הזדהות והרשאות
מי מצליח להיכנס למערכת, ומה הוא מורשה לעשות לאחר שנכנס.
- תהליך ההתחברות, שחזור סיסמה ואימות דו־שלבי
- ניהול הפעלות (Sessions) ותוקף אסימוני גישה
- הפרדה בין רמות הרשאה: משתמש, מנהל, מנהל־על
- גישה ישירה לכתובות או לפעולות ללא הרשאה מתאימה
בדיקות חדירה לאפליקציות ול-API
בחינת אבטחת המוצר עצמו: מי יכול להיכנס, מה כל משתמש רשאי לעשות, ומה נחשף בדרך.
בדיקת חדירה אפליקטיבית בוחנת הזדהות והרשאות, הפרדת מידע בין לקוחות, חשיפת נתונים, ממשקי API ולוגיקה עסקית. הבדיקה מתאימה לפני השקה, למערכת פעילה ולאחר שינוי משמעותי. את היקף הבדיקה נגדיר יחד בשיחה.
- מתאים ל
- אפליקציות Web, מערכות עסקיות, פורטלי לקוחות, CRM, SaaS, ממשקי API ואפליקציות מובייל
- מתי פונים
- לפני השקה, למערכת פעילה שלא נבדקה, לאחר שינוי משמעותי, או מול דרישת לקוח
- תמחור
- נקבע לפי המערכת וההיקף, לאחר שיחת אפיון. אין מחיר אחיד
- תוצר
- דוח בעברית, הנחיות תיקון, ליווי בתיקון ובדיקה חוזרת אחת
מה מקבלים בסיום
דוח בעברית
תיאור הממצאים, דירוג חומרה והנחיות תיקון.
סדר עדיפויות לתיקון
דירוג לפי חומרה, עם CVSS כמדד עזר כשמתאים, ותעדוף לפי ההשפעה העסקית.
ליווי בתיקון
מענה לשאלות וסיוע בהבנת הנחיות התיקון.
בדיקה חוזרת אחת
כלולה בדיקה חוזרת אחת של הממצאים שדווחו. ניתן לתאם סבבים נוספים בנפרד.
שמירת המידע
הממצאים ונתוני הבדיקה נשמרים בישראל כשהם מוצפנים, ונמחקים בסיום ההתקשרות לאחר קבלת אישור בכתב מכם.
בדיקת אבטחה היא בדיקה מדגמית ונקודתית בזמן. היא אינה קובעת שהמערכת חסינה מפני חדירה ואינה מהווה אישור עמידה בתקן או ברגולציה.
אפליקציה, תשתית, או שתיהן
אפשר לבדוק את האפליקציה, את סביבת התשתית והענן, או לשלב ביניהן. בשיחת האפיון נברר מה רלוונטי למערכת שלכם.
| סוג הבדיקה | מה נבדק | מתי מתאים |
|---|---|---|
| בדיקת אפליקציה | המוצר עצמו: הזדהות, הרשאות, הפרדה בין לקוחות, חשיפת מידע, לוגיקה עסקית וממשקי API | כשהחשש הוא ממשתמש שמצליח לראות או לעשות דברים שאינו אמור |
| בדיקת חדירה לתשתיות ולענן | הסביבה שעליה רצה המערכת: תצורת הענן, הרשאות גישה, אחסון, רשת ונכסים החשופים לאינטרנט | כשנדרש לבחון את הרשאות הענן, האחסון, הרשת והגדרות התשתית |
| בדיקה משולבת | שתיהן יחד, כולל בחינת הקשר ביניהן | מתאימה למערכת שעולה לאוויר בפעם הראשונה, כשנדרש לבדוק גם את המוצר וגם את הסביבה שעליה הוא רץ |
אם אינכם יודעים לאיזו קטגוריה אתם שייכים, זו בדיוק הסיבה לשיחת האפיון. אין צורך להחליט מראש.
תחומי בדיקה אפשריים
הבדיקה ידנית ומבוצעת בידי בודקים בכירים, לפי PTES ובהסתמך על OWASP Top 10, ASVS ו-API Security Top 10 כמקורות מקצועיים. היקף הבדיקה נקבע בהצעה.
הפרדה בין לקוחות
במערכת שמשרתת מספר לקוחות, האם מידע של אחד נגיש לאחר.
- גישה לרשומות של ארגון אחר באמצעות שינוי מזהה
- הפרדת נתונים בשאילתות, בדוחות ובייצוא
- קבצים ומסמכים שהועלו על ידי לקוח אחר
- הודעות, התראות ויומני פעילות חוצי־לקוחות
חשיפת מידע
מידע שנחשף מעבר לנדרש, לעיתים מבלי שהמפתח מודע לכך.
- שדות עודפים בתשובות שרת שאינם מוצגים בממשק
- הודעות שגיאה החושפות מבנה פנימי או נתונים
- מפתחות, אסימונים או פרטי התחברות בקוד צד־לקוח
- מידע אישי בכתובות, בלוגים או במטמון
ממשקי API
ממשקים נבדקים בנפרד מהממשק הגרפי, משום שלעיתים ההגנות ממומשות רק בצד הלקוח.
- אימות והרשאה ברמת נקודת הקצה ולא רק בממשק
- הגבלת קצב ומניעת שימוש לרעה
- בדיקת הטיפול בקלט שגוי או חריג
- נקודות קצה ישנות או לא מתועדות שנותרו פעילות
מה נדרש מכם
רוב הדרישות הן טכניות ומטופלות על ידי המפתח. בעל העסק נדרש בעיקר להחלטות ולאישורים.
