خبير أمن سيبراني محترف لاختبار اختراق شامل واكتشاف الثغرات وإصدار تقرير أمني (VAPT)

نبحث عن خبير أمن سيبراني محترف ومتخصص في اختبارات الاختراق (Penetration Testing)، يمتلك خبرة عملية مثبتة في اكتشاف الثغرات الأمنية المعقدة، وتحليلها والتحقق منها باستخدام الاختبارات اليدوية والأدوات الأمنية المتخصصة.

المطلوب إجراء اختبار اختراق فعلي وشامل لمنصة إلكترونية، بهدف اكتشاف الثغرات الأمنية ومعالجتها وإصدار تقرير احترافي موثق يمكن تقديمه إلى الجهات المختصة لاستكمال متطلبات الربط التقني.

نؤكد أننا نبحث عن مختبر اختراق يمتلك خبرة تقنية حقيقية، وليس شخصًا يعتمد فقط على أدوات الفحص الآلية أو الذكاء الاصطناعي.

أولًا: التقنيات المستخدمة

* Backend: PHP Laravel

* Frontend: Next.js

* Web Server: Nginx

* REST APIs

* Database

* External API Integrations

ثانيًا: نطاق اختبارات الاختراق

1. إجراء اختبار اختراق شامل لتطبيق الويب وفق OWASP Top 10 وOWASP WSTG.

2. اختبار ثغرات SQL Injection وXSS وCSRF وSSRF.

3. فحص واجهات API وفق OWASP API Security Top 10.

4. اختبار Broken Authentication وإمكانية تجاوز تسجيل الدخول.

5. اختبار Broken Access Control وثغرات IDOR.

6. اختبار صلاحيات المستخدمين والوصول غير المصرح به إلى البيانات.

7. اختبار إدارة الجلسات والرموز الأمنية (Tokens).

8. فحص إعدادات خادم Nginx والخدمات الأمنية.

9. مراجعة الثغرات المتعلقة بتقنيات Laravel وNext.js.

10. اختبار رفع الملفات ومعالجة المدخلات.

11. فحص احتمالات تسريب البيانات الحساسة والمعلومات الداخلية.

12. اختبار منطق الأعمال (Business Logic Vulnerabilities).

13. اختبار أمان عمليات الدفع والتكاملات الخارجية ضمن بيئة تجريبية مصرح بها.

14. مراجعة الإعدادات الأمنية ورؤوس HTTP.

15. البحث اليدوي عن الثغرات المعقدة التي لا تكتشفها أدوات الفحص الآلية بسهولة.

ثالثًا: شروط إلزامية بشأن الذكاء الاصطناعي

1. يمنع منعًا باتًا استخدام الذكاء الاصطناعي (AI) في اكتشاف الثغرات أو تحليل النتائج أو كتابة التقرير النهائي.

2. يجب تنفيذ الاختبارات بواسطة المختبر الأمني نفسه، اعتمادًا على خبرته الفنية.

3. يمنع الاعتماد على ChatGPT أو غيره من أنظمة الذكاء الاصطناعي لتنفيذ المشروع.

4. يسمح باستخدام أدوات اختبار الاختراق التقليدية مثل Burp Suite وNmap وOWASP ZAP، مع ضرورة التحقق اليدوي من النتائج.

5. يشترط تقديم أدلة تقنية حقيقية (Proof of Concept) لكل ثغرة مثبتة.

6. يحق لصاحب المشروع طلب شرح فني مباشر للثغرات المكتشفة وآلية اكتشافها.

7. أي مخالفة لشروط عدم استخدام الذكاء الاصطناعي تخضع لشروط الاتفاق وسياسات منصة مستقل.

رابعًا: المخرجات المطلوبة

1. تقرير Penetration Testing احترافي باللغة الإنجليزية بصيغة PDF.

2. ملخص تنفيذي يوضح الوضع الأمني للمنصة.

3. قائمة كاملة بالثغرات المكتشفة والمؤكدة.

4. تصنيف الثغرات حسب مستوى الخطورة باستخدام CVSS.

5. أدلة تقنية فعلية ولقطات شاشة للثغرات المثبتة.

6. شرح التأثير الأمني لكل ثغرة وخطوات إعادة إنتاجها بشكل آمن.

7. توصيات فنية واضحة لمعالجة الثغرات.

8. توثيق منهجية الاختبار والأدوات المستخدمة ونطاق الفحص.

9. تقرير إعادة اختبار (Retest Report) بعد معالجة الملاحظات.

10. تقرير نهائي يوضح حالة الثغرات بعد المعالجة.

خامسًا: المؤهلات المطلوبة

* خبرة عملية قوية في Web Application Penetration Testing.

* خبرة متقدمة في API Security Testing.

* معرفة أمنية بتقنيات Laravel وNext.js.

* القدرة على اكتشاف الثغرات المعقدة يدويًا.

* يفضل امتلاك شهادات OSCP أو OSWE أو eWPT أو ما يعادلها.

* يفضل وجود سجل مثبت في Bug Bounty أو اختبارات اختراق احترافية.

* الالتزام التام بسرية المعلومات وتوقيع اتفاقية NDA.

سادسًا: المعلومات المطلوبة من المتقدم

يرجى توضيح التالي:

1. سنوات الخبرة العملية في اختبار الاختراق.

2. الشهادات المهنية والخبرات السابقة.

3. نماذج من تقارير اختبار اختراق سابقة بعد إخفاء البيانات السرية.

4. أمثلة على ثغرات أمنية حقيقية سبق اكتشافها.

5. الأدوات والمنهجيات المستخدمة.

6. المدة المتوقعة لإجراء الاختبارات وتسليم التقرير وإعادة الفحص.

7. التكلفة الإجمالية لتنفيذ نطاق العمل.

8. تأكيد الالتزام بعدم استخدام الذكاء الاصطناعي.

سابعًا: الشروط العامة

* يتم تنفيذ المشروع وفق الميزانية والمدة المتفق عليهما داخل منصة مستقل.

* سيتم توفير بيئة الاختبار والتفاصيل التقنية للمستقل المختار بعد الاتفاق.

* جميع الاختبارات تتم بموجب تصريح واضح ومكتوب.

* يمنع إجراء أي اختبارات تؤدي إلى تعطيل الخدمات أو التأثير على بيانات المستخدمين.

* يمنع مشاركة الثغرات أو المعلومات المكتشفة مع أي طرف خارجي.

* يجب الإبلاغ فورًا عن أي ثغرة حرجة يتم اكتشافها.

* لا نقبل التقارير النظرية أو النتائج الوهمية أو الثغرات غير المثبتة.

* يجب أن يعكس التقرير نتائج الاختبارات الفعلية سواء تم اكتشاف ثغرات أم لا.

الهدف النهائي هو تنفيذ اختبار اختراق حقيقي وشامل والحصول على تقرير أمني احترافي موثق، مع ضمان جودة الفحص وصحة النتائج، واستكمال المتطلبات الفنية للربط مع الجهات المختصة.