تواجه شركات المدفوعات السعودية اليوم متطلبات أكثر تحديداً في اختبار اختراق PCI DSS v4.0 السعودية مقارنة بالإصدارات السابقة. فبينما كان الإصدار 3.2.1 يتحدث عن اختبار الاختراق بشكل عام، يميّز الإصدار 4.0 الآن بوضوح بين ثلاث طرق اختبار مختلفة — ولكل منها نطاق ومتطلبات محددة في بيئة بيانات حاملي البطاقات. هذا التمييز ليس مجرد تفصيل تقني، بل يحدد نطاق العمل الذي تحتاجه شركتك للامتثال، والثغرات التي قد تظهر في مراجعة مدقق الأمن المعتمد QSA إذا لم تفهم الفرق بينها.
في هذا المقال، نشرح الطرق الثلاث التي يتطلبها PCI DSS v4.0 في اختبار اختراق PCI DSS v4.0 السعودية، ونوضح أي مكونات في بيئتك تحتاج أي نهج، ومتى تحتاج الثلاثة جميعاً — لتحدد نطاق العمل الصحيح وتتجنب الثغرات التي تفشل المراجعة.
لماذا ميّز PCI DSS v4.0 بين طرق الاختبار؟
كان الإصدار السابق من PCI DSS يتطلب اختبار الاختراق دون تحديد دقيق للمنهجية أو النطاق، مما ترك مجالاً للتفسير وأدى إلى اختلافات في التنفيذ. بعض الشركات كانت تجري اختبار شبكة خارجي فقط، بينما كانت أخرى تجري اختبار تطبيقات دون اختبار الشبكة الداخلية، وكانت النتيجة ثغرات في التغطية.
يعالج PCI DSS v4.0 هذا الغموض بتحديد ثلاثة أبعاد لاختبار الاختراق:
- المصادقة: هل يجري الاختبار بصلاحيات مصادق عليها (authenticated) أم بدونها (unauthenticated)؟
- الطبقة: هل يستهدف الاختبار طبقة الشبكة (network layer) أم طبقة التطبيقات (application layer)؟
- المنظور: هل يجري الاختبار من منظور داخلي (internal) أم خارجي (external)؟
كل مزيج من هذه الأبعاد يكشف عن نوع مختلف من الثغرات، ويتطلب مهارات ومنهجيات مختلفة. فهم هذه الفروق ضروري لتحديد نطاق العمل الذي تحتاجه شركتك.
الطريقة الأولى: الاختبار غير المصادق عليه (Unauthenticated Testing)
ما هو الاختبار غير المصادق عليه؟
الاختبار غير المصادق عليه يحاكي مهاجماً خارجياً ليس لديه أي بيانات اعتماد أو صلاحيات في بيئتك. يبدأ المختبر من موقع المهاجم الذي لا يعرف شيئاً عن البنية الداخلية، ويحاول اكتشاف الأنظمة المكشوفة، والثغرات في الخدمات العامة، ونقاط الدخول التي يمكن استغلالها دون الحاجة إلى تسجيل دخول.
هذا النوع من الاختبار يكشف عن:
- الخدمات والمنافذ المكشوفة للإنترنت دون داعٍ
- الثغرات في واجهات الويب العامة وبوابات الدفع
- ضعف إعدادات الجدران النارية وأجهزة الحماية
- إمكانية الوصول غير المصرح به إلى أنظمة إدارة أو قواعد بيانات
أين يُطلب الاختبار غير المصادق عليه؟
يتطلب PCI DSS v4.0 الاختبار غير المصادق عليه على:
- جميع الأنظمة والتطبيقات المكشوفة للإنترنت في بيئة بيانات حاملي البطاقات
- بوابات الدفع وواجهات البرمجة API العامة
- أي نقطة دخول خارجية إلى الشبكة التي تحتوي على بيانات حاملي البطاقات
هذا الاختبار إلزامي سنوياً، وبعد أي تغيير جوهري في البنية التحتية أو التطبيقات المكشوفة.
الطريقة الثانية: الاختبار المصادق عليه (Authenticated Testing)
ما هو الاختبار المصادق عليه؟
الاختبار المصادق عليه يحاكي مهاجماً حصل على بيانات اعتماد — سواء من خلال هجوم تصيد، أو اختراق حساب موظف، أو استغلال ثغرة أولية. يُمنح المختبر صلاحيات مستخدم عادي أو مسؤول نظام، ويحاول اكتشاف ما يمكن فعله بهذه الصلاحيات.
