קופסה שחורה
הבודקים לא מקבלים מידע מוקדם על המערכות. מדמה תוקף חיצוני שלא מכיר את הארגון, ובדרך כלל דורשת יותר זמן.
בדיקות חדירה
בדיקת חדירה (מבדק חדירות) היא ניסיון מבוקר ומורשה לאתר חולשות במערכות העסק ולבדוק אם אפשר לנצל אותן בפועל
Penetration Testing: Web, API, Infrastructure
הצעת מחיר בתוך 24 שעות מקבלת הפרטים
בדיקה ידנית בידי בודקים בכירים
דוח בעברית ובדיקה חוזרת אחת
מה זה בדיקת חדירה?
בדיקת חדירה, או מבדק חדירות (Penetration Test), מדמה את מה שתוקף היה מנסה לעשות: לאתר חולשות שעלולות לאפשר חדירה למערכות או גישה למידע ללא הרשאה, ולבדוק בניסיון מבוקר אם אפשר לנצל אותן בפועל. התוצאה היא דוח שמסביר מה נמצא, מה הסיכון ומה לתקן קודם.
ההבדל מסריקת פגיעויות: סריקת פגיעויות אוטומטית מאתרת בעיקר חולשות מוכרות. בדיקת חדירה משלבת עבודה ידנית ובוחנת גם הרשאות, לוגיקה עסקית ושרשור חולשות. הבדיקה מתבצעת לפי היקף וכללים שנקבעו מראש.
בדיקת חדירה נעשית רק בהסכמה מפורשת ומראש של הארגון ובהיקף מוגדר. הרשות להגנת הפרטיות מדגישה שמבדק שלא הוזמן ולא הוסכם מראש עלול להוות עבירה לפי חוק המחשבים (מסמך הרשות). לכן כל בדיקה שלנו מתחילה בהגדרת היקף ובאישור בכתב.
סוגי בדיקות חדירה: מה מתאים לכם?
כל סוג בדיקה עונה על שאלה אחרת. אם לא ברור מה נכון עבורכם, נברר את זה בשיחת אפיון קצרה. אין צורך להחליט מראש.
| שירות | מה נבדק | ניצול חולשות | מתי מתאים |
|---|---|---|---|
| בדיקות חדירה לאפליקציות ול-API | המערכת עצמה: הזדהות, הרשאות, הפרדה בין לקוחות, חשיפת מידע, לוגיקה עסקית וממשקי API | כן, בהיקף שאושר | לפני השקה, לאחר שינוי, או כשהחשש הוא ממשתמש שמצליח לראות או לעשות דברים שאינו אמור |
| בדיקות חדירה לתשתיות | רשת חיצונית ופנימית, שרתים, Active Directory, הפרדת רשתות וסביבות ענן | כן, בהיקף שאושר | כשנדרש לבדוק אם אפשר להתקדם בין מערכות ולהשיג הרשאות בתוך הרשת |
| בדיקת חדירה חיצונית | נכסים החשופים לאינטרנט: אתרים, יישומי Web, ממשקי API, שרתים וממשקי גישה מרחוק | כן, ניסיונות ניצול מבוקרים | לעסקים קטנים ובינוניים שרוצים לדעת אם אפשר לנצל חולשה בפועל מבחוץ |
| סריקת משטח התקיפה החיצוני (EASM) | מיפוי שירותים וממשקי ניהול הנגישים מהאינטרנט, ובדיקת חשיפות והגדרות אבטחה | לא | כשלא ברור מה חשוף לאינטרנט. יכולה לשמש שלב מקדים לבדיקת חדירה |
| סקרי אבטחה וסקירת תצורה | פערי אבטחה והגדרות מערכות מול הנחיות היצרן ו-CIS Benchmarks | לא, זו סקירה ולא בדיקת חדירה | לתמונה רוחבית של פערים או לבחינת הגדרות והקשחה |
מתכננים כמה בדיקות לאורך השנה? ליווי שנתי מאפשר לקבוע מראש היקף, לוחות זמנים ותקציב.
קופסה שחורה, אפורה או לבנה
בדיקה יכולה להתבצע ברמות שונות של מידע שהבודקים מקבלים מראש. את הרמה מגדירים בשלב האפיון, לפי המטרה.
קופסה אפורה
הבודקים מקבלים מידע חלקי, למשל משתמשי בדיקה בכל רמת הרשאה. מאפשרת להתמקד בנושאים ספציפיים ולהעמיק בהרשאות.
קופסה לבנה
הבודקים מקבלים מידע רב על המערכות, התיעוד והבקרות. מאפשרת כיסוי רחב יותר בפרק זמן נתון.
מתי צריך בדיקת חדירה?
לפני השקה או אחרי שינוי
מערכת חדשה, גרסה משמעותית, מעבר לענן או חיבור ממשק חדש. וגם מערכת קיימת שעדיין לא נבדקה.
לקוח או מבקר דורשים דוח
ספרו לנו מה נדרש בדוח, ונגדיר את ההיקף והתיעוד הנדרשים.
