איזו בדיקה מתאימה לשאלה שלכם?
לסקירת אתר ממוקדת מתחילים כאן. אם צריך למפות גם דואר, טפסים ותפעול, בדיקת האתר והדואר העסקי מתאימה יותר. אם השאלה היא כיצד העסק יחזור לפעילות כשספק או חשבון אינם זמינים, יש לבחון חוסן ותלויות. דרישה חוזית למבדק חדירה מחייבת תיאום נפרד של מתודולוגיה, הרשאות ותוצר.
מה צריך לדעת לפני שמזמינים בדיקת אבטחת אתר
בדיקה טובה מתחילה בשאלה שצריך לקבל עליה תשובה. בעל אתר שקיבל התראה על תוסף צריך לברר אם היא חלה על הרכיב שבשימוש; עסק שעובר ספק צריך להבין מי מחזיק בגישות; ומנהל חנות צריך לדעת אילו פערים עלולים להשפיע על הזמנות ומידע. השאלה הזאת קובעת את הנכסים, הגישות ושיטות הבדיקה הדרושים.
CyberFixCrew מציעה סקירת תצורה, רכיבים והרשאות בהיקף מוסכם. לפני הזמנה כדאי לציין אם הבדיקה נדרשת בעקבות אירוע, שינוי באתר או דרישה של לקוח. דרישה לבדיקת קוד, בדיקות הרשאות בין משתמשים או אישור לפי מסגרת מסוימת מחייבת בירור נפרד; אין להסיק שהיא כלולה בשם הכללי של השירות.
מה אפשר לבדוק מבחוץ ומה מחייב גישה פנימית
סקירה חיצונית מציגה את מה שהאתר חושף מנקודת הבדיקה. היא יכולה לתרום לבירור תצורת החיבור והתנהגות תגובות פומביות, אבל אינה חושפת את כל המשתמשים, הגדרות הגיבוי או קוד היישום. קבלת הרשאת ניהול מאפשרת לבחון נושאים נוספים רק בתוך גבולות הגישה והפעולות שאושרו.
בדוח מפרידים בין מה שנצפה ישירות, מידע שסופק על ידי העסק ושאלות שלא ניתן היה לבדוק. אם ספק האחסון מצהיר שיש גיבוי אך לא בוצע שחזור, זו עובדה אחרת מתוצאת שחזור מוצלחת. גם חשבון ניהול ל-WordPress אינו בהכרח גישה לשרת שמריץ אותו.
| גישה זמינה | דוגמאות לבדיקה מוסכמת | מה נשאר מחוץ למסקנה |
|---|---|---|
| כתובת אתר בלבד | HTTPS, תגובות פומביות וחשיפה שניתן לצפות בה | משתמשים פנימיים, גיבויים וקוד שלא נמסר |
| ניהול מערכת האתר | רכיבים, משתמשים והגדרות זמינות | תצורת שרת או חשבון ספק שאינם נגישים |
| פאנל אחסון או שרת | הגדרות ושירותים שהגישה מאפשרת לבדוק | מערכות אחרות באותה סביבה שלא אושרו |
| עותק גיבוי וסביבת בדיקה | ניסיון שחזור ובדיקות תפקוד אם הוזמנו | הבטחה לשחזור עתידי בכל תנאי |
איך מתאמים בדיקה באתר שמשרת לקוחות
עצם היותו של אתר פומבי אינו אישור לבצע בו כל בדיקה. לפני העבודה מוודאים הרשאה, מגדירים כתובות ומערכות מותרות וקובעים אילו פעולות אסורות. בחנות או במערכת עם טפסים יש לציין מראש אילו פעולות עלולות ליצור חיוב, לשלוח הודעה או לשנות מידע. סריקה פעילה אינה מתוארת כפעולה חסרת סיכון.
הנחיות NIST לבדיקות אבטחה מדגישות תכנון, ביצוע, ניתוח ממצאים והבנת מגבלות השיטה. במסגרת השירות מתאמים איש קשר, חלון עבודה כשנדרש ותנאי עצירה אם מופיעה השפעה לא צפויה. בדיקת עומסים, ניסיונות ניצול או גישה למידע של לקוחות אינם חלק אוטומטי מסקירת תצורה.
- מגדירים את הנכסים והשאלה העסקית שבגללה מבצעים את הבדיקה.
- מאשרים את הגישות, הפעולות המותרות והתלויות בספקים אחרים.
- מתעדים מצב התחלתי ומבררים אילו נתונים ניתן לאסוף בלי חשיפה מיותרת.
- בודקים את הנושאים שסוכמו ומסווגים ממצאים לפי רמת האימות שלהם.
- מציגים מסקנות, מגבלות ותוכנית המשך, כולל צורך בבדיקה נוספת.
