تقييم الثغرات واختبار الاختراق (VAPT) لعميل في التقنية المالية

عميلنا شركة تقنية مالية تقدّم خدمات مصرفية عبر الإنترنت وحلول دفع عبر الهاتف ومنصّات استثمار. ونظرًا للطبيعة الحسّاسة للمعاملات المالية وبيانات العملاء، سعت إلى تأمين تطبيقاتها على الويب والهاتف عبر تمرين VAPT شامل. كان الهدف ضمان ضوابط أمنية قوية والامتثال للوائح المالية مثل PCI DSS و GDPR وتخفيف التهديدات السيبرانية المحتملة عبر جميع القنوات.

كان الغرض من تمرين VAPT هذا هو تحديد الثغرات في تطبيقات العميل على الويب والهاتف وواجهات API الخلفية والبنية التحتية للشبكة. ومع التركيز على حماية بيانات العملاء الحسّاسة ومنع الاحتيال المالي، هدفنا إلى تقديم رؤى قابلة للتنفيذ لتحصين أمان المنصّة بأكملها.

المنهجية

• جمع المعلومات
• اختبار اختراق تطبيقات الويب
• اختبار اختراق تطبيقات الهاتف
• إعداد التقارير وتقييم المخاطر

نطاق التقييم

• ثغرات تطبيقات الويب
• ثغرات تطبيقات الهاتف

الأدوات المستخدمة

• أدوات تجارية
• أدوات مفتوحة المصدر

أبرز نتائج تطبيقات الويب (OWASP)

• A1: حقن SQL
• A3: كشف البيانات الحسّاسة
• A5: ضعف ضوابط الوصول
• A7: البرمجة عبر المواقع (XSS)

أبرز نتائج تطبيقات الهاتف (OWASP Mobile)

• M1: تخزين غير آمن للبيانات
• M2: مصادقة غير آمنة
• M3: تواصل غير آمن

مراجع CWE

• CWE-89: حقن SQL
• CWE-200: كشف المعلومات الحسّاسة
• CWE-287: مصادقة غير سليمة
• CWE-352: تزوير الطلب عبر المواقع (CSRF)