فحوص تتناسب مع المخاطر. استنتاجات تستند إلى أدلة.

قبل الاختبار: الاتفاق على الإطار

نموذج تصريح غير موقّع (بالفرنسية) ←

فحوص تُختار وفق نطاق العمل

تشكّل هذه الفحوص الـ22 قائمة عمل خاصة بـINOBIC تُكيَّف مع كل مهمة. ولا يعني ذلك أن جميع التقنيات مشمولة في كل مهمة، أو أن كل الفحوص نُفّذت على موقعنا. تُحدَّد طرق الفحص والمتطلبات المرجعية والموارد المتاحة خلال مرحلة تحديد النطاق.

اجعل كل استنتاج قابلاً للتحقق

وثّق لكل نتيجة المكوّن وإصداره وطريقة الفحص وتاريخه ومنفّذه والأدلة الداعمة وحدود التحقق. تشير الأدوات الآلية إلى مشكلات محتملة؛ وتحتاج تنبيهاتها إلى تقييم قبل اعتمادها في استنتاجات التدقيق.

قيّم ثم صحّح ثم تحقّق

1. 01

   تقييم النتيجة

   ميّز بين الحقائق المرصودة والافتراضات والمخاطر. وقيّم شروط تحقق الخطر ومدى التعرّض له وأثره على الأعمال. عند استخدام CVSS، يجب توثيق الإصدار ومتجه التقييم والافتراضات؛ ولا يغني هذا التقييم عن ترتيب الأولويات بحسب أثرها على الأعمال.

2. 02

   تصحيح السبب الجذري

   اقترح تغييراً خضع للمراجعة ويتناسب مع الخطر، مع معايير للتحقق وخطة للتراجع عنه. وحدّد لكل استثناء مسؤولاً وسبباً وتاريخاً للمراجعة.

3. 03

   إعادة تنفيذ السيناريوهات

   اختبر الخلل الأصلي والسلوك المتوقع وحالات الرفض أو التعطل. حدّد طبقة الاختبار: وحدة أو تكامل أو متصفح أو إنتاج. لا يُعدّ التصحيح متحققاً منه إلا على الإصدار الذي أُعيد اختباره فعلياً.

4. 04

   توضيح حدود التحقق

   اذكر المخاطر المتبقية والإجراءات المعلّقة والعناصر التي لم تُختبر مجدداً. قبول المسؤول للخطر لا يعني معالجته. وأنهِ المهمة وفق ترتيبات الصلاحيات والبيانات المتفق عليها.

حماية الأدلة والمراسلات

اقتصر في لقطات الشاشة والسجلات على المعلومات اللازمة، واستخدم علامات اختبار اصطناعية. احجب الأسرار والهويات ومراجع البنية التحتية من النسخ المنشورة. واحتفظ بالنسخ الأصلية في المكان المتفق عليه فقط، مع تقييد صلاحيات الوصول إليها.

تستلزم معالجة المعلومات السرية بخدمة خارجية أو أداة ذكاء اصطناعي موافقة مسبقة. ويتطلب نشر حالة عملية تصريحاً منفصلاً ومراجعة المواد المعدّة للنشر. تساعد البصمات الرقمية على التحقق من سلامة الأدلة، لكنها لا تمثل تصديقاً مستقلاً.

اطّلع على إطار السرية ←

تطبيق المنهجية على حالة INOBIC: ما تثبته الأدلة

• سلوك النموذج عند التعطل: أُعيد إنتاج الخلل محلياً واختُبر التصحيح مع JavaScript ودونه، ثم فُحص المسار العادي على الموقع المنشور.
• إعادة التحقق: اختبارات وحدات ومتصفح محددة وفحوص HTTP وسلامة النشر. لا يغطي ذلك جميع المتصفحات أو السيناريوهات.
• صلاحيات Azure: مراجعة مركّزة للأدوار ذات الصلة، مع بقاء تقليص الصلاحيات إلى الحد اللازم ضمن الإجراءات المعلّقة. ولا يُدّعى التحقق من امتثال بيئة المؤسسة في Entra ID بأكملها.
• سجلات Azure: لم يتسنَّ التحقق من سياسة التسجيل التشغيلية ضمن نطاق المراجعة؛ وتبقى هذه النقطة بحاجة إلى تحقق.
• مصادقة .NET وواجهات API للأعمال: خارج نطاق هذا الموقع الثابت. يُعرض المختبر التعليمي بشكل منفصل.

تربط هذه الخلاصة الأدلة القائمة بمنهجيتنا، ولا تحوّل المراجعة المحددة بأثر رجعي إلى تدقيق شامل وفق ASVS أو Azure أو SSDF.

الأطر المرجعية: إرشاد لا اعتماد

جرت مراجعة المصادر الرسمية في 7 نوفمبر 2026. يُوثَّق الإصدار المرجعي والمتطلبات المختارة لكل مهمة. ترتبط المراجع أدناه بموضوعات الفحص، ولا يُدّعى إجراء مطابقة شاملة مع متطلباتها أو وجود انتساب إلى الجهات الناشرة أو شهادة اعتماد منها.

• OWASP ASVS 5.0.0

  اختر متطلبات التحقق من أمن التطبيقات، ووثّقها مع إصدار المرجع ضمن نطاق العمل. ولا تدّعِ تحقيق مستوى امتثال كامل لم يُقيَّم.

• OWASP API Security Top 10 — 2023

  تحديد فئات مخاطر API. قائمة المخاطر ليست بروتوكول اختبار شاملاً.

• Microsoft — أمن ASP.NET Core 10

  كيّف الفحوص مع إصدار بيئة التشغيل والآليات المستخدمة فعلياً.

• Azure Well-Architected — قائمة فحص الأمن

  راجع الخيارات الأمنية والموازنة بينها للتطبيق أو الخدمة المشمولة بالتصريح، دون توسيع المراجعة إلى بيئة المؤسسة السحابية بأكملها.

• NIST SSDF — SP 800-218، الإصدار 1.1

  تنظيم التطوير الآمن والاستجابة للثغرات وفق المخاطر.

وثائق للتحضير للمهمة

نماذج فارغة تُعدّل وفق المهمة. تبدأ جميع الفحوص بحالة «غير متحقق منها»، دون تعبئة أي تصريح أو دليل أو توقيع مسبقاً.

• قائمة الفحص — 22 فحصاً (بالفرنسية، TXT)
• قائمة منظمة بحقول للحالة والأدلة (بالفرنسية، JSON)
• نموذج توثيق الملاحظة والتصحيح والتحقق (بالفرنسية، JSON)