إجراء اختبارات الاختراق لتعزيز أمان تطبيقات الويب وشبكة تقنية المعلومات لشركة Apifonica

ملخص المشروع

أجرت ساينس سوفت اختبارات الاختراق بطرق الصندوق الأسود والصندوق الأبيض والصندوق الرمادي لشبكة تقنية المعلومات وتطبيقات الويب، بالإضافة إلى حملة تصيد احتيالي باستخدام البريد الإلكتروني لشركة كبرى لحلول الاتصالات الذكية. ونتيجة لذلك، تمكن العميل من تعزيز وضع أمن تقنية المعلومات لديه وضمان الحماية الفائقة لبيانات عملائه بما يتوافق مع متطلبات اللائحة العامة لحماية البيانات (GDPR) ومعيار الأيزو 27001.

نبذة عن Apifonica

Apifonica شركة يقع مقرها في إستونيا متخصصة في تقنيات الاتصالات الذكية. وتعمل الشركة في 9 دول في أوروبا، وتزود الشركات بحلول آلية للتواصل السريع والفعّال من حيث التكلفة مع العملاء، مثل: الروبوتات الصوتية الذكية، والرسائل النصية القصيرة، والاتصال الهاتفي العالمي. وتساعد منتجات شركة Apifonica العملاء على تحسين عملياتهم التجارية، وزيادة معدل اكتساب العملاء وتحويلهم، ورفع مستوى رضا العملاء.

بهدف تحسين آليات الدفاع السيبراني لدى الشركة وحماية بيانات عملائها وفقًا لمتطلبات نظام GDPR ومعيار الأيزو 27001، قررت شركة Apifonica تقييم أمان شبكة تقنية المعلومات، وتطبيقات الويب المستخدمة لدعم عملياتها الداخلية، بالإضافة إلى منتجاتها البرمجية، وذلك للكشف عن الثغرات الأمنية المحتملة ومعالجتها. لذا، بدأت رحلة العميل للبحث عن شريك تقني موثوق يمكنه التواجد فعليًا في دول الاتحاد الأوروبي لإجراء الاختبارات الأمنية اللازمة لتنفيذ المشروع. منح العميل ثقته لساينس سوفت لخبرتها الممتدة لأكثر من 20 عامًا في مجال الأمن السيبراني، ولسجلها الحافل بالمشروعات الناجحة في إجراء اختبارات الأمان، ولامتلاكها مكاتب في دول الاتحاد الأوروبي، وكذلك لاعتمادها بشهادة الأيزو 27001 وخبرتها الواسعة في الامتثال لمتطلبات نظام GDPR.

إجراء اختبارات الاختراق لتطبيقات الويب والشبكة الداخلية

طلب العميل من فريق ساينس سوفت إجراء اختبارات اختراق شاملة للتطبيقات والشبكة الداخلية لديه مع التركيز على حلول الاتصالات لديه. للحصول على رؤية شاملة للثغرات الأمنية الحالية واستكشاف جميع السيناريوهات المحتملة للهجمات السيبرانية، قررت ساينس سوفت استخدام جميع طرق اختبارات الاختراق الرئيسية الثلاثة: طريقة الصندوق الأسود، والصندوق الرمادي، والصندوق الأبيض. صمم فريقنا إجراءات الاختبارات ونفذها على ثلاث مراحل متتالية، على النحو التالي:

• اختبار الصندوق الأسود: لتطبيقات الويب وواجهات برمجة التطبيقات التي تدعم العمليات الداخلية لشركة Apifonica. أجرى فريقنا الاختبارات أولًا على تطبيقات الويب وواجهات برمجة التطبيقات المستهدفة دون أي معلومات مسبقة عنها. وقد أجرى فريقنا محاكاة دقيقة لهجمات الاختراق في العالم الحقيقي للكشف عن نقاط الضعف التي يمكن أن تكون بمثابة ثغرات لتجاوز المحيط الأمني الخارجي لأنظمة شركة Apifonica.
• اختبار الصندوق الرمادي للشبكة الداخلية: في هذه المرحلة، حصل مهندسو الأمان في فريق ساينس سوفت على معلومات محدودة عن الشبكة الداخلية لشركة Apifonica، وبيانات اعتماد المستخدم والبنية البرمجية للشبكات، وأجروا اختبار الاختراق لـ76 عنوان IP. كما استكشف مهندسونا الثغرات الأمنية التي يمكن أن يستغلها المخترقون المحتملون للتسلل إلى البيانات الحساسة وأصول تقنية المعلومات للشركة بمجرد دخولهم إلى النظام.
• اختبار الصندوق الأبيض للمنتجات البرمجية: قدم العميل لخبرائنا في الاختبارات الأمنية امتيازات المسؤولين ومعلومات كاملة عن حلول الاتصالات في Apifonica للكشف عن جميع المشكلات الأمنية المحتملة. وتمكن فريقنا من استكشاف الكود المصدري لتطبيقات الويب وواجهات برمجة التطبيقات وإجراء الاختبارات المستهدفة لتحديد جميع مسببات الهجمات المحتملة.

