מערכת שעולה לאוויר
כשעולים בפעם הראשונה, לעיתים צריך לבדוק גם את המוצר וגם את הסביבה שעליה הוא רץ, כולל הקשר ביניהם.
PT תשתיתי מול PT אפליקטיבי
שני סוגי בדיקות חדירה שעונים על שאלות שונות. לפעמים צריך אחד מהם, ולפעמים את שניהם
Infrastructure PT vs Application PT
היקף מדויק בשיחת אפיון קצרה
אפשר לבחור אחד מהם או לשלב
הצעת מחיר בתוך 24 שעות מקבלת הפרטים
| השאלה | הבדיקה |
|---|---|
| האם משתמש יכול לראות או לעשות מה שאינו אמור? | PT אפליקטיבי |
| האם אפשר להתקדם בין מערכות בתוך הרשת? | PT תשתיתי |
| מה חשוף לאינטרנט ואפשר לנצל מבחוץ? | בדיקה חיצונית |
ההבדל בקיצור
שני הסוגים הם בדיקות חדירה ידניות, בהיקף שמוסכם מראש. ההבדל הוא במה בודקים, ואיזו שאלה הבדיקה אמורה לענות.
| PT אפליקטיבי | PT תשתיתי | |
|---|---|---|
| מה נבדק | המוצר עצמו: הזדהות, הרשאות, הפרדה בין לקוחות, חשיפת מידע, לוגיקה עסקית וממשקי API | הסביבה: רשת חיצונית ופנימית, שרתים, Active Directory, הפרדת רשתות וסביבות ענן |
| השאלה המרכזית | האם משתמש יכול לראות או לעשות דברים שאינו אמור | האם אפשר להתקדם בין מערכות ולהשיג הרשאות בתוך הרשת |
| מתי מתאים | לפני השקה, לאחר שינוי משמעותי, או כשהחשש הוא מהמערכת עצמה | כשנדרש לבדוק את הרשת, השרתים, ה-AD או תצורת הענן |
| עמוד השירות | בדיקות חדירה לאפליקציות ול-API | בדיקות חדירה לתשתיות |
מה זה PT אפליקטיבי
בדיקת חדירה לאפליקציה ול-API מתמקדת במוצר: איך משתמשים מזדהים, מה כל הרשאה באמת מאפשרת, האם לקוח אחד יכול לראות מידע של אחר, ומה קורה בממשקי API. היא מתאימה לאפליקציות Web, למערכות עסקיות, לפורטלי לקוחות, ל-SaaS ולמובייל, לפי היקף שאושר.
פירוט תחומי הבדיקה והכנה לקראתה בעמוד בדיקות חדירה לאפליקציות ול-API.
מה זה PT תשתיתי
בדיקת חדירה לתשתיות בוחנת את הסביבה שעליה רצות המערכות: נכסים החשופים לאינטרנט, רשת פנימית, שרתים, Active Directory, הפרדת רשתות, וסביבות On-Prem, ענן או היברידיות. המטרה היא לבדוק אם אפשר להתקדם בין מערכות ולהשיג הרשאות מעבר למה שאמור להיות מותר.
פירוט בעמוד בדיקות חדירה לתשתיות. אם הצורך ממוקד רק במה שחשוף לאינטרנט, ייתכן שתתאים בדיקת חדירה חיצונית, שהיא מצומצמת יותר ואינה מחליפה בדיקה פנימית או בדיקת Active Directory.
מתי צריך את שניהם
שינוי בסביבה
מעבר לענן, חיבור ממשק חדש או שינוי משמעותי בהרשאות יכולים להצדיק בדיקה משולבת, לפי מה שהשתנה.
דרישה לדוח רחב
אם לקוח או מבקר מבקשים כיסוי גם של האפליקציה וגם של התשתית, מגדירים את שני הרכיבים במסמך התכולה.
בבדיקה משולבת היקף כל רכיב מוגדר בנפרד. אין צורך להחליט לבד: בשיחת האפיון נברר מה רלוונטי למערכת שלכם. לסקירה של כל הסוגים ראו בדיקת חדירות: סוגים ותהליך.
שאלות נפוצות
מה ששואלים אותנו לפני שבוחרים היקף בדיקה.
מה ההבדל בין PT תשתיתי ל-PT אפליקטיבי?
PT אפליקטיבי בודק את המוצר עצמו: הזדהות, הרשאות, הפרדה בין לקוחות, חשיפת מידע, לוגיקה עסקית וממשקי API. PT תשתיתי בודק את הסביבה שעליה רצה המערכת: רשת חיצונית ופנימית, שרתים, Active Directory, הפרדת רשתות וסביבות ענן.
אפשר לעשות רק אחד מהם?
כן. בוחרים לפי השאלה שצריך לענות עליה. אם החשש הוא ממשתמש שמצליח לראות או לעשות דברים שאינו אמור, מתחילים בבדיקת האפליקציה. אם צריך לבדוק האם אפשר להתקדם בין מערכות בתוך הרשת, מתחילים בתשתית. בשיחת האפיון נברר מה רלוונטי, ואין חובה להחליט מראש.
במה שונה בדיקת חדירה חיצונית מ-PT תשתיתי?
בדיקת חדירה חיצונית מתמקדת בנכסים החשופים לאינטרנט, עם ניסיונות ניצול מבוקרים בהיקף שאושר. פירוט בעמוד בדיקת חדירה חיצונית. PT תשתיתי יכול לכלול גם את הרשת הפנימית, Active Directory, הפרדת רשתות וסביבות ענן, ולא רק את מה שנגיש מבחוץ. ראו בדיקות חדירה לתשתיות.
מה משפיע על המחיר ועל משך הבדיקה?
המחיר ומשך העבודה נקבעים לפי סוג הבדיקה, מספר המערכות או הנכסים, ועומק הבדיקה. לאחר קבלת הפרטים תקבלו הצעת מחיר עם היקף מוגדר בתוך 24 שעות. לוח הזמנים נכלל בהצעה, ואחרי אישור אפשר בדרך כלל להתחיל בתוך שבועיים.
מה מקבלים בסיום?
דוח בעברית עם תקציר להנהלה, ממצאים מדורגים לפי חומרה, הנחיות תיקון, ליווי במהלך התיקון ובדיקה חוזרת אחת של הממצאים שדווחו. פירוט על מבנה הדוח בעמוד דוח מבדק חדירות: מה צריך להיות בו.
בואו נתחיל
ספרו לנו איזו מערכת או סביבה צריך לבדוק, ותקבלו הצעת מחיר בתוך 24 שעות