leebaird/engagement-mgrEngagement Manager هو تطبيق ويب لتتبع مهام الأمن الهجومي. يتميز بواجهة مستخدم حديثة، مبنية باستخدام Next.js وPrisma وPostgreSQL.
مدير المهام هو تطبيق ويب لتتبع مهام الأمن الهجومي. يتميز بواجهة مستخدم حديثة، مبنية باستخدام Next.js وPrisma وPostgreSQL. يتضمن التطبيق تقويمًا، ومهامًا، وعملاء، وجهات اتصال، ونتائج، ومشغلين.
Lee Baird @discoverscripts
Jay "L1ghtn1ng" Townsend @jay_townsend1
| عائلة الماسح/التصدير | التصدير المقبول |
|---|---|
| Burp Suite | Issues XML، بما في ذلك DTD المخطط الداخلي الخامل |
| Nessus / Tenable | Nessus v2 XML (.nessus) |
| Nmap | XML؛ تصبح المنافذ المفتوحة ومخرجات نصوصها البرمجية ملاحظات إعلامية، وليست ثغرات مستنتجة |
| OpenVAS / Greenbone | تقرير XML أصلي أو GMP get_reports_response |
| OWASP ZAP | تقرير JSON التقليدي مع المواقع والتنبيهات |
| Nuclei | JSON Lines (-jsonl) |
| Qualys | XML لنتائج الفحص (بنية SCAN/IP)، وليس تنسيق واجهة برمجة اكتشاف المضيف المنفصل |
| Semgrep / CodeQL ومنتجات SARIF الأخرى | تشغيلات SARIF JSON والقواعد والنتائج |
تقتصر الصادرات على 2 ميغابايت و500 نتيجة لكل استيراد، مع حدود معدل المعاينة والتأكيد لكل مستخدم. يقبل التطبيق ما لا يزيد عن 10,000 نتيجة إجمالاً و500 لمهمة واحدة عبر الإنشاء اليدوي والقوالب واستيرادات الماسحات الضوئية. تحمّل قائمة Findings العامة 100 صف لكل صفحة، وتُحدَّد استعلامات نتائج المهمة/التقرير بنفس الحد لكل مهمة. تفشل التخطيطات غير المعروفة بشكل مرئي بدلاً من معاملتها بصمت كاستيراد ناجح. خطورات الماسح الضوئي هي اقتراحات: راجع سياقها قبل الموافقة. لا يتم جلب أو تنفيذ عناوين URL المشار إليها أو HTML أو الصور البعيدة المضمنة.
تسمح التقارير بـ 1–100 نتيجة، وما يصل إلى 100 صورة دليل (5 ميغابايت لكل منها، 20 ميغابايت إجمالي الإدخال)، و500 صفحة و25 ميغابايت إخراج. يقتصر الإصدار على 50 نسخة لكل مهمة و1 غيغابايت من ملفات PDF الصادرة عبر التطبيق. للمعاينة والإصدار حدود معدل لكل مستخدم، ويُقبل عرض PDF واحد فقط لكل عملية تطبيق في المرة الواحدة. تحتفظ النتائج بما لا يزيد عن 1000 مراجعة و500 تعليق؛ والوصول إلى الحد يفشل دون الكتابة فوق السجل. خطوط DejaVu وترخيص إعادة توزيعها مضمنة في assets/fonts؛ ويجب أن تحتفظ عمليات النشر بهذه الأصول (يتضمن تتبع مخرجات Next.js هذه الأصول).
تشترك إجراءات خادم Next.js في حد حجم جسم واحد 25mb (المحدد في next.config.ts) لتحميلات الأدلة. يستخدم تسجيل الدخول مسارًا مخصصًا بنفس الأصل بترميز URL مع حد بث 4 كيلوبايت قبل المصادقة أو العمل على قاعدة البيانات.
يحافظ هذا على مساحة العمل المشتركة الموثّقة الحالية، وليس نموذجًا جديدًا لتعدد المستأجرين لكل عميل. تتحقق جميع الصفحات والإجراءات وتنزيلات PDF الجديدة من جلسة حالية مدعومة بقاعدة البيانات. تُحدَّد المسودات لمالكها؛ وتُفرض أذونات المراجعة والموافقة على القوالب والإصدار من جانب الخادم. استجابات PDF السرية خاصة/بدون تخزين. تحتوي ملفات PDF النهائية فقط على قائمة سماح صريحة لحقول التقرير، ولا تحتوي أبدًا على مسودات خاصة أو تعليقات مراجعة أو مهام غير ذات صلة.
يستخدم التنفيذ قائمة التحقق OWASP Top 10:2025: فحوصات الوصول (A01)، والاستجابات الخاصة وضوابط CSP/CSRF الحالية (A02)، والتبعيات المثبتة وCI (A03)، وحمايات الجلسة/الأسرار الحالية بالإضافة إلى فحوصات سلامة التقرير (A04/A08)، وMarkdown/XML الخامل والوصول إلى قاعدة البيانات ذي المعاملات (A05)، والمعالجة المحدودة والمراجعة المستقلة (A06)، وفحوصات الجلسة الحية (A07)، وأحداث التدقيق الخالية من المحتوى (A09)، والتغييرات المعاملاتية مع التنظيف عند الفشل (A10). يكشف الملخص عن التلف العرضي؛ وهو ليس توقيعًا رقميًا أو حماية من مسؤول قاعدة البيانات. هذا ليس شهادة امتثال. لا يزال الإنتاج يتطلب HTTPS، وتخزين قاعدة البيانات/النسخ الاحتياطي المحمي، والمراقبة التشغيلية لمخرجات التدقيق.
قبل نشر هذا الترقية، خذ نسخة احتياطية عادية للتطبيق وطبّق الترحيلات الإضافية 20260904221808_reporting_workflow و20260906194500_add_revocable_sessions باستخدام npm run db:migrate، ثم أعد إنشاء Prisma Client وأعد البناء. تبدأ النتائج الحالية كمسودة في الإصدار 1، ويجب أن تسجل ملفات تعريف ارتباط المتصفح الحالية الدخول مرة أخرى حتى تتلقى معرف جلسة مدعومًا من الخادم. لا تعد تعيين قاعدة بيانات موجودة. تتضمن النسخ الاحتياطية الجداول الجديدة وملفات PDF الصادرة عبر تصدير قاعدة البيانات الكامل الحالي.
