أدناه، توضيح لأسعار الخطط الخاصة بمنهج الـ WAPT والمميزات لكل باقة.

علمًا بأنه يمكنك اضافة 299$ للحصول على امكانية وصول لا محدود للتدريب العملي (Labs).

1. بعد الإنتهاء من التدريب والضغط على زر بدء الإختبار، سوف تحصل على ملف VPN كما اعتدت ان تفعل مع كل تدريب عملي، وتغيير اعدادات الـDNS في جهازك.

2. احرص على قراءة الشروط والـ Letter of Engagement بدقة قبل بدء الإختبار، ركز على النطاق المسموح لك ولا تقم بإختبار أي موقع ليس متضمن داخل النطاق المصرح لك به. 

3. بعكس اختبار الـeJPT، هذا الإختبار لا يحتوي على اختيارات من متعدد او أي نوع من الأسئلة. عليك باختراق الهدف بنفسك ومحاولة ايجاد الثغرات ومن ثم تدوينها في التقرير النهائي وتسليمه.

4. لا يوجد عدد معين للثغرات التي يجب عليك إيجادها ولا لطريقة الإختراق نفسها، تستطيع البدء والبحث من أي مكان.

5. مدة الإختبار تنقسم لجزئين: ٧ أيام لإختراق الهدف (اختبار عملي)، ومن ثم ٧ أيام لكتابة التقرير. بمجمل ١٤ يوم للإختبار كامل. “سوف تُمنع من الوصول الى الموقع بعد اتمام الـ٧ أيام الأولى”.

6. تستطيع استخدام اي اداة واي منهجية ترغب بها، طالما انك ستحصل على المطلوب. 

7.  يمكنك تصفح الانترنت وفتح ملفات اثناء الاختبار لمراجعة معلوماتك.

8. تستطيع إعادة الإختبار “Reset” وإعادة كل شيء لموضعه والبدء من جديد في حالة أتلفت بعض الأشياء “٣ مرات كحد أعلى في كل يوم”. 

9. تستطيع الإنتهاء من الإختبار ورفع التقرير في أي وقت تشاء “لست ملزم على الإنتظار لوقت انتهاء الاختبار العملي”.

كون التقرير يعتبر من أهم مراحل هذا الإختبار ومن أهم مراحل الإختراق بشكل عام. حيث أن علاقتك مع العميل كمختبر إختراق تنتهي بتقديمك التقرير له. 

قمت بعمل نموذج مشابه للتقرير الذي تم تقديمه في الإختبار متضمنًا المصادر التي تم الإعتماد عليها في كتابة تقريري. يمكنك مشاهدته من هنا. 

“هذا لا يعني بأن طريقتي صحيحة ١٠٠٪، يمكنك ترتيبه كما تراه مناسبًا”

علمًا بأنه لا يوجد هناك طريقة موحدة لكتابته، أي أن نموذج التقرير قد يختلف من شركة لشركة ومن شخص لشخص.

لكنني سأذكر هنا أهم الأساسيات التي يُفضل عليك إتباعها عند كتابة تقرير هذا الإختبار:

ما هي هيكلة التقرير؟ 

يجب أن يحتوي التقرير على التصنيفات التالية: 

1. صفحة الغلاف: اسمك، عنوان التقرير، تاريخه، المستهدف (الشركة او الموقع). 

2. جدول المحتويات Table of Contents: قم بتضمينه بعد الإنتهاء من كتابة التقرير بشكل كامل.

3. الملخص التنفيذي Executive Summary: يجب أن يحتوي على ملخص الشراكة بينك وبين العميل الذي طلب منك اجراء اختبار الإختراق وتقييم الثغرات، اكتب فيه مدة قيامك بعملية إختبار الإختراق "تاريخ البداية والنهاية” والنطاق المصرح لك. تستطيع كتابة المراحل التي مررت بها كتوضيح.

   غالبًا هذا الجزء يكون مقدم للمدراء في الجهة المراد اختبارها، سيكون اهتمامهم في الغالب على مدى التأثير على جهتهم، ما هي الإحتياجات لحماية المنشأة (من منظور الميزانيات المحتملة والوقت المستهلك).

   لذلك احرص على عدم وضع أي شيء متخصص مثل مفاهيم الإختراق، طريقة الهجوم الذي اتبعته او الأدوات المستخدمة وغيرها. بالنيابة، ضع رسومات بيانية تحليلية بدون التعمق. ويكون كنظرة شاملة لما قمت به كعدد الثغرات التي وجدتها في كل موقع، درجة الخطورة وما الى ذلك.

   لا يتعدى كتابة الملخص التنفيذي أكثر من صفحتين أو ثلاث.

4. تقرير الثغرات Vulnerability Report: هنا يكون التعمق في وصف الثغرات التي وجدتها والهجمات التي قمت باتباعها بالإضافة الى الأدلة وصور الإثبات.

   تستطيع كتابة تقرير الثغرات بطريقتين رئيسيتين: 

   • اذا كانت لديك ثغرات مختلفة كثيرة ومواقع قليلة، قم بكتابة التقرير بذكر كل ثغرة على حدة يتضمنها قائمة بالمواقع المصابة “Vulnerabilities by type”.

   • اذا كانت لديك مواقع كثيرة وكل موقع مصاب بأكثر من ثغرة، قم بكتابة التقرير بذكر كل موقع على حدة ويتضمنه قائمة بالثغرات التي تم استغلالها “Vulnerabilities by target”.

   عند ذكر اسم الثغرة، لا تنسى ذكر ما يلي واحرص على اختيار مصدر واحد للإعتماد عليه:

   • وصف لهذه الثغرة “Description” (يكون الوصف مأخوذ من مصدر معتمد).

   • درجة خطورة الثغرة “Severity - Impact”.

   • رقم تعريف للثغرة وتستطيع الحصول عليه من أكثر من مصدر معتمد.

   • مصدر التصنيف الذي اعتمدته، مثل: OWASP, CWE.. الخ

5. تقرير معالجة الثغرات Remediation Report: هذا الجزء يتضمن نصائح للجهة التي تم تطبيق اختبار الإختراق عليها بطرق معالجة الثغرات التي تم إيجادها والحل الأنسب لها.

   يمكنك الإعتماد على أكثر من مصدر معتمد في كتابة الحلول، ولكن احرص على كتابة الحلول التي تتعلق بما وجدته فقط!

6. صفحة المراجع References: قم بتضمين جميع المراجع التي ساعدتك في كتابة التقرير.