هذا النوع من الاختبار يكشف عن:
- ضعف في فصل الصلاحيات وتصعيد الامتيازات
- إمكانية الوصول إلى بيانات حساسة من حسابات عادية
- ثغرات في منطق التطبيقات لا تظهر في الاختبار غير المصادق
- ضعف في آليات المراقبة والكشف عن الأنشطة المشبوهة
أين يُطلب الاختبار المصادق عليه؟
يتطلب PCI DSS v4.0 الاختبار المصادق عليه على:
- التطبيقات الداخلية التي تعالج أو تخزن أو تنقل بيانات حاملي البطاقات
- الأنظمة الإدارية وقواعد البيانات
- واجهات البرمجة API الداخلية
- أنظمة إدارة الهوية والصلاحيات
هذا الاختبار ضروري لفهم المخاطر الداخلية — سواء من موظف ضار أو من مهاجم حصل على بيانات اعتماد.
الطريقة الثالثة: التمييز بين طبقة الشبكة وطبقة التطبيقات
اختبار طبقة الشبكة (Network Layer Testing)
يستهدف اختبار طبقة الشبكة البنية التحتية — أجهزة التوجيه، والمحولات، والجدران النارية، وأنظمة التشغيل، والخدمات الأساسية. يبحث المختبر عن:
- ثغرات في أنظمة التشغيل والخدمات
- ضعف في إعدادات الشبكة والتجزئة
- إمكانية التنقل الجانبي بين الأنظمة
- نقاط ضعف في بروتوكولات الشبكة
يُطلب اختبار طبقة الشبكة من المنظورين الداخلي والخارجي — لأن المهاجم قد يبدأ من الإنترنت أو من داخل الشبكة.
اختبار طبقة التطبيقات (Application Layer Testing)
يستهدف اختبار طبقة التطبيقات التطبيقات نفسها — تطبيقات الويب، وواجهات البرمجة، وتطبيقات الجوال، ومنطق الأعمال. يبحث المختبر عن:
- ثغرات حقن SQL وحقن الأوامر
- ثغرات البرمجة النصية عبر المواقع XSS
- ضعف في المصادقة وإدارة الجلسات
- ثغرات في منطق الأعمال — مثل التلاعب بالمبالغ أو تجاوز خطوات الدفع
يتطلب PCI DSS v4.0 اختبار طبقة التطبيقات على جميع التطبيقات التي تعالج بيانات الدفع — سواء كانت مكشوفة للإنترنت أو داخلية.
المنظور الداخلي مقابل الخارجي
الاختبار الخارجي (External Testing)
يحاكي الاختبار الخارجي مهاجماً من الإنترنت. يستهدف:
- الأنظمة والتطبيقات المكشوفة للإنترنت
- بوابات الدفع وواجهات البرمجة العامة
- نقاط الدخول عبر VPN أو بوابات الويب
يُطلب هذا الاختبار سنوياً على الأقل، وبعد أي تغيير جوهري.
الاختبار الداخلي (Internal Testing)
يحاكي الاختبار الداخلي مهاجماً حصل على موطئ قدم في الشبكة الداخلية — سواء من خلال اختراق جهاز موظف، أو استغلال ثغرة في نظام مكشوف، أو وصول فعلي إلى المكتب. يستهدف:
- الأنظمة الداخلية وقواعد البيانات
- التطبيقات الإدارية
- إمكانية التنقل بين الشبكات المجزأة
- الوصول إلى بيانات حاملي البطاقات من داخل الشبكة
يُطلب هذا الاختبار سنوياً، ويكشف عن المخاطر التي لا تظهر في الاختبار الخارجي فقط.
