تقييم الثغرات الأمنية واختبار الاختراق (Penetration Testing)

الفارق بين ماسح ثغرات آلي واختبار اختراق حقيقي هو أن الأول يعطي قائمة نتائج، والثاني يثبت ما يمكن لمهاجم أن يفعله فعلاً بهذه النتائج. تعالج هذه الدورة مساري تقييم الثغرات الأمنية واختبار الاختراق (Penetration Testing) معاً: إدارة الثغرات بوصفها عملية دورية لها مالك وزمن استجابة، واختبار الاختراق بوصفه مشروعاً له نطاق وقواعد اشتباك وتفويض مكتوب وحدود لا تتجاوز. يعمل المشاركون على مختبر معزول يتدرجون فيه من الاستطلاع المفتوح المصدر ورسم سطح الهجوم، إلى المسح وتحليل الخدمات، إلى الاستغلال المضبوط وتصعيد الصلاحيات والحركة الجانبية داخل بيئة نطاق، ثم إلى اختبار تطبيقات الويب وواجهات البرمجة حيث تتركز أخطاء المصادقة والتفويض ومعالجة المدخلات. تُبنى كل خطوة على منهجيات معروفة مثل PTES ودليل OWASP لاختبار أمن الويب وإرشادات NIST SP 800-115، ويُصنَّف كل اكتشاف بمقياس CVSS مع تقدير الأثر على العمل. تنتهي الدورة بالمخرج الأهم: تقرير يميز بين ملخص تنفيذي يقرأه المدير وتفصيل فني يعيد المهندس إنتاجه، يليه إعادة اختبار تتحقق من الإغلاق.