الاختبار الديناميكي
لأمن التطبيقات

يحلل SAST (الاختبار الساكن لأمن التطبيقات) شيفرتك المصدرية دون تشغيلها، فيكتشف الثغرات مبكراً على مستوى الشيفرة. أما DAST (الاختبار الديناميكي لأمن التطبيقات) فيختبر تطبيقك قيد التشغيل من الخارج كما يفعل المهاجم الحقيقي، فيكتشف مشكلات وقت التشغيل مثل إعدادات الخادم الخاطئة وعيوب المصادقة ونقاط الحقن القابلة للاستغلال التي لا تظهر إلا في بيئة حية. تجمع Offensive360 الاثنين في منصة واحدة، فتغطي الشيفرة ووقت التشغيل دون شراء أداتين.

يشغّل المحرك أكثر من 40 فحصاً نشطاً للاستغلال و19 محللاً سلبياً في كل فحص. تغطي الفحوصات النشطة حقن SQL (القائم على الأخطاء والمنطقي والزمني)، وXSS المنعكس والمخزّن والقائم على DOM والأعمى، وSSRF وXXE وحقن أوامر نظام التشغيل واجتياز المسارات وحقن القوالب من جانب الخادم والعميل وSSI وحقن LDAP وXPath وNoSQL ولغات التعبير، وحقن CRLF وترويسات البريد، وحقن ترويسة المضيف، وتلويث معاملات HTTP، وتلويث النموذج الأولي، وإلغاء التسلسل غير الآمن، وتهريب طلبات HTTP، وتسميم ذاكرة التخزين المؤقت للويب، وCSRF، وسوء إعداد JWT وإعادة التشغيل، وتثبيت الجلسة، ورفع الملفات غير المقيد، والملفات والشيفرة المصدرية المكشوفة، وبيانات الاعتماد الافتراضية، وتسميم إعادة تعيين كلمة المرور، وإعادة التوجيه المفتوحة، وTLS الضعيف، واستبطان GraphQL، وIDOR/BOLA، وغياب التصريح على مستوى الوظيفة (BFLA)، والإسناد الجماعي، ونقاط ضعف جرد واجهات API واستهلاك الموارد. وتغطي المحللات السلبية CORS وترويسات الأمان وأعلام ملفات تعريف الارتباط واختطاف النقرات والأسرار في الاستجابات والعناوين وكشف الإصدارات والتحكم في التخزين المؤقت والاستيلاء على النطاقات الفرعية ورموز مكافحة CSRF وتسرب الأخطاء وسرد المجلدات والمحتوى المختلط وخرائط المصدر المكشوفة وعشوائية رموز الجلسة وغياب تحديد معدل تسجيل الدخول وأمن النماذج والمكونات المعرضة للثغرات أو القديمة. وتضيف حزم البصمات مطابقة CVE المعروفة لـ WordPress وJoomla وDrupal وأطر العمل الشائعة.

نعم. يدعم Offensive360 DAST الفحص المصادق عليه: تسجيل الدخول عبر النماذج، وجلسات الرموز وملفات تعريف الارتباط، وتدفقات تسجيل الدخول متعددة الخطوات، والاختبار القائم على الأدوار عبر مستويات الصلاحيات. وبما أن معظم سطح هجوم التطبيق يقع خلف المصادقة، يرفع ذلك التغطية عادةً من نحو 20% إلى 90% من التطبيق.

نعم. يصيّر زاحف Chromium بلا واجهة تطبيقات الصفحة الواحدة كثيفة JavaScript لاكتشاف المسارات والنماذج واستدعاءات API التي لا يراها عنكبوت HTTP البسيط أبداً. وتُفحص نقاط GraphQL لكشف الاستبطان، وتُختبر واجهات REST وGraphQL للحقن والتصريح المكسور على مستوى الكائن والإسناد الجماعي وغياب ضوابط استهلاك الموارد. وتُؤكَّد الثغرات العمياء وخارج النطاق، مثل SSRF وXXE وXSS الأعمى، عبر خدمة استدعاء خارج النطاق (OAST) مستضافة ذاتياً، فلا يشارك أي خادم متعاون من طرف ثالث.

نعم. للتطبيقات التي تضم روبوتات دردشة أو واجهات API مدعومة بالنماذج اللغوية أو ميزات RAG سطح هجوم جديد تفوّته أدوات الفحص التقليدية. يختبر Offensive360 التطبيقات المدعومة بالذكاء الاصطناعي مقابل OWASP Top 10 for LLM Applications (2025): حقن الأوامر (الخطر الأول) وكسر القيود وتسريب أوامر النظام وسوء معالجة المخرجات وكشف المعلومات الحساسة، إلى جانب فئات ثغرات الويب وواجهات API الكلاسيكية.

تُتحقق النتائج بحمولات استغلال حقيقية ويُبلَّغ عنها مع أدلة الطلب والاستجابة التي تثبتها، فترى بالضبط ما أُرسل وما عاد. تعيد المدققات بعد الفحص التحقق من كل نتيجة، وتعلّم مرحلة فرز مدعومة بالذكاء الاصطناعي أي شيء يبدو إنذاراً كاذباً، ويجب أن يُنتج كل إصدار من المحرك صفر نتائج مقابل تطبيقات تحكم نظيفة قبل إطلاقه. والوضع الآمن مفعّل افتراضياً، فلا يُلحق التحقق ضرراً بالهدف أبداً.

تتشارك محركاً واحداً. فحص DAST هو الاختبار الحتمي لهدف في لحظة زمنية. ويشغّل مختبر الاختراق بالذكاء الاصطناعي مهمة كاملة مقيّدة بالتصريح فوقه، بموافقة بشرية قبل الاستغلال. ويعمل الفريق الأحمر الآلي باستمرار داخل حارس نطاق مُلزِم ويثبت قابلية الاستغلال بإثبات غير مدمر. وتكتشف إدارة سطح الهجوم (ASM) الأصول الخارجية، النطاقات الفرعية والخدمات والشهادات وبيانات الاعتماد المسرّبة، التي يمكن تسليمها بعد ذلك لأي من الثلاثة لاختبار مصرّح به. كل ذلك في لوحة تحكم واحدة تفصل مؤشر مخاطر الفحص المرجّح بالنتائج عن مخاطر التعرض الخارجي المشتقة من ASM.

نعم. يُشحن DAST داخل الجهاز الافتراضي نفسه مع SAST وMAST وASM، كملف OVA لمركز بياناتك أو صورة Azure VHD لمستأجر السحابة الخاص بك، ويعمل دون اتصال بالكامل في الشبكات المعزولة. لا تغادر الأهداف والنتائج والأدلة بيئتك أبداً.