الفرق بين Bug Bounty واختبار الاختراق: أيهما تحتاج شركتك أولاً؟

لديك ميزانية تكفي لجهد أمني هجومي واحد جاد هذه السنة، وحولك معسكران يصيح كل منهما بما يجب أن تشتريه. الأول يقول إن اختبار الاختراق (pentest) هو الحد الأدنى الاحترافي الذي لا نقاش فيه. والثاني يقول إن برامج مكافآت الثغرات (bug bounty) هي الطريقة التي تكتشف بها الشركات الحديثة ثغراتها الحقيقية. كلاهما مصيب في نقطة، وكلاهما مخطئ بالنسبة لشريحة واسعة من الشركات، والأهم من الاختيار نفسه هو ترتيب الخطوات. وهذا ينطبق بشكل خاص على سوقنا، حيث تتسارع رقمنة الشركات في تونس والمنطقة بوتيرة أسرع بكثير من نضج فرقها الأمنية.

نموذجان مختلفان في الجوهر لا في التسويق

انزع الطبقة التسويقية وستجد أمامك آلتين مختلفتين تماماً. الخلط بينهما هو السبب الذي يجعل فرقاً كاملة تدفع تكاليف فرز تقارير bounty مقابل ثغرات كان سيكتشفها مختبر اختراق مبتدئ في يومه الأول.

ما هو اختبار الاختراق فعلياً

الـ pentest هو مهمة محددة النطاق ومحددة الزمن. فريق صغير (غالباً مختبِر أو اثنان) يهاجم هدفاً معرّفاً بدقة خلال فترة متفق عليها، عادة من أسبوع إلى ثلاثة أسابيع، وفق منهجية معروفة مثل PTES أو دليل OWASP Web Security Testing Guide. وتحصل في النهاية على:

• نطاق محدد: خوادم وتطبيقات وواجهات API ونطاقات IP معينة، وأحياناً حساب سحابي أو جزء من الشبكة الداخلية.
• تغطية منهجية: استطلاع، رسم لسطح الهجوم، اختبار المصادقة والجلسات، فحص الصلاحيات لكل دور على كل نقطة نهاية، أصناف الحقن، إساءة استخدام منطق الأعمال، ثم الاستغلال وما بعد الاستغلال ضمن قواعد اشتباك متفق عليها.
• تقرير يتضمن خطوات إعادة الإنتاج، وتصنيف الخطورة (عادة CVSS مع حكم سياقي)، وتوصيات المعالجة.
• فترة إعادة اختبار يتم فيها التحقق من الإصلاحات.

الخاصية الحاسمة هنا: التغطية منهجية. المختبِر الكفء يمشي على كامل سطح الهجوم داخل النطاق، بما في ذلك الأجزاء المملة التي لن يطاردها أحد مقابل مكافأة. سيختبر كل دور مقابل كل نقطة نهاية بحثاً عن ثغرات الصلاحيات المكسورة، وهو صنف الثغرات الذي شرحناه بالتفصيل في دليلنا لأمان الـ API، لأن المنهجية تفرض ذلك، لا لأن العائد المادي مغرٍ.

ما هو برنامج Bug Bounty فعلياً

الـ bounty هو عرض دائم مفتوح: نطاق منشور، وجدول مكافآت، وقواعد واضحة، يُستضاف على منصة مثل HackerOne أو Bugcrowd أو Intigriti، أو يُدار ذاتياً. مئات أو آلاف الباحثين المستقلين، من جاكرتا إلى تونس العاصمة، يمكنهم فحص أصولك متى شاؤوا. وأنت تدفع مقابل كل ثغرة مقبولة وفريدة وداخل النطاق.

الخاصية الحاسمة هنا: التغطية اقتصادية لا منهجية. الباحثون يذهبون حيث المال وحيث ترتفع احتمالات النجاح. الأهداف الشهيرة تُسحق على أصناف قليلة عالية العائد (سلاسل الاستيلاء على الحسابات، ثغرات SSRF نحو بيانات التعريف السحابية، ثغرات IDOR على كائنات حساسة) بينما تبقى أنظمة فرعية كاملة بلا لمسة واحدة لأشهر لأنها تبدو ضعيفة المردود. لا أحد مدين لك بالتغطية، ولا أحد يوقّع معك عقد عمل.

