أمان التطبيقات

السلام عليكم ورحمة الله وبركاته 

تؤثر حالات انقطاع الشبكة والقرصنة وفيروسات الكمبيوتر والحوادث المماثلة على حياتنا بطرق تتراوح من غير المريحة إلى التي تهدد الحياة، وجدت Akamai في بحثها لتقرير حالة أمان الإنترنت أن الهجمات على تطبيقات الويب زادت بنسبة 59٪ من الربع الرابع 2017 إلى الربع الأول 2018 وتوضح هذه الإحصائيات القاتمة أن أمان التطبيقات أصبح أكثر أهمية من أي وقت مضى ستساعدك هذه المقالة على فهم مفهوم أمان التطبيق.

-ما هو الأمن السيبراني؟ 

اليوم تعتمد طريقة حياتنا الحديثة بالكامل من الاتصالات إلى التجارة الإلكترونية بشكل أساسي على الإنترنت، فنحن  نتبادل الأموال ونلعب الألعاب ونقرأ الأخبار ونقوم بالتسوق والكثير من الأشياء الأخرى باستخدام الإنترنت، فالإنترنت يعلمنا ويسلينا ويربطنا ولكن هذا الترف في استخدام الإنترنت له ثمن وهو الأمان فالجرائم الإلكترونية هي مشكلة عالمية تهيمن على الأخبار وتشكل تهديدًا لأمن الفرد وتهديدًا أكبر للمؤسسات الكبيرة والبنوك والحكومات حيث شهدت السنوات الأخيرة أخبارًا يومية حول الهجمات الإلكترونية وخروقات البيانات ونقاط ضعف البرامج ولكن الشيء الجيد هو أنه حتى مع وجود هذا الخطر في الإنترنت  هناك أشياء بسيطة يمكننا القيام بها لحماية أنفسنا من هذه الهجمات ووهو الأمن السيبراني، فما هو الأمن السيبراني؟ الأمن السيبراني هو مجموعة التقنيات والعمليات والممارسات المصممة لحماية الشبكات وأجهزة الكمبيوتر والبرامج والبيانات من الهجوم أو التلف أو الوصول غير المصرح به ويتطلب ضمان الأمن السيبراني بذل جهود منسقة في جميع أنحاء نظام المعلومات وهذا يشمل:  

• أمن الشبكة    
• أمان التطبيق    
• أمن المعلومات    
• الأمن التشغيلي    
• التعافي من الكوارث    
• تعليم المستخدم النهائي
  

-ما هو أمان التطبيق ولماذا هو مهم؟

ارتفعت الجرائم الإلكترونية بشكل كبير في السنوات الأخيرة وكشفت مجموعة واسعة من نقاط الضعف في تطبيقات الويب والهاتف المحمول فتحدث معظم مشكلات الأمان هذه بسبب ممارسات كتابة الأكواد السيئة مما يؤدي إلى ضعف تكامل رمز التطبيق بعبارة أخرى يستغل المتسللون ثغرات طبقة التطبيقات في التطبيقات سيئة التشفير لبدء هجماتهم، فأمان تطبيقات الويب هو عملية حماية مواقع الويب والخدمات عبر الإنترنت من التهديدات الأمنية المختلفة التي تستغل الثغرات الأمنية في كود التطبيق والأهداف الشائعة لهجمات تطبيقات الويب هي أنظمة إدارة المحتوى (مثل WordPress) وأدوات إدارة قواعد البيانات (مثل phpMyAdmin) وتطبيقات البرامج كخدمة (SaaS). 

-الأسباب التي تجعل تطبيقات الويب تبدو الهدف الأكثر تفضيلاً هي:

١-ممارسات كتابة الأكواد:     

• إذا كانت الشفرة مكتوبة بشكل سيئ فيمكن للمتسللين استغلال ثغرات طبقة التطبيق لشن هجوم.    
• إذا كانت الشفرة معقدة فإنها تزيد من احتمالية وجود ثغرات أمنية غير مراقبة ومعالجة التعليمات البرمجية الضارة. ٢-سهولة التنفيذ:    
• يمكن أتمتة معظم الهجمات بسهولة وإطلاقها بشكل عشوائي ضد الآلاف أو حتى عشرات أو مئات الآلاف من الأهداف في وقت واحد.    
• يتقاضى مجرمو الإنترنت رواتبهم بالجملة لمهاجمة التطبيقات. 

