مختبر الاختراق والفريق الأحمر وصائد الثغرات: وش الفرق في العمل؟

ثلاثة أشخاص قد يستخدمون الأداة نفسها، لكن كل واحد منهم يجاوب عن سؤال مختلف. مختبر الاختراق يبحث عن نقاط ضعف ضمن نطاق متفق عليه، والفريق الأحمر يختبر قدرة المؤسسة على مواجهة سيناريو تهديد، وصائد الثغرات يبحث ضمن شروط برنامج يسمح باستقبال البلاغات. الفرق الحقيقي يبان في الهدف وطريقة التسليم، مو في شكل الطرفية أو عدد الأدوات.

مختبر الاختراق: تغطية محددة ونتائج قابلة للإصلاح

Pentester

عادةً يعمل على مشروع بمدة ونطاق واضحين: تطبيق، واجهة برمجية، شبكة، أو مجموعة أصول. المطلوب فهم السطح المتاح، وتنفيذ حالات اختبار مناسبة، والتحقق من النتائج، ثم كتابة تقرير يشرح الأثر والإصلاح والقيود. قد يكون الاختبار من دون حساب، أو بحسابات متعددة، أو مع معلومات وشفرة يوفرها العميل.

لو كان النطاق بوابة موظفين، فالمختبر يهتم بالمصادقة والصلاحيات ورفع الملفات وتدفق الموافقات. اكتشاف خلل مهم لا يعني تلقائيًا أن بقية التغطية صارت غير ضرورية. ويذكر ما لم يتمكن من اختباره حتى لا يفهم العميل التقرير على أنه ضمان شامل.

الفريق الأحمر: هل سنكتشف المسار ونوقفه؟

Red Teamer

في تمرين الفريق الأحمر، يكون التركيز على هدف عملياتي مرتبط بتهديد واقعي، مثل اختبار إمكانية الوصول إلى ملف تجريبي حساس، وقياس ما إذا كانت الضوابط وفرق الدفاع تلاحظ النشاط وتستجيب له. عدد الثغرات ليس المقياس الأساسي؛ قد يكشف مسار واحد فجوات في المنع والرصد والتصعيد.

درجة السرية تختلف حسب الاتفاق. بعض التمارين تبدأ بافتراض وصول أولي معتمد، وبعضها يختبر مراحل أوسع. استخدام الهندسة الاجتماعية أو الوصول المادي أو أي تقنية عالية الأثر يحتاج تصريحًا محددًا، ولا يدخل تلقائيًا تحت اسم الفريق الأحمر. إطار ميتري يساعد في وصف سلوك الخصم بلغة مشتركة، لكنه لا يحول التمرين إلى قائمة تقنيات يجب تنفيذها كلها.

صائد الثغرات: فرصة بحث داخل سياسة البرنامج

Bug Bounty Hunter

يختار الباحث هدفًا من الأصول التي يسمح بها البرنامج، ويلتزم بشروطه وحدود الاختبار والإفصاح. يقدم بلاغًا عن ثغرة قابلة للتحقق، لكن البلاغ قد يكون مكررًا، أو غير مؤهل للمكافأة، أو خارج النطاق. وجود نموذج بلاغات لا يعني وجود برنامج مكافآت مالي أصلًا.

الباحث ليس مكلفًا عادةً بتقديم تغطية شاملة لكل وظائف التطبيق. وقد يتعمق في فئة واحدة من الأخطاء. لهذا لا يصح التعامل مع غياب البلاغات باعتباره دليلًا على أن التطبيق اجتاز اختبارًا متكاملًا. كذلك لا تفترض أن شروط برنامج واحد تنطبق على برنامج آخر؛ السياسة الحالية لكل برنامج هي المرجع.

نفس الشركة، وثلاثة تكليفات مختلفة

تخيل شركة عندها منصة مستندات. تكليف مختبر الاختراق: اختبر حدود الوصول بين العملاء ووظائف المشاركة، وقدم تقريرًا يغطي المسارات المتفق عليها. تكليف الفريق الأحمر: نفذ سيناريو معتمدًا للوصول إلى مستند وهمي محدد، وساعد في قياس اكتشاف المسار والاستجابة له.

أما الباحث في برنامج المكافآت فيختار وظيفة داخل النطاق، ويبلغ عن خلل مؤهل وفق السياسة. ممكن الثلاثة يكتشفون المشكلة نفسها، لكن مسؤولية التغطية، وتوقعات التواصل، ودليل النجاح تختلف. هنا يبدأ الفرق اللي يضيع لما نقارن الأدوار بأسماء الأدوات فقط.

أي مسار يناسب بدايتك؟

إذا تستمتع بالتغطية المنظمة وشرح الأسباب والإصلاحات، فاختبار الاختراق مسار مناسب للتعمق. وإذا يهمك ربط مراحل متعددة وفهم الرصد والاستجابة، فتعلم أساسيات العمل الهجومي والدفاعي قبل التوسع في تمارين الفريق الأحمر. أما البحث المستقل فيحتاج صبرًا وقدرة على تحمل عدم انتظام النتائج، ولا يصح اعتباره دخلًا مضمونًا.

المسارات متداخلة، والمسميات تختلف بين الشركات. اقرأ وصف الوظيفة: وش بتختبر؟ وش بتسلم؟ من يراجع عملك؟ وكيف يقاس النجاح؟ هذه الأسئلة أنفع من ترتيب الألقاب حسب الهيبة. ومهما اخترت، فهم الويب والشبكات والأنظمة والتوثيق سيبقى أساسًا مشتركًا.

قراءة تساعدك في تحديد توقعاتك

لتفصيل مهام الوظيفة اليومية، اقرأ مقال «ماذا يفعل مختبر الاختراق فعلًا؟»:
https://courses.cyberpts.com/community/5/matha-yfal-mkhtbr-alakhtraq-fala-mham-alwzyfh-bayda-an-swrh-alaflam

مرجع لوظيفة إطار ميتري في محاكاة الخصوم:
https://attack.mitre.org/resources/get-started/adversary-emulation-and-red-teaming/