ארבע רמות בדיקה נפוצות
שמות מסחריים אינם אחידים בין ספקים. מבקשים תיאור כתוב של הפעולות במקום להסיק מהכותרת בלבד. NIST SP 800-115 מציג מגוון שיטות בדיקה ואת יתרונותיהן ומגבלותיהן; עצם ההפניה אליו אינה הסמכה.
| סוג | מה הוא עשוי לגלות | מה אינו מוכיח |
|---|---|---|
| תצפית פומבית | רשומות והגדרות שניתן לראות ללא כניסה | מצב משתמשים, חתימות בהודעות או קוד פנימי |
| סריקה אוטומטית | אינדיקציות לחולשות ודפוסים מוכרים | שכל התראה נכונה או שאין חולשות לוגיות |
| בדיקת תצורה והרשאות | פערים בהגדרות ובהפעלת בקרות לפי הגישה שניתנה | כיסוי של כל נתיב תקיפה |
| מבדק חדירה מורשה | אימות אפשרות לניצול במסגרת כללי בדיקה מוסכמים | היעדר חולשות מחוץ להיקף או אחרי שינוי המערכת |
מה מגדירים לפני שמתחילים
יש לרשום את הנכסים שבבעלות העסק, המערכות שמותר לבדוק, שעות הבדיקה, אנשי קשר ופעולות אסורות. תשתית של ספק חיצוני עשויה לחייב אישור נוסף גם אם היא משרתת את האתר שלכם.
מבדק עם ניסיונות ניצול דורש כללי עבודה, דרך עצירה ושמירה על מידע שייחשף. בדיקה שגרתית לא הופכת למבדק כזה רק משום שהופעל כלי סריקה.
מה לבקש בדוח
ממצא שימושי מסביר מה נצפה, באיזה נכס, באילו תנאים ומה המשמעות העסקית. הוא מפריד בין ראיה לבין השערה ומציע תיקון שניתן לאמת.
- היקף ומועד: מה נבדק ומה הוחרג.
- שיטה וגישה: תצפית פומבית, גישה מורשית או ניסיון ניצול שאושר.
- ראיה: מידע מספיק לשחזור הממצא בלי לחשוף סודות.
- עדיפות: הסבר לחומרה ולתלות העסקית, לא רק צבע.
- תיקון ובדיקה חוזרת: מי מטפל ואיך קובעים שהפער נסגר.
איך השירות של CyberFixCrew משתלב
בדיקות האתר והתשתיות הדיגיטליות שלנו מתמקדות בהיקף המעשי שסוכם: תצורה, עדכונים, גישה, דואר, גיבוי ורציפות לפי המקרה. אין להניח שכל בדיקה כוללת מבדק חדירה מלא, סקירת קוד או ביקורת עמידה בתקן.
אם לקוח, מכרז או חברת ביטוח דורשים מבדק מסוים, הציגו את הדרישה לפני הזמנת העבודה. נברר האם התכולה מתאימה ומה מחייב ספק או מסגרת בדיקה ייעודיים.
