وسريع، والثاني ضيق وعميق. ومن دون فحص، لا يكون لاختبار الاختراق هدف.
هل يحتاج الفحص السلبي إلى إذن؟
لا. يقرأ الفحص السلبي سجلات DNS والشهادات العامة فقط، ولا يتصل بأنظمتكم. ومع ذلك، لا ينبغي تشغيله إلا على النطاقات التي تديرونها أو المصرّح لكم بتقييمها. أما الفحص النشط وتحقق الاختراق فيتطلبان تفويضاً كتابياً.
هل تُصلَح النتائج ضمن الفحص؟
يتضمن التقرير حلاً ملموساً لكل نتيجة (مثل سجل DNS يجب إضافته، أو منفذ يجب إغلاقه، أو إصدار يجب ترقيته). ويمكن لفريق تقنية المعلومات لديكم أو لمزوّد الاستضافة تطبيق الحلول؛ وعند الطلب تقدّم ArveNova أيضاً دعماً في التنفيذ يُسعَّر بشكل منفصل.
على ماذا يعتمد السعر؟
على عدد الأصول المرئية من الخارج: النطاقات والنطاقات الفرعية وعناوين IP العامة والخدمات. لا يحدد عدد الموظفين أو الحواسيب السعر الخارجي مباشرة؛ يُسعَّر المستوى 3 (Active Directory) حسب عدد المستخدمين والحرم الجامعية، والمستوى 2 حسب عدد المنصات. يُقدَّم السعر النهائي كتابياً بعد مكالمة قصيرة لتحديد النطاق.
نحن شركة صغيرة لدينا موقع إلكتروني فقط. هل نحتاج إلى هذا؟
إذا كان لديكم موقع إلكتروني وعنوان بريد، فلديكم سطح هجوم خارجي. أكثر المشكلات شيوعاً وأرخصها إصلاحاً لدى الشركات الصغيرة هي ثغرة انتحال البريد الإلكتروني. نقطة البداية هي المستوى 1؛ ويُؤكَّد السعر بعد مكالمة قصيرة لتحديد النطاق وفقاً لعدد الأصول.
بأي لغة يكون التقرير؟
تقرير المستوى 1 باللغة التركية وموقّع؛ ويُسلَّم بصيغ .md وPDF وDOCX. تُعدّ تقارير المراقبة بالتركية والإنجليزية. وتتوفر نسخة إنجليزية من تقرير المستوى 1 عند الطلب.