ما الذي يتقنه كل نموذج حقاً

اختبار الاختراق يتفوق عندما تحتاج

• ضماناً وإثباتاً موثقاً. المدققون والعملاء من المؤسسات الكبرى وأطر مثل SOC 2 و ISO 27001 يريدون تقريراً من جهة مسماة وبمنهجية واضحة. وفي سياقنا المحلي، الجهات الرقابية مثل ANSI في تونس التي تفرض تدقيقاً أمنياً دورياً على فئات من المؤسسات، والعملاء المؤسساتيون في الخليج الذين يرسلون استبيانات العناية الواجبة قبل توقيع أي عقد، كلهم يطلبون تقريراً، لا رابط برنامج مكافآت. إن كان الامتثال هو الدافع، ابدأ بقراءة ما الذي يتطلبه SOC 2 فعلياً.
• تغطية للسطح غير اللامع. الشبكات الداخلية، تطبيقات سطح المكتب، لوحة الإدارة تلك المخفية خلف VPN، إعدادات Active Directory الخاطئة. الباحثون الخارجيون لا يستطيعون الوصول إليها، ولن يكلفوا أنفسهم العناء غالباً.
• عمقاً في منطق الأعمال. مختبِر يقضي ثلاثة أيام في فهم مسار الفوترة لديك سيجد ثغرة الاسترجاع بكمية سالبة. الباحث العابر لن يجدها في الغالب.
• فاتورة متوقعة. سعر ثابت، وتواريخ معروفة، ومخرجات محددة سلفاً. وهذا وحده حجة قوية لدى أي مدير مالي يخطط بميزانية سنوية مغلقة.

برامج المكافآت تتفوق عندما تحتاج

• ضغطاً مستمراً. أنت تنشر تحديثات يومياً. الـ pentest صورة فوتوغرافية، بينما سطح الهجوم لديك شريط فيديو متواصل. وجود bounty يعني أن كل نشر جديد قد يكون تحت أعين المراقبين.
• تنوعاً في الأساليب. ألف باحث يعني ألف سلسلة أدوات، وأجهزة غريبة، وسلوكيات متصفحات نادرة، وسلاسل استغلال مبتكرة لا تملكها أي شركة استشارية واحدة مهما كبرت.
• إشارة واقعية عن وضعك الخارجي. تقارير الـ bounty تخبرك بما يراه مهاجم انتهازي حقيقي، لأن الباحثين يتصرفون مثله تماماً، مع حذف الجريمة.
• تكلفة مرتبطة بثغرات حقيقية. لا نتائج صالحة يعني إنفاقاً شبه معدوم خارج رسوم المنصة ووقت الفرز الداخلي. وميزة إضافية في منطقتنا: المنصات العالمية تتولى دفع المكافآت للباحثين، وهو ما يحل عملياً مشكلة التحويلات الدولية المعقدة في أسواق مثل السوق التونسية.

أين يفشل كل نموذج

هذا هو الجزء الذي يتجاوزه البائعون بصمت.

أعطاب اختبار الاختراق

• مختبِر قائمة التحقق. بعض الشركات تشغّل ماسحات آلية، وتعيد تنسيق مخرجاتها، وتفوترها بأسعار الاستشارات. اطلب نماذج تقارير، وأسماء المختبرين وشهاداتهم (OSCP أو OSWE أو سجل من ثغرات CVE وأبحاث منشورة)، واسأل كم من الوقت عمل يدوي وكم منه أدوات.
• تقادم اللقطة. التقرير دقيق بالنسبة للنسخة التي اختُبرت. بعد دورتي تطوير (sprint)، نصفه يصف تطبيقاً آخر.
• مسرحية النطاق. اختبار موقع التسويق فقط بينما واجهة API الخاصة بالمنتج الفعلي خارج النطاق ينتج تقريراً نظيفاً وأماناً معدوماً.
• بتر النافذة الزمنية. الثغرات الصعبة تحتاج وقتاً أطول من مدة المهمة. نافذة الأسبوعين قد تنتهي في اللحظة التي كانت فيها السلسلة المثيرة على وشك الاكتمال.

