שאלו מה נסרק ובאילו תנאים
לפני פירוש הציון תעדו כלי, כתובת, זמן, סוג בדיקה והאם הייתה גישה מאומתת. בדיקה ציבורית של דף אחד שונה מבדיקת יישום שכוללת חשבונות ותהליכים. תוצאה של נתיב עם הפניה או שגיאה יכולה לתאר תגובה שאינה זו שהתכוונתם לבחון. אין להשוות ציונים בלי לדעת אם הבדיקות והיעדים זהים.
אם קיבלתם צילום חלקי, בקשו את רשימת הבדיקות ותוצאותיהן בלי מידע סודי. בדקו אם התוצאה נשמרת בפומבי ומה מותר לשלוח לכלי. לא מעלים כותרות עם tokens, ייצוא לקוחות או כתובות פרטיות לכל סורק חיצוני. לצוות פנימי צריך להיות עותק מתוארך שמאפשר לשחזר את המסקנה ולא רק את המספר.
דוגמה למגבלות שמפעיל הכלי מציין במפורש
MDN Observatory מסביר שציון A+ אינו מכסה את כל שיקולי האבטחה. הוא מציין, בין היתר, גרסאות תוכנה ישנות, חולשות SQL Injection ותוספי מערכת ניהול פגיעים כתחומים שהכלי אינו בודק. זה אינו פגם בציון אלא גבול ההיקף שלו.
הפכו את הממצא לשאלת בדיקה ולהחלטה
הטבלה היא מסגרת עבודה מקורית לקריאת דוח, ואינה תיאור של כל סורק. לכל ממצא שאלו מה הנכס המושפע, האם ההתנהגות נצפתה, מה ההשלכה ואיזה תיקון אפשר לבדוק. ממצא כללי דורש אימות מתאים; היעדר ממצא אינו הוכחה שנבדק כל מסלול.
| מה מוצג בדוח | מה אפשר להסיק בזהירות | מה עוד צריך לברר |
|---|---|---|
| כותרת חסרה בדף | התגובה שנדגמה לא כללה אותה | האם היא נדרשת ואיפה מגדירים אותה |
| כותרת קיימת וציון גבוה | בדיקות הכלי זיהו את ההגדרה | אכיפה, תפקוד ותהליכים שלא נבדקו |
| שם גרסה או רכיב | הכלי זיהה או הסיק רכיב | גרסה בפועל, חשיפה ועדכון נתמך |
| לא התקבלה תשובה | הבדיקה לא השלימה תצפית | זמינות, חסימה והאם היעד נכון |
| שיפור בין שתי סריקות | משהו בתוצאה השתנה | האם התנאים זהים והתיקון לא שבר תפקוד |
תעדפו לפי השפעה וחשיפה, לא לפי קלות העלאת הציון
סוד בעל הרשאות שנחשף, חשבון לא מוכר או סימן לפגיעה דורשים בירור לפי הסיכון, גם אם הכלי מציג צבע ירוק. לעומת זאת, המלצה להגדרת דפדפן עשויה לדרוש מיפוי תלות לפני שינוי. לא מניחים שכל שורה אדומה היא אירוע פעיל, ולא דוחים חשד ממשי מפני שהוא אינו מופיע בסריקה.
לכל פעולה קובעים בעלים, היקף, תלות וראיית סיום. לפעמים נכון לתקן מייד, לפעמים לבדוק התאמה ולפעמים לתעד חריגה זמנית עם מועד בחינה. הטענה שסיימנו מתקבלת רק לגבי התיקון שנבדק. שינוי בכותרות אינו מענה אוטומטי לניהול סודות, ושינוי תוסף אינו אישור לשחזור תקין של גיבוי.
דוגמה: הציון עלה אבל תהליך הפנייה נפגע
בתרחיש להמחשה בלבד, הצוות מחמיר CSP והסריקה משתפרת. בטופס תלוי ספק חיצוני נוצרה חסימה, והעסק מפסיק לקבל חלק מהפניות. העלייה בציון אינה מבטלת את הכשל; יש לבדוק את מסלול ההגשה, את המדיניות ואת הספק הנחוץ לפני החלטה על תיקון או חזרה לגרסה הקודמת.
תוצאת סיום טובה כוללת גם הגדרה נכונה וגם פעולה עסקית צפויה. בודקים נתיבי תוכן, כניסה וטפסים שנכללו בהיקף, ומשמרים נתוני ניסיון בלבד. אם תהליך לא נבדק, מציינים זאת במפורש. אין להציג את רשימת המדגם כאילו כיסתה את כל האתר ואת כל סוגי התקיפה.
מה לבקש מחברת סייבר אחרי הבדיקה
בקשו דוח שמפריד בין תצפית, הערכה ופעולה מומלצת, עם כתובת או רכיב, ראיה מתאימה ומגבלות. בדקו אם הצעת השירות היא סקירת הגדרות, בדיקת קוד או בדיקת חדירה בהיקף מוסכם. השמות אינם מבטיחים עומק זהה, ויש להגדיר תוצר ובדיקה חוזרת מראש.
ב-CyberFixCrew אפשר להתחיל בבירור הנכס והבעיה ולהגדיר את היקף הבדיקה המתאים לשירותים הקיימים. אין צורך להבטיח חסינות או להציג ציון כלי כתעודת אבטחה. מסירה שימושית מאפשרת לבעל העסק להבין מה תוקן, מה נשאר פתוח ומי מטפל בכל החלטה.
