عندك حساب دعم في SOTI MobiControl، وأمامك أجهزة مستودع ونقاط بيع وهواتف موظفين. أول فكرة قد تجيك: أفحص صفحة الدخول وأشوف هل فيها ثغرة ويب. هذا جزء من الشغل، لكن الفرصة الأهم غالبًا في مسار الإدارة نفسه: أي جهاز يقدر حسابك يشوفه؟ أي أمر يقدر
فريق التطوير يقول لك: «ارتاح، ما عندنا Client Secret في GitHub، الدخول على Azure كله OIDC». هذي خطوة جيدة، لكنها ما تجيب عن السؤال الأمني كاملًا. من يقدر يشغّل المهمة التي تثق بها السحابة؟ وأي مستودع وبيئة وفرع يمثلها الرمز؟ وبعد ما تقبل En
التطبيق صار خلف إنترَا ويطلب تسجيل دخول، فهل انتهى اختبار المصادقة والتفويض؟ لا زالت عندك رحلة فيها خدمة نشر وموصل وخادم داخلي وجلسة تطبيق وقرار على كل عملية. الحماية عند أول البوابة مهمة، لكنها ما تجيب عن كل سؤال داخل التطبيق. بنراجع تطبيق
«المستخدم ضيف، أكيد ما يقدر إلا على الملف الذي شاركناه». هذه فرضية لازم تختبرها، مو حقيقة تأتي مع كلمة ضيف. الوصول النهائي يتحدد بهوية المستخدم وسياسات الثقة وتفويض المورد والعضويات التي أُعطيت له، وقد تدخل أكثر من مؤسسة في الرحلة. هذا المق
فريق دعم الرياض يدير حسابات فرعه، وفريق جدة يدير فرعه. يبدو التقسيم واضحًا في الشاشة، لكن الاختبار يحتاج أكثر من قائمة أسماء مفلترة. هل الدور نفسه محدود بنطاق الوحدة؟ وهل الكائن الذي تراجعه داخلها مباشرة؟ وهل قدرة أخرى تشرح ما يستطيع الحساب
المسؤول يقول إن الصلاحيات الإدارية كلها مؤقتة، لكن حساب اللاب يستطيع تنفيذ مهمة إدارية قبل ما يطلب تفعيلًا. احتمال أنك تقيس دورًا نشطًا من مسار آخر، أو عضوية مجموعة، أو حالة جلسة، مو مشكلة في واجهة التفعيل نفسها. مراجعة إدارة الهوية المميزة
لقطة الجهاز تقول إنه موجود في إنترَا، والمسؤول يقول إنه مُدار، وسجل الدخول يرفضه لأنه غير مطابق. الثلاث جمل ممكن تكون صحيحة معًا. المشكلة تبدأ عندما تختصر هوية الجهاز وإدارته وامتثاله في علامة واحدة اسمها «جهاز الشركة». بنقرأ حالة جهاز ويند
نجح دخول حساب اللاب، لكن سجل سياسة الوصول المشروط يقول إن النتيجة فشل. هل عندك تجاوز؟ قبل الحماس، اقرأ حالة السياسة ونوع النتيجة والمورد الذي استهدفه الطلب. كلمة واحدة مقصوصة من السجل قد تحول تجربة طبيعية إلى بلاغ غير صحيح. بنراجع هنا حد تط
تفتح إعدادات تطبيق، فتلقى قائمة صلاحيات طويلة. أول ردة فعل ممكن تكون: «التطبيق يقدر يشوف كل شيء». بس القائمة قد تصف ما يطلبه التطبيق، لا كل ما مُنح له ولا كل ما استخدمه. وبالمقابل، قد توجد موافقة فعلية ما انتبهت لها لأنك كنت تنظر إلى كائن أ
قد يدخل المختبر إلى بيئة إنترَا بحساب ما يملك دورًا إداريًا كبيرًا، ثم يجد نفسه مالكًا لتطبيق قديم تستخدمه خدمة مهمة. هنا السؤال مو «هل الحساب أدمن؟». السؤال: وش الأشياء التي يستطيع تغييرها في هذه الهوية التطبيقية، وما الصلاحيات التي تستعمل
الشهادة وصلت إلى جهاز اللاب، والاتصال بالشبكة نجح. هل هذا يعني أن مسار الإصدار مضبوط أمنيًا؟ النجاح يثبت أن حالة واحدة اشتغلت، لكنه ما يوضح من يستطيع تغيير ملف الشهادة، وأي قالب تستخدمه الخدمة، وما الحساب الذي يطلب الإصدار داخل الشبكة. هذا
الحساب ما هو مدير دومين، لكنه يقدر ينشر سكربت على أجهزة الشركة. لو توقفت عند اسم الدور، بتفوت أهم جزء: الإجراء قد ينفذ على الجهاز بهوية أعلى من هوية الشخص الذي كتبه. هذا واحد من المسارات التي تجعل منصة إدارة الأجهزة هدفًا مهمًا في اختبار ال
تقرير الأجهزة يقول إن اللابتوب تابع للشركة، والمسؤول يعتبره دليلًا أن كل الأجهزة غير المعروفة ممنوعة. لكن وسم الملكية يصف حالة إدارية، وما يغني عن مراجعة طريق التسجيل والهوية التي نفذته والسياسات التي وصلت بعده. إذا خلطت هذه المعاني، بتكتب
المسؤول يعرض لك جهازًا حالته غير مطابقة، لكن صاحبه يفتح تطبيق الشركة. أول رد يجي في البال: «الوصول المشروط ما يشتغل». ممكن يكون هذا صحيحًا، وممكن تكون المقارنة بين تقرير قديم ودخول جديد، أو بين سياسة تقييم فقط وسياسة تطبق المنع، أو بين تطبي
طلب قراءة الأجهزة ينجح من خدمة الجرد، ويرفض من حساب الدعم. نفس المستأجر ونفس المسار، لكن النتيجة مختلفة. قبل ما تبحث عن حيلة تغيّر بها الطلب، اسأل السؤال الأهم: هل الخدمة تستخدم هوية تطبيق مستقلة، بينما حساب الدعم يعمل بصلاحيات مستخدم؟ في ا
فريق التطبيقات يقرأ إعدادات المقر، ويعدل تطبيقات الفرع فقط. هذا هو التصميم المكتوب. لكن عضوًا في الفريق يقدر يعدل عنصرًا يتبع المقر أيضًا. ما نحتاج نقفز إلى استنتاج أن المنصة فيها ثغرة عامة؛ نحتاج نفهم كيف اجتمعت تعيينات الحساب، وما السلوك
تعطيك الشركة حساب دعم في إنتيون وتقول: «هذا يشوف أجهزة فرع واحد فقط». تفتح اللوحة، تلقى الأجهزة المتوقعة، وتعتبر العزل مضبوطًا. بعدها يطلع أن الحساب مرتبط بتطبيق تكامل أو يستطيع تعديل مجموعة تستقبل سياسة حساسة. هنا الاختبار يبدأ يصير مفيدًا
الفريق يقول إنه طبق التوصيات الخمس، وترجع أدواتك تعرض نتائج أقل. هذا تقدم، لكنه ما يكفي وحده لإغلاق الملاحظات. ربما اختفى المسار بسبب توقف خدمة، أو تغير حساب الاختبار، أو صار جمع البيانات أضيق. وربما التصحيح ناجح تقنيًا لكنه منع وظيفة دعم ي
