התחברו אליבדיקת חדירות היא תקיפה מבוקרת ומתוכננת על מערכות הארגון, שמטרתה לגלות חולשות אבטחה שניתן באמת לנצל - לא רק לאתר אותן ברשימה. זו הדרך המדויקת ביותר לבדוק אם ההגנות שהארגון בנה עומדות במבחן של תוקף אמיתי, ולא רק בתיאוריה.
ברוב המקרים הבקשה לבצע בדיקת חדירות מגיעה מלקוח, מרגולטור, או מתהליך פנימי של הערכת סיכונים. ואז עולות השאלות המעשיות: אילו סוגי בדיקה יש, מה בדיוק נכלל בהיקף, כמה זמן זה אמור לקחת, ומה מקבלים בסוף כשהיא נגמרת.
מה ההבדל בין בדיקת חדירות לסריקת פגיעויות
הבדיקה שונה מסריקת פגיעויות אוטומטית באופן מהותי: סריקה מזהה חולשות ידועות ומדווחת עליהן, בעוד שבדיקת חדירות מנסה בפועל לנצל אותן, בדיוק כפי שתוקף אמיתי היה עושה. ההבדל הזה הוא גם ההבדל בין רשימת חשד לבין הוכחה בשטח.
סוגי בדיקות חדירות
יש שלוש גישות מקובלות, וההבדל ביניהן הוא כמות המידע שניתנת לבודק מראש:
- Black Box - הבודק מתחיל בלי מידע מוקדם על הארגון, בדיוק כמו תוקף חיצוני. הבדיקה הריאליסטית ביותר, אבל גם הארוכה יותר.
- White Box - הבודק מקבל גישה מלאה למידע, לקוד ולתשתית מראש. מאפשרת בדיקה עמוקה יותר בזמן קצר יותר, אך פחות מדמה תרחיש תקיפה אמיתי
- Grey Box - שילוב ביניהם - הבודק מקבל מידע חלקי, בדרך כלל ההתאמה הטובה ביותר בין עומק הבדיקה לבין עלות וזמן.
מעבר לשיטה, קובעים גם את התחום: רשת חיצונית מול האינטרנט, רשת פנימית, אפליקציית ווב, או תשתית אלחוטית - ולעיתים שילוב של כמה מהם באותה בדיקה. הבחירה בין הסוגים לא צריכה להיות אקראית - היא נגזרת מהשאלה שמעניינת את הארגון: האם התוקף הרלוונטי הוא גורם חיצוני שמנסה לפרוץ מבחוץ, או עובד/ספק עם גישה פנימית שיכול לנצל אותה לרעה.
מה כולל היקף הבדיקה
לפני שמתחילים, מגדירים בכתב מה בדיוק נכלל בבדיקה: אילו מערכות, כתובות IP או דומיינים נמצאים בתחום, מהו חלון הזמן לביצוע, ומה מפורשות אסור לגעת בו. ההגדרה הזו קריטית לא רק מבחינה טכנית אלא גם משפטית - בדיקה על מערכת בלי הרשאה כתובה מפורשת מבעל המערכת עלולה להיחשב עבירה פלילית לפי חוק המחשבים, גם אם הכוונה הייתה טובה.
מי מורשה לבצע בדיקת חדירות
בדיקת חדירות חייבת להתבצע על ידי גורם עם הרשאה כתובה מפורשת מבעל המערכת, ורצוי בעל ניסיון מוכח בתחום. בארגונים שמנהלים מאגרי מידע ברמת אבטחה גבוהה, זו גם לא המלצה אלא חובה רגולטורית: לפי תקנות הגנת הפרטיות (אבטחת מידע), מאגרים ברמת אבטחה גבוהה נדרשים בסקר סיכונים ובדיקות חדירות לפחות אחת לשמונה עשר חודשים.
מה מקבלים בסוף: התוצרים של הבדיקה
בסיום הבדיקה מקבלים דוח מפורט, שכולל בדרך כלל תקציר מנהלים להצגה להנהלה, פירוט טכני של כל חולשה שנמצאה לפי רמת חומרה, הוכחת ניצול (Proof of Concept) שממחישה איך בדיוק החולשה נוצלה, והמלצות תיקון מסודרות לפי סדר עדיפויות. דוח טוב לא רק מציג בעיות - הוא נותן לצוות ה-IT מפת דרכים ברורה לטיפול.
מה קורה אחרי קבלת הדוח
קבלת הדוח היא לא סוף התהליך אלא תחילתו. השלב הבא הוא תיקון החולשות לפי סדר העדיפויות שהוגדר, ולאחר מכן ביצוע בדיקה חוזרת (Retest) ממוקדת בסעיפים שתוקנו, כדי לוודא שהתיקון אכן סגר את הפרצה ולא יצר בעיה חדשה. ארגון שמדלג על שלב האימות חוזר בפועל לנקודת ההתחלה, גם אם על הנייר הכל נראה מטופל.
כמה זמן זה לוקח
משך הבדיקה תלוי בהיקף שהוגדר מראש. בדיקה ממוקדת על מערכת אחת או שירות אחד יכולה להימשך ימים בודדים, בעוד בדיקה מקיפה על סביבה ארגונית שלמה - כמה רשתות, אפליקציות ותשתיות במקביל - יכולה להימשך מספר שבועות, כולל זמן להכנת הדוח הסופי. חשוב לתקצב מראש גם את הזמן שאחרי הבדיקה עצמה - תיקון החולשות ואימות התיקון - ולא רק את ימי הבדיקה בשטח, כי זה בפועל השלב שקובע אם הבדיקה שיפרה את מצב האבטחה או נשארה מסמך על המדף.
לסיכום
בדיקת חדירות טובה היא לא בירוקרטיה או "וי" מול רגולציה, אלא כלי אמיתי להבין איפה הארגון חשוף בפועל, לפני שמישהו אחר מגלה זאת קודם. ההבדל בין בדיקה שמייצרת ערך לבין בדיקה שרק "עוברת" הוא בעיקר באיכות ההיקף שהוגדר, בניסיון של הבודק, ובמה שקורה אחרי קבלת הדוח.
מעוניינים לבדוק את רמת החשיפה בפועל של הארגון שלכם? השאירו פרטים ונחזור אליכם עם כל המידע.
RVM Systems | 072-244-2222
שאלות נפוצות
כל כמה זמן כדאי לבצע בדיקת חדירות?
זה תלוי בסוג הארגון ובקצב השינויים במערכות. עסק עם מאגר מידע ברמת אבטחה גבוהה מחויב בכך לפחות אחת לשמונה עשר חודשים, אבל גם ארגון שלא נכנס לחובה הרגולטורית מרוויח מבדיקה שנתית, ובוודאי אחרי כל שינוי משמעותי בתשתית או בהיקף המערכות החשופות לאינטרנט.
בדיקת חדירות יכולה לפגוע במערכות שכבר פעילות?
זה חשש לגיטימי, ולכן הגדרת ההיקף מראש כוללת גם תיאום על שעות ביצוע וסביבת עבודה. בדיקה מקצועית מתוכננת כך שתמזער את הסיכון לתקלה בסביבת הייצור, ולעיתים מתבצעת קודם בסביבת בדיקה נפרדת (Staging) לפני שעוברים לסביבה החיה - בדיוק בשביל למנוע מצב שבו הבדיקה עצמה גורמת לנזק.