מבעל העסק
- החלטה על היקף הבדיקה, לאחר שיחת האפיון
- אישור בכתב לביצוע הבדיקה במערכת
- אם המערכת פותחה בידי גורם חיצוני: תיאום מולו
- איש קשר זמין לאורך הבדיקה
מהמפתח
- כתובת הסביבה שתיבדק, רצוי סביבת בדיקות
- משתמשי בדיקה בכל רמת הרשאה רלוונטית
- תיעוד ממשקי API, אם קיים
- גיבוי עדכני לפני תחילת הבדיקה
- הכללת כתובות הבדיקה ברשימה הלבנה, אם יש חסימות
אם אין סביבת בדיקות נפרדת, הבדיקה תתבצע בסביבת הייצור בתיאום, בחלונות זמן מוגדרים ובתכולה שנקבעה מראש כדי לצמצם השפעה על הפעילות.
מה משפיע על המחיר ועל משך העבודה
אין מחיר אחיד לבדיקת מערכת, משום שההיקף משתנה מהותית בין מוצר למוצר. אלה הגורמים שנברר בשיחת האפיון, ולפיהם ייקבעו ההצעה ולוח הזמנים.
| גורם | מה נברר |
|---|---|
| גודל המערכת | מספר המסכים, התהליכים העסקיים והפעולות שהמשתמש יכול לבצע |
| מבנה ההרשאות | כמה סוגי משתמשים קיימים, והאם המערכת משרתת מספר לקוחות בנפרד |
| היקף ממשקי ה-API | מספר נקודות הקצה, והאם קיים תיעוד |
| סביבת הבדיקה | האם קיימת סביבת בדיקות, או שהבדיקה מתבצעת בייצור בתיאום |
| הרחבה לתשתית וענן | האם הבדיקה כוללת גם את הסביבה שעליה רצה המערכת |
| עומק הבדיקה | סקירה ממוקדת של אזורי הסיכון, או בדיקה רחבה יותר לפי היקף הבדיקה שסוכם |
בתום שיחת האפיון תקבלו מסמך תכולה (SOW) הכולל מחיר, לוח זמנים ורשימת מה שנכלל בבדיקה ומה שאינו נכלל בה.
איך מתחילים
- שלב 01
שיחת אפיון
שיחה קצרה שבה נבין מה המערכת עושה, מי המשתמשים שלה ואיזה מידע היא מחזיקה. אין צורך בהכנה או בידע מקצועי מוקדם.
- שלב 02
הצעה ותכולה
לאחר קבלת הפרטים תקבלו הצעת מחיר בתוך 24 שעות. ההצעה תפרט את היקף הבדיקה ולוח הזמנים. אפשר בדרך כלל להתחיל בתוך שבועיים מאישור ההצעה.
- שלב 03
הכנה טכנית
קבלת כתובת הסביבה ומשתמשי בדיקה מהמפתח, ותיאום חלונות הזמן לביצוע.
- שלב 04
ביצוע הבדיקה
הבדיקה מתבצעת ידנית, בליווי כלים לאיתור ראשוני ובהתאם להיקף הבדיקה שסוכם.
- שלב 05
דוח ותיקון
מסירת דוח בעברית, ליווי בתיקון ולאחריו בדיקה חוזרת אחת של הממצאים שדווחו.
שאלות נפוצות
השאלות שחוזרות בשיחות הראשונות.
מה נבדק בבדיקת חדירה לאפליקציה או ל-API?
היקף הבדיקה נקבע לפי המערכת והסיכונים שלה. הבדיקה יכולה לכלול הזדהות והרשאות, הפרדה בין לקוחות, חשיפת מידע, לוגיקה עסקית וממשקי API. הבדיקה ידנית ומבוצעת בידי בודקים בכירים, לפי מתודולוגיית PTES ובהסתמך על OWASP Top 10, ASVS ו-API Security Top 10 כמקורות מקצועיים. מקורות אלה אינם הסמכה או אישור עמידה בתקן.
אפשר לבדוק מערכת שכבר פעילה?
כן. כשקיימת סביבת בדיקות נעדיף לעבוד בה. בדיקה בסביבת ייצור תתואם מראש. היקף הבדיקה, חלונות הזמן והפעולות המותרות יוגדרו מראש כדי לצמצם סיכון לפעילות ולמידע.
כמה עולה הבדיקה ומתי אפשר להתחיל?
המחיר ומשך העבודה תלויים בהיקף הבדיקה, במספר סוגי המשתמשים ובמורכבות ממשקי ה-API. לאחר קבלת הפרטים תקבלו הצעת מחיר בתוך 24 שעות. לאחר אישור ההצעה אפשר בדרך כלל להתחיל בתוך שבועיים. לוח הזמנים המדויק יופיע במסמך התכולה.
מה מקבלים בסיום הבדיקה?
תקבלו דוח בעברית עם תיאור הממצאים והנחיות תיקון. הממצאים מדורגים לפי חומרה, עם CVSS כמדד עזר כשמתאים, ומתועדפים לפי ההשפעה העסקית.
האם בדיקה חוזרת כלולה?
כלולה בדיקה חוזרת אחת של הממצאים שדווחו. ניתן לתאם סבבים נוספים בנפרד.
איך נשמרים הממצאים ונתוני הבדיקה?
הממצאים ונתוני הבדיקה נשמרים בישראל ובצורה מוצפנת. הם נמחקים בסיום ההתקשרות לאחר קבלת אישור בכתב מכם.
תיאום שיחת אפיון
שיחה קצרה, ללא התחייבות. בסופה תדעו איזו בדיקה רלוונטית למערכת שלכם ומה הצעד הבא.