أعطاب برامج المكافآت

• انهيار نسبة الإشارة إلى الضجيج. البرنامج غير المستعد يُدفن: تكرارات، وتقارير خارج النطاق، وقمامة الماسحات الآلية، وتسول المكافآت ("سجل SPF لديكم ناقص، ادفعوا لي"). من تجربتنا مع شركات المنطقة، الفرق تستهين بحجم عبء الفرز بمضاعفات كبيرة.
• الدفع مقابل دين معروف. إن أطلقت bounty على تطبيق لم يُختبر من قبل، فستدفع أسعار السوق المفتوحة، تقريراً تقريراً، مقابل ثغرات كان اختبار اختراق واحد سيحصرها دفعة واحدة بسعر ثابت.
• ثقة الباحثين هشة. الردود البطيئة، وتخفيض تصنيف الخطورة، والتكرارات غير المدفوعة، كلها تُلتقط لها لقطات شاشة وتنتشر في مجموعات الباحثين. البرنامج ذو السمعة السيئة يجذب باحثين ضعفاء ونتائج أضعف.
• انكشاف قانوني إن كانت القواعد فضفاضة. بدون بند حماية واضح (safe harbor) ونطاق دقيق، أنت تدعو لاختبارات لم ترخّصها على أنظمة لم تقصد كشفها.

سؤال الجاهزية الذي لا يطرحه أحد

متغير القرار الحقيقي ليس الميزانية، بل قدرة مؤسستك على استيعاب سيل من التقارير الخارجية غير المتحقق منها.

برنامج الـ bounty هو صندوق وارد ينفجر في أوقات غير متوقعة بادعاءات متفاوتة الجودة، بعضها حرج، ولا يغلق أبداً. لتشغيله تحتاج، كحد أدنى:

• مسؤولاً معيناً بالاسم لفرز التقارير يملك سياقاً هندسياً حقيقياً، لا مجرد موزع تذاكر.
• سلّم خطورة متفقاً عليه مسبقاً، حتى لا يتحول كل نقاش مكافأة إلى جدل سياسات من الصفر.
• التزام معالجة (SLA) لكل مستوى خطورة، لأن ثغرة حرجة مدفوعة الثمن وغير مصلحة هي أسوأ السيناريوهات جميعاً.
• قناة استقبال تعمل فعلاً. كثير من الشركات عندنا لا يمكن الوصول إليها إلا عبر صفحة Facebook أو رقم WhatsApp تجاري، وهذا ليس مكاناً يبلّغ فيه باحث جاد عن ثغرة حرجة. البداية الصحيحة هي ملف security.txt:

# https://yourdomain.com/.well-known/security.txt
Contact: mailto:security@yourdomain.com
Policy: https://yourdomain.com/security/policy
Preferred-Languages: en, fr
Expires: 2027-06-01T00:00:00.000Z

إن كانت قراءة هذه القائمة جعلت أحداً في فريقك يتجهم، فأنت غير جاهز لبرنامج bounty عمومي. وهذا طبيعي تماماً. أغلب الشركات ليست جاهزة، والحل هو الترتيب الصحيح للخطوات، لا الامتناع.

اقتصاديات التكلفة بصراحة

الأرقام تتفاوت كثيراً حسب المنطقة والنطاق والجهة المنفذة، فتعامل معها كأنماط نموذجية لا كعروض أسعار:

• اختبار اختراق جيد لتطبيق ويب يكلف عادة مبلغاً ثابتاً يتراوح بين آلاف وعشرات آلاف الدولارات مقابل أسبوع إلى ثلاثة أسابيع من العمل، وتتصاعد التكلفة مع تعقيد النطاق، لا مع عدد النتائج.
• برنامج الـ bounty يكلف رسوم منصة زائد مكافآت. المكافآت الفردية تتراوح عادة من مئات قليلة للثغرات منخفضة الخطورة إلى خمسة أرقام بالدولار للثغرات الحرجة في البرامج الناضجة. والتكلفة الخفية هي وقت المهندسين: الفرز، وإعادة الإنتاج، وجدال التكرارات، والإصلاح ضمن الـ SLA.