وبعد إجراء الاختبارات، قدم فريقنا لشركة Apifonica تقريرًا مفصلًا عن الثغرات الأمنية المكتشفة، بما في ذلك:

• ضعف آليات المصادقة أو عدم تواجدها.
• ثغرات التحكم في الوصول: يمكن لأي مستخدم الاطلاع على معلومات مستخدم آخر أو تعديلها دون الحاجة إلى الحصول على إذن.
• غياب الحماية اللازمة من هجمات brute-force أو ما يعرف بهجمات القوة الغاشمة (على سبيل المثال: حدود معدل الطلب أو إغلاق الحساب بعد عدد معين من المحاولات الفاشلة لتسجيل)، ما يسمح للمهاجمين المحتملين بالحصول على بيانات اعتماد المستخدم أو أي معلومات حساسة أخرى.
• وجود العديد من الثغرات الأمنية المعروفة في البرمجيات القديمة، ما يسمح للمخترقين المحتملين بتنفيذ هجمات التعليمات البرمجية عن بُعد، والكشف عن المعلومات، وإجراء هجمات حجب الخدمة.
• الافتقار إلى حماية الاتصالات بسبب استخدام بروتوكول TCP Port 80 الذي أرسل استجابات غير مشفرة.

اكتشف فريقنا 18 ثغرة أمنية وصنفها حسب شدتها واحتمالية استغلالها، ما يسمح لفريق شركة Apifonica بترتيب خطوات المعالجة حسب أولويتها. كما قدم فريقنا للعميل إرشادات تفصيلية عن التدابير التصحيحية اللازمة لتحقيق الأمان الفائق لتقنية المعلومات في الشركة، مثل:

• تطبيق آليات قوية لمصادقة البيانات.
• تنفيذ آلية تحديد معدل الطلب وتمكين إغلاق الحساب.
• إجراء مراجعة لنظام المعرف الفريد العالمي (UUID) وتنفيذ فحوصات المصادقة الإضافية.
• تحديث البرمجيات المعرضة للمخاطر الأمنية وتصحيحها أمنيًا.
• استخدام Port 443 بدلًا من Port 80.

استرشادًا بالتقرير وخارطة طريق معالجة الثغرات الأمنية التي قدمتها ساينس سوفت للعميل، تمكن فريق شركة Apifonica من معالجة الثغرات المكتشفة على الفور. وبعد إعادة فريقنا إجراء الاختبارات، أصبح لدى شركة Apifonica دليلًا قويًا على زيادة حماية البيانات وفقًا لمتطلبات نظام GDPR والأيزو 27001.

حملة التصيد الاحتيالي باستخدام البريد الإلكتروني

لتجنب الخطأ البشري والإهمال الذي قد يؤدي إلى دمار حتى أقوى أنظمة أمن تقنية المعلومات، أرادت شركة Apifonica التحقق من قدرة موظفيها على مقاومة هجمات الهندسة الاجتماعية. لتحقيق ذلك، أجرى فريق ساينس سوفت محاكاة لهجمات التصيد الاحتيالي باستخدام رسائل البريد الإلكتروني عن طريق إرسال روابط خبيثة ونماذج مزيفة لتسجيل الدخول لموظفي الشركة. وقد كشف فريقنا عن العديد من حالات إهمال الموظفين التي يمكن أن تؤدي إلى حدوث خرق أمني.

ونتيجة لحملة الهندسة الاجتماعية التي نفذتها ساينس سوفت، قدم خبراؤنا لفريق شركة Apifonica توصيات عملية لتدريب الموظفين ساعدتهم كثيرًا على تعزيز الوعي بالأمن السيبراني بين الموظفين وتعزيز قدرتهم على مواجهة هجمات التصيد الاحتيالي.

27001.

أهم المنجزات التي حققناها للعميل

• تعزيز أمان شبكة تقنية المعلومات وتطبيقات الويب المستخدمة لدعم العمليات الداخلية للشركة ومنتجاتها البرمجية بفضل إجراء اختبارات الاختراق الشاملة بطرق الصندوق الأسود والصندوق الرمادي والصندوق الأبيض، والمبادئ التوجيهية العملية التي قدمتها ساينس سوفت للعميل بشأن معالجة الثغرات الأمنية المكتشفة.
• تعزيز الوعي بالأمن السيبراني لدى الموظفين بفضل اختبار الهندسة الاجتماعية ومتابعة توصيات تدريب الموظفين التي قدمتها ساينس سوفت.
• ضمان الحماية الفائقة لبيانات العملاء وفقًا لمتطلبات نظام GDPR ومعيار الأيزو 27001.
• تعزيز سمعة الشركة كمورد لحلول الاتصالات الآمنة وزيادة ثقة العملاء.