منصة اختبار اختراق مدعومة بالذكاء الاصطناعي

١. التفويض والهدف

يؤكد المالك المسؤول كتابياً حقه في تفويض الاختبار ويحدد الأسئلة الأمنية المطلوب الإجابة عنها. وتُراجع المتطلبات القانونية والتنظيمية والتعاقدية ومتطلبات مزوّدي الخدمات والأطراف الأخرى قبل بدء النشاط النشط.

٢. النطاق وقواعد الاشتباك

يحدد النطاق أسماء الأصول والبيئات والحسابات وفترة الاختبار والأساليب المسموح بها والممنوعة وطريقة التعامل مع البيانات وجهات التصعيد وشروط الإيقاف. ولا يُضاف هدف أو أسلوب جديد إلا بعد موافقة موثقة.

• + تُحدد التطبيقات وواجهات البرمجة والعناوين والأدوار بدقة تمنع الوصول إلى أنظمة مجاورة.
• + تُستبعد الإجراءات التخريبية أو المؤثرة في التوافر والهندسة الاجتماعية والاستمرارية ما لم تُصرح صراحة.
• + تُستخدم حسابات اختبار وبيانات اصطناعية عندما يسمح الهدف بذلك.

٣. تنفيذ مدعوم بالذكاء الاصطناعي

يساعد الذكاء الاصطناعي في ترتيب الاستطلاع والفرضيات واستخدام الأدوات وفق سياق المهمة، لكنه يبقى مقيداً بالتفويض. ويتطلب تغيير الصلاحيات أو معالجة حالة ملتبسة أو قبول خطر تشغيلي قراراً من الأشخاص المسؤولين.

٤. التحقق وتقدير الأثر

تُراجع النتيجة المحتملة للتأكد من قابلية التكرار والأصل المتأثر والمتطلبات المسبقة والسلوك الملحوظ والأثر المعقول. ويتوقف التحقق إذا احتاج إلى إجراء خارج النطاق أو محظور أو غير متناسب مع الهدف.

٥. التقرير والمعالجة

يفصل التقرير بين الملخص التنفيذي والدليل الفني، ويعرض مبرر الشدة والإرشاد العلاجي والقيود. وتبقى قرارات المعالجة والاستثناء وقبول الخطر المتبقي لدى الجهة المالكة.

٦. إعادة الاختبار والحدود

تفحص إعادة الاختبار الحالة الأصلية بعد التغيير ضمن نطاق متفق عليه، ولا تعني نتيجتها أن بقية الأنظمة أو الإصدارات اللاحقة آمنة. ولا يضمن أي اختبار محدود اكتشاف جميع الثغرات أو استمرار الأمان أو تحقق الامتثال.