حسابات الفشل هي ما يهم فعلاً. أطلق bounty على برمجية غير محصنة وستحوّل تكلفة pentest ثابتة ومحدودة إلى سيل غير محدود من مدفوعات لكل ثغرة، مضافاً إليه خطر السمعة. واكتفِ باختبار اختراق سنوي على منتج ينشر تحديثاته أسبوعياً وستحوّل انكشافاً متواصلاً إلى صورة فوتوغرافية تلتقط مرة في السنة. نقطة ضعف كل نموذج هي نقطة قوة الآخر، وهذا هو جوهر الموضوع كله.

إطار اتخاذ القرار

امش على هذه الخطوات بالترتيب وتوقف عند أول إجابة تنطبق عليك.

1. لم تخضع يوماً لاختبار هجومي احترافي؟ الـ pentest أولاً. بلا استثناءات. لا تدفع سعر التجزئة، ثغرة بثغرة، مقابل نتائج تسلّمها التغطية المنهجية بالجملة. ابدأ بقراءة كيف يجري اختبار الاختراق الحقيقي من البداية إلى النهاية.
2. لديك متطلب امتثال أو طلب من عميل خلال الربعين القادمين؟ الـ pentest أولاً. فهو الوثيقة التي تطلبها هذه المسارات، سواء كان تدقيق ANSI أو استبيان بنك خليجي.
3. سطحك الحرج غير قابل للوصول من الإنترنت؟ pentest (بصيغة داخلية أو بسيناريو اختراق مفترض assumed-breach). برامج المكافآت لا تراه أصلاً.
4. اختباراتك السنوية تعود شبه نظيفة، وتنشر أسبوعياً، وليس لديك اختبار مستمر؟ أضف برنامج إفصاح عن الثغرات (VDP) الآن، ثم bounty خاصاً مدفوعاً لاحقاً.
5. الـ VDP يعمل بسلاسة، والفرز تحت السيطرة، والثغرات الحرجة تُصلح ضمن الـ SLA؟ ترقَّ إلى bounty خاص بدعوة من 20 إلى 50 باحثاً.
6. الـ bounty الخاص مستقر منذ ربعين أو أكثر، ونسبة التكرارات تنخفض، والمدفوعات متوقعة؟ فكّر عندها في الانتقال إلى برنامج عمومي.
7. برنامجك عمومي بالفعل؟ حافظ رغم ذلك على pentest سنوي أو عند كل إصدار كبير، موجهاً نحو ما تعجز برامج المكافآت بنيوياً عن رؤيته: الميزات الجديدة قبل إطلاقها، والأنظمة الداخلية، وإعدادات السحابة، والمسارات الغنية بمنطق الأعمال.

كيف تنجح في أول اختبار اختراق

قيمة الـ pentest من قيمة تحديد نطاقه. أصرّ على ما يلي:

• ضع جواهر التاج في النطاق، لا الواجهة الدعائية. تطبيق المنتج وواجهات API ومسارات المصادقة والحساب السحابي قبل موقع التسويق.
• بيانات دخول لكل دور. الاختبار غير المصادق وحده يفوّت ثغرات الصلاحيات التي تهيمن على الاختراقات الحقيقية. وفّر حسابات اختبار لكل مستوى امتياز.
• صيغة grey-box بدل black-box في المهمات الأولى. مشاركة وثائق المعمارية وحتى الشيفرة المصدرية تضاعف ما يصل إليه مختبِر محدود الوقت. أنت تشتري نتائج، لا عرضاً تمثيلياً للواقعية.
• إعادة اختبار منصوص عليها في العقد. تقرير بلا إصلاحات متحقق منها هو وثيقة مسؤولية قانونية ضدك.
• نتائج تصب في خط عملك، لا في مقبرة ملفات PDF. كل نتيجة يجب أن تصبح تذكرة عمل، والأصناف المتكررة يجب أن تتحول إلى فحوصات آلية في الـ CI، وهي بالضبط الحلقة التي نشرحها في بناء خط DevSecOps متكامل.