רגולציה ותקינה
תקנות אבטחת מידע, ISO 27001 ו-PCI DSS עוסקים בבדיקות תקופתיות. פירוט ומקורות בעמוד בדיקת חדירה לעמידה ברגולציה. מה השתנה בתיקון 13 ומה עסק צריך לעשות: תיקון 13 לחוק הגנת הפרטיות.
לא ברור מה חשוף
אם אין רשימה מסודרת של מה שנגיש מהאינטרנט, אפשר להתחיל בסריקת משטח התקיפה ולהמשיך לבדיקת חדירה ממוקדת.
איך זה עובד
היקף, לוח זמנים וכללי עבודה שמוסכמים מראש
שלב 1
אפיון והצעה
מגדירים את היקף הבדיקה ואת כללי העבודה. הצעת מחיר נשלחת בתוך 24 שעות מקבלת הפרטים.
שלב 2
אישור בכתב
פעילות טכנית מתחילה רק לאחר אישור ההיקף. אפשר בדרך כלל להתחיל בתוך שבועיים מהאישור.
שלב 3
בדיקה ידנית
בידי בודקים בכירים, לפי PTES ו-OWASP, בחלונות זמן מתואמים.
שלב 4
דוח ובדיקה חוזרת
דוח בעברית, הנחיות תיקון, ליווי ובדיקה חוזרת אחת של הממצאים שדווחו.
מה מקבלים בסיום
דוח בעברית
- תקציר להנהלה וממצאים מפורטים
- הוכחת היתכנות, כאשר היא נדרשת
- ממצאים מדורגים לפי חומרה, עם CVSS כנקודת ייחוס
- תעדוף לפי השפעה עסקית והנחיות תיקון
ליווי, בדיקה חוזרת ושמירת מידע
- ליווי ומענה לשאלות במהלך התיקון
- בדיקה חוזרת אחת של הממצאים שדווחו
- הממצאים ונתוני הבדיקה נשמרים בישראל באופן מוצפן
- מחיקה בסיום ההתקשרות, לאחר קבלת אישורכם בכתב
את אפיון הבדיקה ואת בקרת האיכות מוביל אסף דרשן, מייסד D² Security. בצוות המקצועי נכללים בעלי ההסמכות OSCE3, OSED, OSEP ו־OSWE. בדיקת אבטחה היא בדיקה מדגמית ונקודתית בזמן. היא אינה קובעת שהמערכת חסינה מפני חדירה ואינה מהווה אישור עמידה בתקן או ברגולציה.
שאלות נפוצות
מה ששואלים אותנו לפני שמתחילים.
מה ההבדל בין בדיקת חדירה למבדק חדירות?
אין הבדל. אלה שני שמות לאותה בדיקה (Penetration Test). במסמכים רגולטוריים בישראל נפוץ המונח "מבדק חדירות".
מה ההבדל בין בדיקת חדירה לסריקת פגיעויות?
סריקת פגיעויות אוטומטית מאתרת בעיקר חולשות מוכרות. בדיקת חדירה משלבת עבודה ידנית ובוחנת גם הרשאות, לוגיקה עסקית ושרשור חולשות. הבדיקה מתבצעת לפי היקף וכללים שנקבעו מראש.
כמה עולה בדיקת חדירה?
המחיר נקבע לפי סוג המערכת, מספר הנכסים ועומק הבדיקה. לאחר קבלת הפרטים תקבלו הצעת מחיר עם היקף בדיקה מוגדר בתוך 24 שעות.
כמה זמן לוקחת בדיקת חדירה?
משך הבדיקה תלוי בהיקף, במספר המערכות ובעומק הנדרש. לוח הזמנים נקבע בשלב האפיון ונכלל בהצעה. לאחר אישור ההצעה אפשר בדרך כלל להתחיל בתוך שבועיים.
האם בדיקת חדירה היא חובה לפי החוק?
תלוי בארגון. תקנות הגנת הפרטיות (אבטחת מידע) מחייבות מבדקי חדירות אחת ל-18 חודשים לפחות במאגרי מידע שחלה עליהם רמת האבטחה הגבוהה. גם תקנים כמו PCI DSS דורשים בדיקות תקופתיות. פירוט ומקורות בעמוד בדיקת חדירה לעמידה ברגולציה.
איך מצמצמים את הסיכון לשיבוש בזמן הבדיקה?
בדיקה פעילה כרוכה בסיכון מסוים לשיבוש. כדי לצמצם אותו, מגדירים מראש את הפעולות המותרות ואת חלונות הביצוע ומתאמים עם איש הקשר הטכני.
מה צריך להכין לפני הבדיקה?
מבעל העסק: החלטה על היקף הבדיקה ואישור בכתב לביצועה. מהצד הטכני, לפי סוג הבדיקה: כתובת הסביבה שתיבדק (רצוי סביבת בדיקות), משתמשי בדיקה בכל רמת הרשאה רלוונטית, תיעוד ממשקי API אם קיים, וגיבוי עדכני.
בואו נתחיל
שלחו את פרטי המערכות או את הדרישה שקיבלתם, ותקבלו הצעת מחיר בתוך 24 שעות