ومن ثم فإن المؤسسات التي تفشل في تأمين تطبيقات الويب الخاصة بها تتعرض لخطر الهجوم وهذا يرجع في الغالب إلى نقاط الضعف الموجودة في التطبيق حيث تعمل الثغرات الأمنية في التطبيقات على إحداث فوضى في الفضاء الإلكتروني اليوم مما يتيح مجالًا لأنواع مختلفة من الهجمات منها: 

 ١-حقن SQL: يستخدم المخترق كود SQL ضارًا للتلاعب بقاعدة البيانات حتى يحصل على معلومات حساسة. 

٢-البرمجة النصية عبر المواقع (XSS): يحدث XSS عندما يقوم المهاجم بحقن تعليمات برمجية ضارة مباشرة في أحد التطبيقات وبالتالي الوصول إلى الحسابات أو تنشيط أحصنة طروادة أو تعديل محتوى الصفحة.

٣- تضمين ملف بعيد: يقوم الهاكر بحقن ملف في خادم تطبيق الويب من خلال القيام بذلك يمكنه تنفيذ البرامج النصية أو التعليمات البرمجية الضارة داخل التطبيق وكذلك سرقة البيانات والتلاعب بها. 

٤-تزوير عبر الموقع (CSRF): تحدث هذه الهجمة عندما يتسبب تطبيق ويب ضار في قيام متصفح المستخدم بتنفيذ إجراء غير مرغوب فيه في موقع تم تسجيل دخوله إليه.

-قائمة التحقق من أمان التطبيقات: 

'الوقاية خير من العلاج' في معظم الأوقات يكون لدى المنظمات إجراءات مضادة لضمان السلامة ضد هذه الهجمات ويمكن أن تتخذ هذه الإجراءات المضادة شكل البرامجيات والأجهزة وإجراءات سلوكية. 

 -الإجراءات المضادة للبرمجيات:

• جدران حماية تطبيقات الويب: عادةً ما تكون جدران الحماية مصممة لفحص حركة المرور الواردة لمنع محاولات الهجوم وبالتالي التعويض عن أي تلاعب في التعليمات البرمجية.    
  
• منع النوافذ المنبثقة:تمنع عرض النوافذ المنبثقة في متصفح الويب الخاص بالمستخدم.    
• التشفير: يمكن استخدام أنواع مختلفة من خوارزميات التشفير وفك التشفير لتأمين جميع عمليات إرسال البيانات.    
• برامج الكشف عن برامج التجسس: يمكن تثبيت مجموعة متنوعة من برامج الكشف عن برامج التجسس وإزالة برامج التجسس لمنع الهجمات الإلكترونية. 

-الإجراءات المضادة للأجهزة:    

• جهاز توجيه يمكنه منع عنوان IP لجهاز كمبيوتر فردي من الظهور مباشرة على الإنترنت.    
• أنظمة المصادقة التي تحدد المحتوى المستضاف من طرف ثالث مما يحافظ على أمان تطبيقك.
• أجهزة كشف التسلل وأجهزة الإنذار. 

-الإجراءات السلوكية المضادة:    

• الحذف المنتظم لملفات تعريف الارتباط المخزنة والملفات المؤقتة من متصفحات الويب.    
• التثبيت المنتظم للتحديثات أنظمة التشغيل.    
• الفحص المنتظم للفيروسات والبرامج الضارة الأخرى.    
• الامتناع عن فتح رسائل البريد الإلكتروني والمرفقات من مرسلين مجهولين.

اليوم أصبحت التهديدات الإلكترونية روتينية ومعقدة لدرجة أنه يبدو من المستحيل منعها تقريبًا ومع ذلك تستمر برامج الأمن في تطوير دفاعات جديدة حيث يحدد المتخصصون في الأمن السيبراني التهديدات الجديدة والطرق الجديدة لمكافحتها.

المصدر هنا.