איך מפרשים ממצא ומה כדאי לתקן קודם
ממצא דורש הסבר שמקשר בין ראיה לבין השפעה אפשרית. הופעת שם מוצר או גרסה אינה מוכיחה שהאתר ניתן לפריצה; צריך לברר את הרכיב בפועל, תנאי החולשה והחשיפה הרלוונטית. מנגד, העדר התראה בכלי מסוים אינו מוכיח שלא קיימת בעיה. לכן הדוח צריך להבחין בין ממצא מאומת, חשד ומגבלת בדיקה.
בתעדוף בוחנים מה חשוף, איזה מידע או תהליך מושפע, אילו הרשאות נדרשות ומה ניתן לעשות כעת. פעולת צמצום זמנית יכולה להיות שימושית בזמן שמחכים לתיקון, אך אינה זהה לסגירת הממצא. גם שינוי בעל סיכון תפעולי צריך תכנון, כדי שתיקון אבטחה לא ייצור השבתה מיותרת.
| רכיב בממצא | השאלה שצריך לענות עליה | מה חסר בלי התשובה |
|---|---|---|
| ראיה והקשר | מה נצפה, באיזו מערכת ובאיזה מועד? | אין דרך להבחין בין תוצאה רלוונטית להתראה כללית |
| רמת אימות | מה נבדק ומה עדיין בגדר חשד? | אפשר לטעות בין אפשרות תיאורטית לבעיה מאומתת |
| משמעות עסקית | איזה מידע, גישה או שירות עלולים להיפגע? | קשה לקבוע סדר טיפול שמתאים לעסק |
| תיקון ותלות | מי יכול לבצע את הפעולה ומה נדרש לפני כן? | הממצא נשאר ללא בעל אחריות |
| בדיקה חוזרת | איזו תוצאה תראה שהפער טופל? | בוצע שינוי, אך אין אישור לתוצאה |
מה מקבלים בדוח ומה עושים איתו
התוצר צריך לאפשר להעביר עבודה לבעל תפקיד מתאים. בהיקף שסוכם מקבלים תיאור נכסים ושיטות, רשימת ממצאים, ראיות שניתן למסור באופן מתאים והמלצות מעשיות. מסמנים גם נושאים שלא נבדקו, הרשאות שלא התקבלו והנחות שמצריכות אישור. דוח מסכם שימושי אינו רק צילום של תוצאת כלי.
אפשר לחלק את תוכנית ההמשך לתיקונים שהעסק או ספק התחזוקה יכולים לבצע, פעולות שתלויות באחסון ושאלות שמחייבות בדיקה עמוקה יותר. הדוח לדוגמה באתר ממחיש מבנה של ממצא ותוצאה על בסיס ניסוי מקומי עם נתונים מלאכותיים. הוא מסייע להבין את התיעוד, ואינו מוצג כהוכחה לעבודה אצל לקוח.
מה ההבדל בין הסקירה למבדק חדירה או אישור תקינה
סקירת תצורה מתמקדת בהגדרות, רכיבים וגישות שניתן לבחון במסגרת מוסכמת. מבדק חדירה עשוי לכלול ניסיונות לאמת מסלולי תקיפה בתנאים מוגדרים. ביקורת קוד בוחנת את המימוש עצמו. אלה פעילויות שונות, והעובדה שהשתמשו בכלי סריקה אינה הופכת סקירה למבדק חדירה מלא.
OWASP מפרסמת מדריך לבדיקות יישומי אינטרנט ודרישות אימות במסגרת ASVS. אלה מקורות מקצועיים להגדרת בדיקות ובקרות, ולא תעודת הסמכה לספק שמפנה אליהם. אם לקוח, מבטח או יועץ דורשים דוח במתכונת מסוימת, יש להעביר את הדרישה מראש. הסקירה בעמוד אינה אישור עמידה בתקן או חוות דעת משפטית.
תיקונים, בדיקה חוזרת והמחיר של הבדיקה
המחיר תלוי במספר הנכסים, מערכות הניהול, רמת הגישה והעומק המבוקש. אתר תדמית יחיד אינו דומה לחנות עם ממשקי ספקים וכמה סביבות. מחירי ההתחלה המוצגים בעמוד אינם תחליף להצעה שמפרטת אילו בדיקות ותוצרים כלולים. טיפול בממצאים, רישיונות, שחזור או עבודת פיתוח נכללים רק כשהוסכמו.
אם מוזמנת בדיקה חוזרת, מגדירים אילו ממצאים היא מכסה ובאיזה מצב המערכת נבדקת. העובדה שתוסף עודכן או הרשאה שונתה אינה לבדה תוצאת אימות. רצוי לתעד את הפעולה ואת הבדיקה שמראה שהפער המסוים טופל, לצד בדיקת תפקוד רלוונטית. אין להסיק מבדיקה חוזרת נקודתית שכל האתר נבדק מחדש.