מיפוי ובדיקה של כלל הנכסים החשופים לאינטרנט, בתכולה ובמחיר המוגדרים מראש.
ארגונים רבים אינם מחזיקים תמונה מלאה של הנכסים החשופים שלהם לאינטרנט: שרתים שיצאו משימוש, תת־דומיינים של סביבות פיתוח, ממשקי ניהול נגישים ושירותים שנותרו פעילים ללא צורך. השירות ממפה את מלוא הנכסים החשופים, בודק אותם ומספק רשימת פעולות מדורגת.
משטח התקיפה החיצוני הוא המידע היחיד הזמין לתוקף ללא גישה מוקדמת, ולפיכך נקודת הפתיחה של רוב ניסיונות החדירה. עבור ארגון שטרם ביצע בדיקות אבטחה, זו לרוב הבדיקה הראשונה שנכון לבצע.
הממצא השכיח ביותר הוא נכס שאינו מופיע ברישומי הארגון: סביבת פיתוח שנותרה חשופה, תת־דומיין בניהול ספק קודם, או שרת שהועבר לענן בעוד המופע המקורי נותר פעיל.
הבדיקה אינה כוללת ניצול חולשות, מתקפות מניעת שירות או שינוי מידע, ומתבצעת בקצב מוגבל. התכולה מוגדרת כך שלא תשפיע על זמינות המערכות או על רציפות הפעילות.
הבדיקה אינה מחייבת התקנות, הרשאות למערכות או פתיחת גישה. התנאים לפתיחה הם אישור רשימת הנכסים וכתב הרשאה חתום בלבד.
התמחור נקבע לפי מכסת נכסים ואינו מבוסס על שעות עבודה. העלות המלאה ידועה בטרם תחילת הבדיקה.
גבולות הבדיקה מוגדרים מראש ובמפורש, לרבות הפעולות והנכסים שאינם נכללים בה.
שליטה בשם דומיין אינה כשלעצמה הרשאה לבדוק תשתית של צד שלישי.
התמחור נקבע לפי מכסת נכסים. המסלול השנתי כולל ארבעה סבבים ומאפשר מעקב אחר שינויים במשטח התקיפה לאורך השנה.
| מדרגה | מכסת נכסים | סבב חד־פעמי | מסלול שנתי | למי מתאים |
|---|---|---|---|---|
| בסיס | עד 15 | 5,900 ₪ | 18,000 ₪ | עסק קטן עם אתר אחד ומספר שירותים חשופים |
| סטנדרט | עד 40 | 10,500 ₪ | 32,000 ₪ | חברה בינונית עם מספר דומיינים וסביבות |
| מורחב | עד 80 | 16,500 ₪ | 52,000 ₪ | ארגון עם מספר רב של דומיינים וסביבות ענן |
מהפנייה ועד מסירת הדוח הסופי: כשבועיים.
בירור הדומיינים והיקף הפעילות. מאחר שהתמחור קבוע לפי מדרגה, ניתן למסור מחיר כבר בשיחה זו.
מסירת מסמך תכולה וכתב הרשאה לחתימה. פעילות טכנית אינה מתחילה לפני חתימת שני הצדדים.
מיפוי הנכסים החשופים והעברת הרשימה לאישור הלקוח. נבדקים אך ורק נכסים שאושרו בכתב.
ביצוע הבדיקה בחלון הזמן שנקבע. ממצא קריטי מדווח באופן מיידי ואינו ממתין לדוח.
טיוטה תוך כ-7 ימי עבודה, לאחריה סבב הערות ומסירת הדוחות הסופיים. בסיום מתקיימת פגישת סיכום למעבר על הממצאים.
מה ששואלים אותנו לפני שמתחילים.
סריקת משטח התקיפה החיצוני ממפה ובודקת את כל מה שחשוף מהאינטרנט, מזהה חשיפות והגדרות שגויות, ואינה כוללת ניצול חולשות בפועל. בדיקת חדירה הולכת צעד אחד הלאה: היא מנסה לנצל את החולשות כדי להדגים את ההשפעה העסקית, כוללת עבודה ידנית מעמיקה ובודקת גם לוגיקה עסקית והרשאות. הסריקה מהירה יותר ועלותה נמוכה, ולפיכך היא לרוב הצעד הראשון. בדיקת חדירה מתאימה לשלב שלאחריה, או לארגונים הנדרשים לכך מכוח רגולציה.
המחיר נקבע לפי מכסת הנכסים ומחולק לשלוש מדרגות, כל המחירים לפני מע"מ. מדרגת בסיס, עד 15 נכסים: 5,900 ש"ח לסבב או 18,000 ש"ח למסלול שנתי. מדרגת סטנדרט, עד 40 נכסים: 10,500 ש"ח לסבב או 32,000 ש"ח למסלול שנתי. מדרגה מורחבת, עד 80 נכסים: 16,500 ש"ח לסבב או 52,000 ש"ח למסלול שנתי. כל מסלול כולל דוח מנהלים, דוח טכני ופגישת סיכום, והמסלול השנתי כולל ארבעה סבבים והשוואה ביניהם.
לא. הבדיקה מתבצעת כולה מבחוץ, ללא פרטי הזדהות וללא גישה למערכות. הנדרש הוא אישור רשימת הנכסים וכתב הרשאה חתום בלבד, ולכן ניתן להתחיל בה בפרק זמן קצר.
לא. הבדיקה אינה כוללת מתקפות מניעת שירות, בדיקות עומסים או ניצול חולשות. סריקת הפורטים מתבצעת בקצב מוגבל, ואימות החשיפות נעשה במספר מצומצם של בקשות ללא פעולות שמשנות מידע או את פעולת המערכת.
כן. סביבות ענן נוטות לצבור נכסים חשופים במהירות: סביבות בדיקות, Buckets, ממשקי API ושירותים שהועלו לצורך פרויקט ונשארו פעילים. חשוב להבין את הגבול: סריקה חיצונית מראה מה חשוף מבחוץ. אם אתם רוצים גם בדיקה של תצורת הענן מבפנים, לרבות הרשאות IAM ומדיניות גישה, זו סקירת תצורת ענן נפרדת שדורשת משתמש בהרשאות קריאה בלבד.
משטח התקיפה החיצוני משתנה באופן שוטף: עולים שירותים חדשים, נפתחים תת־דומיינים ומשתנות הגדרות. לארגון שמשנה מערכות בקצב סביר, סבב רבעוני הוא תדירות מקובלת, ולכן בנינו את המסלול השנתי. לארגון יציב יחסית, סבב שנתי עשוי להספיק.
שני דוחות. דוח מנהלים המציג תמונת מצב כללית, הסיכונים המרכזיים וסדר עדיפות לתיקון, ודוח טכני הכולל את רשימת הנכסים שנבדקו, מגבלות הכיסוי, הממצאים, ראיות והמלצות תיקון קונקרטיות. דירוג CVSS נכלל כאשר הוא מתאים לממצא. בנוסף מתקיימת פגישת סיכום לאחר מסירת הטיוטה.
שיחת אפיון קצרה לבירור היקף הנכסים החשופים. מאחר שהתמחור קבוע לפי מדרגה, ניתן למסור מחיר כבר בשיחה.