متى تحتاج شركة المدفوعات السعودية الطرق الثلاث؟
معظم شركات المدفوعات في المملكة تحتاج مزيجاً من الطرق الثلاث، وليس طريقة واحدة فقط. إليك متى تحتاج كل طريقة:
تحتاج الاختبار غير المصادق الخارجي إذا كان لديك:
- بوابة دفع أو موقع تجارة إلكترونية مكشوف للإنترنت
- واجهات برمجة API عامة تستقبل معاملات الدفع
- أي نقطة دخول خارجية إلى بيئة بيانات حاملي البطاقات
تحتاج الاختبار المصادق الداخلي إذا كان لديك:
- تطبيقات داخلية تعالج أو تخزن بيانات حاملي البطاقات
- أنظمة إدارية أو قواعد بيانات تحتوي على بيانات الدفع
- بيئة متعددة المستخدمين مع مستويات صلاحيات مختلفة
تحتاج اختبار طبقة الشبكة والتطبيقات إذا كان لديك:
- بنية تحتية شبكية معقدة مع تجزئة بين الشبكات
- تطبيقات مخصصة أو معدلة تعالج الدفع
- واجهات برمجية تتكامل مع أنظمة خارجية
في الواقع، معظم الشركات الخاضعة لـ PCI DSS v4.0 تحتاج الطرق الثلاث — لأن بيئة بيانات حاملي البطاقات نادراً ما تكون بسيطة بما يكفي لتغطيتها بطريقة واحدة فقط.
الأخطاء الشائعة في تحديد نطاق اختبار الاختراق
الخطأ الأول: الاكتفاء بالاختبار الخارجي فقط
بعض الشركات تظن أن الاختبار الخارجي غير المصادق يكفي — لأن معظم الهجمات تأتي من الإنترنت. لكن PCI DSS v4.0 يتطلب أيضاً اختبار المخاطر الداخلية — لأن المهاجم الذي يحصل على موطئ قدم داخلي يمكنه الوصول إلى بيانات حاملي البطاقات مباشرة، متجاوزاً كل الحماية الخارجية.
الخطأ الثاني: إهمال اختبار طبقة التطبيقات
بعض الشركات تجري فحص ثغرات آلي على التطبيقات، وتظن أنه يكفي. لكن PCI DSS v4.0 يتطلب اختبار اختراق يدوي — لأن الثغرات في منطق الأعمال والتلاعب بالمعاملات لا تظهر في الفحص الآلي.
الخطأ الثالث: عدم إعادة الاختبار بعد التغييرات الجوهرية
يتطلب PCI DSS v4.0 إعادة اختبار الاختراق بعد أي تغيير جوهري في البنية التحتية أو التطبيقات — وليس فقط الاختبار السنوي. التغييرات الجوهرية تشمل:
- إضافة تطبيق جديد أو بوابة دفع
- تعديل البنية الشبكية أو التجزئة
- ترقية أو تغيير أنظمة التشغيل الرئيسية
- تغيير مزود الخدمة السحابية أو البنية التحتية
كيف ننفذ اختبار الاختراق وفق PCI DSS v4.0
نقدم اختبارات اختراق متقدمة لاكتشاف الثغرات قبل المهاجمين وفق متطلبات PCI DSS v4.0 ومتطلبات مؤسسة النقد العربي السعودي. تشمل خدمتنا اختبار تطبيقات الويب وواجهات البرمجة والجوال، واختبار الشبكات الداخلية والخارجية، واختبار إعدادات السحابة، مع استغلال يدوي واختبار منطق الأعمال.
نبدأ بتحديد النطاق — الأهداف وقواعد الاشتباك ونوافذ الاختبار — لضمان تغطية جميع المكونات المطلوبة وفق PCI DSS v4.0 دون تعطيل العمليات. ثم ننفذ الاختبار عبر الاستطلاع والاختبار والاستغلال اليدوي، مستهدفين طبقة الشبكة وطبقة التطبيقات من المنظورين الداخلي والخارجي، بصلاحيات مصادق عليها وغير مصادق عليها حسب النطاق المتفق عليه.
نقدم تقريراً تقنياً مع الأدلة، وملخصاً تنفيذياً، وملاحظات مصنفة المخاطر مع المعالجات — ليس فقط وصف الثغرة، بل الخطوات العملية التي يستطيع فريقكم تنفيذها لإغلاقها. بعد المعالجة، نجري إعادة اختبار مجانية للملاحظات المعالجة، ونقدم تقرير إعادة الاختبار للتحقق من فعالية المعالجات — وهو ما يطلبه مدقق الأمن المعتمد QSA في مراجعة الامتثال.
تستغرق العملية من أسبوع إلى أربعة أسابيع حسب النطاق، وتغطي متطلبات PCI DSS v4.0 وإطار الأمن السيبراني لمؤسسة النقد العربي السعودي والضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني.
إذا كنتم تستعدون لتقييم PCI DSS v4.0، أو تحتاجون توضيحاً حول نطاق اختبار الاختراق المطلوب لبيئتكم، تواصلوا معنا لمناقشة احتياجاتكم.
