أطلقت شركة Microsoft منصة جديدة مفتوحة المصدر باسم Dusseldorf، مخصصة لاختبار أمان التطبيقات خارج النطاق (OAST)، وذلك بموجب رخصة MIT المفتوحة. وتعد هذه الأداة، التي جرى تطويرها داخلياً واعتمادها من قِبل فرق الفريق الأحمر (Red Teams) وأمان التطبيقات في الشركة، منصة خاصة وقابلة للتخصيص بالكامل. وتتيح المنصة للباحثين الأمنيين نشر بنية تحتية ذاتية لاستماع ورصد حركة البيانات الواردة عبر بروتوكولات متعددة تشمل DNS وHTTP وHTTPS، ما يسمح باكتشاف واستغلال فئات من الثغرات الأمنية الحرجة التي يصعب تتبعها بالوسائل التقليدية، مثل تزوير الطلبات بين المواقع (SSRF)، وحقن القوالب من جانب الخادم (SSTI)، وحقن النص البرمجي عبر المواقع (XSS)، وكيانات XML الخارجية (XXE).
وتأتي هذه الخطوة لرفد مجتمع أمن التطبيقات بأداة إنتاجية مجانية، تعزز استثمارات Microsoft المتنامية في البرمجيات مفتوحة المصدر والأبحاث السيبرانية.
تكتسب ثغرات الأمان خارج النطاق أهميتها البالغة من طبيعتها المعقدة؛ إذ لا تترك عادة أثراً واضحاً أو استجابة مباشرة داخل التطبيقات المستهدفة، ما يتطلب آليات رصد خارجية متطورة لالتقاط محاولات الاستغلال بنجاح. وهنا يأتي دور منصات OAST التي صُممت خصيصاً لمراقبة الاستدعاءات والطلبات الصادرة من التطبيق المستهدف إلى أنظمة خارجية يسيطر عليها المختبر الأمني. وتتميز منصة Dusseldorf بتوفير هذا الإطار الحمائي بشكل خاص وآمن تماماً داخل بيئة المستخدم، دون الحاجة للاعتماد على أي خدمات سحابية خارجية التابعة لجهات أخرى.
تعتمد آلية عمل المنصة، وفقاً للوثائق الرسمية المنشورة في مستودعها على GitHub، على نشر مستمعات شبكية مخصصة للبروتوكولات المدعومة، وربطها بنطاق خاص يملكه المستخدم (مثل *.yourdomain.net). وعندما يقوم التطبيق الخاضع للفحص بإرسال طلب خارجي إلى هذا النطاق أو نطاقاته الفرعية، تلتقط المنصة هذا الطلب وتسجله في منظومة مركزية، مع إمكانية إعداد استجابات آلية مخصصة بناء على سيناريوهات التحقق الأمني المعتمدة.
وتُدار المنصة بمرونة عالية عبر واجهة مستخدم رسومية (GUI) محمية، إلى جانب واجهة برمجة تطبيقات REST API تتيح أتمتة عمليات الرصد، وسحب السجلات، والتحقق، ما يسهل دمجها بسلاسة ضمن مسارات اختبار الأمان المؤتمتة (CI/CD).
وقبل إتاحتها كشيفرة مفتوحة المصدر، كانت Dusseldorf أداة داخلية سرية ومجربة لدى Microsoft؛ حيث استعرضها مايكل إتش، مدير أبحاث الأمن الرئيسي في الشركة، خلال فعاليات مؤتمر NULLCON غوا في مارس 2025. وأشار منشور صادر عن مركز استجابة الأمن في Microsoft (MSRC) عبر منصة LinkedIn إلى أن المشروع صُمم خصيصاً لأتمتة عمليات اكتشاف واستغلال الثغرات على نطاق سحابي واسع، واستخدمته الفرق الأمنية للشركة لتسريع الاختبارات في بيئات تقنية ضخمة ومعقدة، ما يمنح الإصدار الحالي موثوقية عالية نظراً لتجربته الفعلية في بيئات إنتاجية حقيقية.
أما من ناحية متطلبات التشغيل والنشر، فتوضح الوثائق الفنية للمشروع أن تشغيل Dusseldorf يتطلب توفر خادم متصل بشبكة الإنترنت يمتلك عنوان IPv4 عاماً واحداً على الأقل، مع نطاق DNS تُوجّه سجلات خادم الأسماء (NS) فيه مباشرة إلى هذا العنوان. وتدعم المنصة مسارين رئيسيين للنشر لتلائم مختلف الاحتياجات: المسار الأول محلي يناسب مختبرات التطوير والاختبار ويعتمد على Docker Compose، والمسار الثاني سحابي بالكامل يستهدف بيئة Azure ويتم التحكم فيه عبر أداة Helm، مع ضرورة إعداد الشهادات الرقمية وبيانات الاعتماد المطلوبة.
وتتكامل هذه المنظومة مع حزمة من المتطلبات البرمجية الأساسية تشمل Docker، وAzure CLI، وOpenSSL، بالإضافة إلى Python 3 وpip وjq وHelm، ما يمنحها مرونة تشغيلية عالية في البيئات المتنوعة.
وينبع الاسم الرمزي للمشروع من تقليد Microsoft الراسخ في إطلاق أسماء المدن العالمية على مشاريعها التقنية؛ حيث وقع الاختيار على مدينة دوسلدورف الألمانية نظراً لاحتواء كتابتها اللاتينية على الأحرف “SSRF”كإشارة ذكية لنوع الثغرات المستهدف. وتتوفر الأداة حالياً بشكل مجاني لجميع المتخصصين، ما يعكس التزام الشركة الفعلي بتمكين مجتمع الباحثين الأمنيين ومشاركة الأدوات المتقدمة التي كانت محصورة خلف أسوارها التقنية.
