owasp/aptsOWASP معيار اختبار الاختراق الذاتي
معيار حوكمة لمنصات اختبار الاختراق الذاتية. يحدد ما يجب أن تفعله هذه الأنظمة للعمل بأمان وشفافية وضمن حدود محددة، سواء تم تقديمها من قبل البائعين، أو تشغيلها كخدمة، أو بناؤها داخليًا من قبل فرق الأمن في المؤسسات لاختبار مؤسساتها الخاصة.
APTS ليس منهجية اختبار. فهو يكمل PTES وOWASP WSTG وOSSTMM من خلال معالجة المشكلات الفريدة للتشغيل الذاتي: فرض النطاق، والاستقلالية الآمنة، ومقاومة التلاعب، والمساءلة.
| المجال | البادئة | المتطلبات | الوصف |
|---|---|---|---|
| فرض النطاق | SE | 26 | تحديد حدود الاختبار والتحقق منها وفرضها |
| ضوابط السلامة | SC | 20 | تصنيف التأثير، نطاق التأثير، مفاتيح الإيقاف، التراجع، صندوق تنفيذ معزول |
| الإشراف البشري | HO | 19 | بوابات الموافقة، لوحات المعلومات، التصعيد، مؤهلات المشغل |
| الاستقلالية المتدرجة | AL | 28 | أربعة مستويات للاستقلالية (L1 بمساعدة حتى L4 ذاتية) |
| قابلية التدقيق | AR | 20 | التسجيل، مسارات القرار، سلامة الأدلة، عزل مسار التدقيق |
| مقاومة التلاعب | MR | 23 | حقن الأوامر، المدخلات العدائية، الدفاع ضد توسيع النطاق |
| الثقة في سلسلة التوريد | TP | 22 | الثقة في مزود الذكاء الاصطناعي، التعامل مع البيانات، عزل تعدد المستأجرين، الإفصاح عن النموذج الأساسي |
| إعداد التقارير | RP | 15 | التحقق من النتائج، تقييم الثقة، الإفصاح عن التغطية |
توجد عشرون ممارسة استشارية إضافية حصريًا في ملحق المتطلبات الاستشارية ضمن نمط المعرّف APTS-<DOMAIN>-A0x. لا تُحتسب الممارسات الاستشارية ضمن أي مستوى ولا تؤثر على المطابقة.
لا يوجد لدى APTS جهة إصدار شهادات، ولا تدقيق إلزامي من طرف ثالث، ولا رسوم. يتم تقييم المنصات مقابل المتطلبات وتوثيق المطابقة. لا يحدد المعيار من يقوم بالتقييم؛ فالتقييم الذاتي الداخلي، والمراجعة الداخلية المستقلة، والتقييم الخارجي من طرف ثالث كلها أساليب صالحة، ويُترك الاختيار للقارئ.
تستخدم المتطلبات التنسيق APTS-XX-NNN حيث XX هي بادئة المجال وNNN هو رقم المتطلب (على سبيل المثال، APTS-SE-001). للإشارات المُصدَّرة في العقود أو التقييمات، استخدم APTS-v0.1.0-SE-001.
استخدم مسار القارئ هذا لاختيار أقصر طريق عبر APTS بناءً على دورك وهدفك بعد مراجعة نظرة عامة على الإطار والمجالات وهيكل المستويات أعلاه.
| الدور | ابدأ بـ | ثم استخدم | النتيجة |
|---|---|---|---|
| جديد على APTS | المقدمة، المصطلحات | دليل البدء | فهم الإطار ونطاقه |
| بائع أو منشئ منصة | المقدمة، المصطلحات، ثم قوائم التحقق للمستوى المستهدف | ملفات README للمجالات، أدلة التنفيذ، قالب ادعاء المطابقة، بيان حزمة الأدلة | مطابقة موثقة وحزمة أدلة |
| فريق داخلي في مؤسسة | المقدمة، المصطلحات، ثم دليل البدء | المجالات الأساسية (SE، SC، HO، AR)، القوالب | خط أساس للحوكمة الداخلية |
| CISO أو مسؤول المشتريات | المقدمة، المصطلحات، ثم دليل تقييم البائعين | قائمة التحقق لطلب الأدلة، بيان حزمة الأدلة، ادعاء المطابقة | قرار تقييم البائع |
| مراجع أمني أو مدقق | المقدمة، المصطلحات، ثم المستوى المدعى وقوائم التحقق | أقسام التحقق من المجالات، اختبار القبول من العميل | نتائج المراجعة المستقلة |
| مساهم | CONTRIBUTING.md | المشكلات وطلبات السحب الحالية | طلب سحب صغير وقابل للمراجعة |
هذه المساعدة التوجيهية إعلامية ولا تنشئ أو تعدل متطلبات APTS.
المعيار الكامل مع جميع المتطلبات وإجراءات التحقق وقوائم التحقق والملاحق موجود في مجلد standard/.
هذا المعيار مفتوح لمساهمات المجتمع. سواء كان الأمر يتعلق بتحسين وضوح المتطلبات، أو إضافة أمثلة تنفيذية، أو إصلاح الأخطاء، أو ترجمة المعيار، فإن جميع المساهمات مرحب بها. راجع CONTRIBUTING.md للبدء وGOVERNANCE.md لأدوار المشروع وعملية اتخاذ القرار. تُصان الترجمات في standard/translations/.
أبلغ عن مشكلات المحتوى الحساس (إرشادات أمنية غير صحيحة، توثيق أنماط غير آمنة) عبر SECURITY.md.
انضم إلى النقاش على OWASP Slack في قناة #project-apts.
CC BY-SA 4.0. حقوق النشر 2026 The OWASP Foundation.