كيف تنجح في أول برنامج Bounty

ابدأ خاصاً، وابدأ ضيقاً، واكتب النطاق كما تكتب قاعدة جدار ناري: سماح صريح، ورفض افتراضي.

## In scope
- app.example.com (production web app)
- api.example.com/v2/* (public API)

## Out of scope
- *.staging.example.com
- Denial of service, rate limit reports
- Findings requiring physical access or social engineering
- Third-party services (report to the vendor)

## Rewards (guideline)
- Critical: $3,000 to $8,000
- High: $1,000 to $3,000
- Medium: $250 to $1,000
- Low: $0 to $250, at our discretion

ثم تمسّك بالانضباط التشغيلي:

• أكّد استلام التقارير بسرعة، والأفضل خلال يومي عمل. الباحثون يغفرون بطء الدفع أكثر مما يغفرون الصمت.
• ادفع عند اكتمال الفرز، لا عند اكتمال الإصلاح. إجبار الباحث على انتظار تخطيط الـ sprint لديك هو الطريقة التي تموت بها البرامج.
• انشر بيان حماية (safe harbor) يجعل البحث بحسن نية مرخصاً بشكل صريح.
• تتبع نسبة التكرارات وزمن الفرز كمؤشرات من الدرجة الأولى. ارتفاع التكرارات يعني أن إصلاحاتك لا تصل إلى الإنتاج أو أن نطاقك أصبح متقادماً.

الجواب الحقيقي: رتّب الخطوات، ثم شغّل الاثنين معاً

سؤال "أيهما تحتاج أولاً" له جواب واضح لدى الغالبية الساحقة: الـ pentest أولاً، والـ bounty لاحقاً، وكلاهما في نهاية المطاف. اختبار الاختراق يصفّي الدين الأمني المتراكم بسعر ثابت وينتج الوثيقة التي يطلبها عملاؤك ومدققوك. ثم يأتي الـ VDP فالـ bounty ليبقي الضغط على كل ما تنشره بعد مغادرة المختبرين. البرامج الأمنية الناضجة تتعامل مع الـ pentest السنوي كعمق ومع الـ bounty كاتساع، وتوجه مخرجات الاثنين إلى نفس خط المعالجة حتى تتحول النتائج إلى اختبارات انحدار (regression tests) بدل فواتير متكررة.

القفز فوق هذا التسلسل هو الطريق الباهظ. الفرق التي تبدأ بالـ bounty تدفع ثمن تراكماتها ثغرة بثغرة وعلى الملأ. والفرق التي تكتفي بالـ pentest تؤطّر صورة نظيفة واحدة بينما شريط الفيديو ما زال يدور.

كيف تساعدك Innovation T

تدير Innovation T الأمن الهجومي بالطريقة التي يصفها هذا المقال بالضبط: اختبارات اختراق محددة النطاق، ببيانات دخول لكل دور، بصيغة grey-box، مع إعادة اختبار منصوص عليها في العقد، ثم إعداد VDP و bounty خاص عندما تنضج عضلة الفرز لديك. ونبني معك حلقة المعالجة أيضاً، بربط النتائج بالـ CI حتى تبقى أصناف الثغرات المصلحة مصلحة. اطلع على خدماتنا في الأمن والهندسة للصورة الكاملة.

إن كنت أمام موعد امتثال يقترب، أو استبيان عناية واجبة من عميل كبير، أو منتج لم يتعرض يوماً لهجوم احترافي، تواصل معنا. سنخبرك بصراحة أي مهمة تحتاجها أولاً، وأيها يمكنه الانتظار.