شکارچیانِ آسیب‌پذیری

چطور کار می‌کنیم

روش کار ما ترکیبی از سه چیز است که هر کدام کار متفاوتی می‌کنند و جای هم را نمی‌گیرند: یک راهنمای پوشش فنی، یک تاکسونومی ریسک، و یک چارچوب برای ساختار خودِ پروژه.

• پوشش فنی — OWASP WSTG. نسخه‌ی پایدار جاری این راهنما v4.2 است و حدود ۹۷ آزمون را در ۱۲ دسته تعریف می‌کند: جمع‌آوری اطلاعات، پیکربندی و استقرار، مدیریت هویت، احراز هویت، مجوزدهی، مدیریت نشست، اعتبارسنجی ورودی، مدیریت خطا، رمزنگاری ضعیف، منطق کسب‌وکار، آزمون سمت کلاینت و API. صادقانه بگوییم: این نسخه از سال ۲۰۲۰ منتشر شده و نسخه‌ی ۵ هنوز در دست توسعه است؛ با این حال همچنان دقیق‌ترین فهرست پوشش آزمون وب است که مرجع عمومی دارد.
• رده‌بندی ریسک — OWASP Top 10:2025 و CWE. هر یافته علاوه بر عنوان، به یک دسته‌ی Top 10 نسخه‌ی جاری و یک شناسه‌ی CWE نگاشت می‌شود. این کار گزارش‌های چند پیمانکار را قابل مقایسه و ممیزی را قابل دفاع می‌کند.
• شدت — CVSS. نمره‌دهی با CVSS v4.0 انجام می‌شود و در گزارش می‌نویسیم نمره بر چه پایه‌ای محاسبه شده است. اگر ابزار مدیریت ریسک شما هنوز با v3.1 کار می‌کند، همان را می‌دهیم و صریح ذکرش می‌کنیم. جزئیات این چارچوب در صفحه‌ی CVSS دانشنامه آمده است.
• ساختار پروژه — PTES و NIST SP 800-115. فازهای پیش از تعامل، شناسایی، مدل‌سازی تهدید، تحلیل، بهره‌برداری کنترل‌شده و گزارش، اسکلت کار را می‌سازند. متن کامل مراحل را در متدولوژی تست نفوذ شرح داده‌ایم.

و یک تصریح که به آن پایبندیم: «گواهی OWASP»، «انطباق با PTES» یا «مجوز OSSTMM» وجود ندارد. این‌ها متدولوژی‌اند، نه طرح صدور گواهی. هر شرکتی که چنین عنوانی را روی خودش بگذارد، یا اصطلاح را نمی‌شناسد یا امیدوار است شما نشناسید. آنچه قابل ادعا و قابل بررسی است پوشش است — اینکه چه آزمونی اجرا شد، چرا، و با چه نتیجه‌ای.

ابزار در جای خودش، نه بیشتر

از ابزار خودکار استفاده می‌کنیم و پنهانش نمی‌کنیم؛ اما ابزار برای سرعت‌بخشیدن به پوشش است، نه برای تولید یافته. مهم‌ترین دسته‌ی یافته‌ها — نقص کنترل دسترسی و باگ منطق کسب‌وکار — چیزی است که هیچ اسکنری نمی‌تواند بشناسد، چون قواعد کسب‌وکار شما را نمی‌داند. ابزار نمی‌داند کاربر با نقش «حسابدار» نباید فاکتور شعبه‌ی دیگر را ببیند؛ این را فقط کسی می‌فهمد که مدل نقش‌ها را خوانده و هر اندپوینت را با هر نقش آزموده باشد. به همین دلیل خروجی خام اسکنر هیچ‌وقت به گزارش ما راه نمی‌یابد: هر یافته پیش از ثبت، دستی اعتبارسنجی می‌شود.

چارچوب اخلاقی و حقوقی همکاری

مرز میان تست نفوذ و نفوذ غیرمجاز، مهارت فنی نیست؛ مجوز کتبی است. سه شرط پیش از شروع هر پروژه برای ما غیرقابل مذاکره است:

• مجوز مکتوب و امضاشده. فهرست دقیق دارایی‌های در دامنه، بازه‌ی زمانی مجاز و نام امضاکننده‌ی دارای اختیار. هر چیزی که در پیوست فنی نیامده باشد، آزموده نمی‌شود. بندهای لازم را در نمونه قرارداد تست نفوذ فهرست کرده‌ایم.
• توافق‌نامه‌ی عدم افشا (NDA). داده و یافته‌ها محرمانه‌اند، انتقال گزارش از مسیر امن انجام می‌شود و مدت نگه‌داری شواهد و زمان امحای آن‌ها از پیش عدد مشخصی دارد، نه «تا اطلاع ثانوی».
• قواعد تعامل. پیش‌فرض حرفه‌ای ما این است که آزمون اختلال سرویس، مهندسی اجتماعی روی کارکنان و هر تغییر یا حذف داده‌ی واقعی ممنوع است، مگر آنکه صریحاً و کتباً توافق شده باشد.

در همین چارچوب، کارهایی هست که انجام نمی‌دهیم و درخواستش را هم نمی‌پذیریم: دسترسی به حساب، دستگاه یا سامانه‌ی شخصی که متعلق به درخواست‌کننده نیست، بازیابی حسابی که مالکش نیستید، یا هر آزمونی روی دارایی‌ای که مجوز مکتوب مالکش را نداریم. اگر خارج از یک قرارداد، آسیب‌پذیری‌ای در سامانه‌ی شما پیدا کنیم، از مسیر افشای مسئولانه گزارش می‌دهیم و منتشرش نمی‌کنیم.

چرا یک کسب‌وکار باید به ما اعتماد کند

اعتماد در این حوزه با شعار ساخته نمی‌شود؛ با چیزهایی ساخته می‌شود که مشتری بتواند بررسی‌شان کند. آنچه ما در اختیار می‌گذاریم این‌هاست: دامنه و قواعد مکتوب پیش از شروع، مستندسازی همه‌ی آزمون‌ها حتی وقتی چیزی پیدا نشده باشد، شواهد بازتولیدپذیر برای هر یافته، تفکیک گزارش فنی از خلاصه‌ی مدیریتی، و تست مجدد پس از رفع. اگر یافته‌ای در زمان آزمون قابل اثبات نبود، همین را می‌نویسیم؛ ننوشتن، گزارش را قوی‌تر نمی‌کند، فقط بی‌اعتبارش می‌کند.

ما هم مثل هر تیم دیگری محدودیت داریم و آن را پنهان نمی‌کنیم: تست نفوذ عکسی از یک لحظه است، نه بیمه‌نامه. هر بار که کدی منتشر می‌شود، سطح حمله دوباره تغییر می‌کند. برای همین معمولاً ترکیبی را پیشنهاد می‌کنیم: ارزیابی دوره‌ای، آموزش توسعه‌ی امن برای تیم فنی تا ریشه‌ی یافته‌های تکرارشونده بسته شود، و در صورت آمادگی سازمان، لایه‌ی پیوسته‌ی باگ‌بانتی. نمونه‌ی نوع سازمان‌هایی که با آن‌ها کار کرده‌ایم را در صفحه‌ی مشتریان آورده‌ایم و ساختار خروجی نهایی را در گزارش تست نفوذ شرح داده‌ایم.