البحرين، السعودية
قائمة OWASP Top 10 هي المرجع الذي يستخدمه معظم المدققين والجهات التنظيمية وفرق التطوير للحديث عن مخاطر تطبيقات الويب. ويُعدّ إصدار 2025 أول تحديث لها منذ عام 2021، وتكشف تغييراته الكثير عن الطريقة التي تُبنى بها التطبيقات وتُهاجَم اليوم.
قائمة 2025 في لمحة
- A01 Broken Access Control (خلل التحكم في الوصول) — لا يزال في المرتبة الأولى.
- A02 Security Misconfiguration (أخطاء الإعدادات الأمنية) — صعد من المرتبة الخامسة.
- A03 Software Supply Chain Failures (إخفاقات سلسلة توريد البرمجيات) — جديد.
- A04 Cryptographic Failures (إخفاقات التشفير)
- A05 Injection (الحقن) — تراجع من المرتبة الثالثة.
- A06 Insecure Design (التصميم غير الآمن)
- A07 Authentication Failures (إخفاقات المصادقة)
- A08 Software or Data Integrity Failures (إخفاقات سلامة البرمجيات أو البيانات)
- A09 Security Logging and Alerting Failures (إخفاقات التسجيل الأمني والتنبيه)
- A10 Mishandling of Exceptional Conditions (سوء التعامل مع الحالات الاستثنائية) — جديد.
ما الذي تغيّر، ولماذا يهم
التحكم في الوصول لا يزال المشكلة الأكبر
يبقى خلل التحكم في الوصول في الصدارة. ويشمل وصول المستخدمين إلى بيانات أو وظائف لا يحق لهم الوصول إليها، كتغيير مُعرّف في عنوان URL لعرض سجل عميل آخر. كما بات تزوير الطلبات من جانب الخادم (SSRF)، الذي كانت له فئة مستقلة في 2021، جزءاً من هذه الفئة.
أخطاء الإعدادات تتقدّم
باتت بيانات الاعتماد الافتراضية، ووحدات التخزين السحابية المكشوفة، ورسائل الخطأ المفرطة في التفاصيل، والميزات غير الضرورية التي تُترك مفعّلة، تحتل المرتبة الثانية. ومع تزايد تحديد سلوك التطبيق من خلال الإعدادات وضبط السحابة، أصبحت الأخطاء فيها سبباً رئيسياً للانكشاف.
سلسلة التوريد لديك أصبحت من أعلى ثلاثة مخاطر
إخفاقات سلسلة توريد البرمجيات فئة جديدة في المرتبة الثالثة. فالتطبيقات الحديثة تُجمَّع من حزم مفتوحة المصدر وأدوات بناء وخدمات خارجية بقدر ما تُكتب. ويمكن لاعتمادية مصابة بثغرة أو خبيثة، أو لمسار بناء مُخترَق، أن يقوّض تطبيقاً مكتوباً بإتقان في ما عدا ذلك.
الأخطاء تحتاج إلى معالجة، لا إلى تسجيل فحسب
تغطي فئة سوء التعامل مع الحالات الاستثنائية، وهي الفئة الجديدة الثانية، التطبيقات التي تفشل بطرق غير آمنة: كأن تنهار إلى حالة غير آمنة، أو تُسرّب تفاصيل في رسائل الخطأ، أو تتخطى الفحوصات الأمنية عند حدوث أمر غير متوقع.
خمس خطوات عملية
- اختبر التفويض، لا المصادقة فقط. تحقّق من أن كل طلب للوصول إلى سجل يتأكد من أن المستخدم مسموح له برؤيته، في واجهات API لديك وكذلك في صفحات الويب.
- راجع الإعدادات بوصفها شيفرة. افحص البنية التحتية المُعرّفة بالشيفرة (Infrastructure as Code) وإعدادات السحابة بحثاً عن أخطاء الإعدادات قبل وصولها إلى بيئة التشغيل الفعلية.
- اعرف مكونات برمجياتك. احتفظ بقائمة مكونات البرمجيات (SBOM)، وافحص الاعتماديات بحثاً عن الثغرات المعروفة، وتحقّق من مصدر الحزم والتحديثات.
- صمّم مع مراعاة الفشل. تأكد من أن الأخطاء تفشل بشكل مغلق (Fail Closed)، وتعرض للمستخدمين رسائل عامة، وتسجّل التفاصيل بشكل آمن.
- اجعل التسجيل مفيداً. سجّل الأحداث ذات الصلة بالأمن وأطلق التنبيهات بشأنها، بحيث تُرصد الهجمات أثناء وقوعها.
كيف يمكننا المساعدة
يساعد فريق أمن التطبيقات لدينا المؤسسات في البحرين والمملكة العربية السعودية على اكتشاف هذه المخاطر ومعالجتها، بدءاً من فحص الشيفرة والاعتماديات ووصولاً إلى اختبار الاختراق وحماية تطبيقات الويب وواجهات API. استكشف حلول أمن التطبيقات وواجهات API لدينا أو تحدّث إلى فريقنا.