בדיקת חדירות

מממצאים טכניים להבנה ברורה של רמת החשיפה

רשימת חולשות לבדה אינה מספיקה כדי לקבל החלטות. ארגון צריך להבין אילו ממצאים ניתנים לניצול, כיצד ניתן לשלב ביניהם, לאילו נכסים הם מאפשרים להגיע ומהי ההשפעה האפשרית על הפעילות העסקית.

ב־ExploiX מבדק חדירה אינו מסתיים בזיהוי של חולשה נקודתית. אנחנו בוחנים את מסלול התקיפה האפשרי: מנקודת הכניסה הראשונית, דרך עקיפת בקרות והרחבת הרשאות, ועד למערכות או למידע שעלולים להיות חשופים.

הגישה מבוססת על ניסיון מעשי בעולם ה-Offensive Security ועל בחינה מבוקרת של תרחישים רלוונטיים לארגון. כך ניתן להבדיל בין ממצא טכני מוגבל לבין חולשה שעלולה לאפשר פגיעה משמעותית.

מה בודקים במסגרת מבדק חדירה?

היקף מבדק החדירה נקבע בהתאם למערכות, לנכסים הקריטיים ולתרחישי האיום הרלוונטיים. ניתן לבצע בדיקה ממוקדת למערכת מסוימת או הערכה רחבה הכוללת מספר סביבות.

מבדקי חדירה לתשתיות

בדיקת תשתיות נועדה לזהות חולשות ברשתות, בשרתים, בשירותים חשופים, במנגנוני גישה ובהגדרות האבטחה של הארגון.

• תשתיות חיצוניות: מערכות ושירותים הנגישים מרשת האינטרנט.
• תשתיות פנימיות: רשתות ארגוניות, שרתים, תחנות קצה ושירותי ניהול.
• ניהול זהויות והרשאות: חשבונות, הרשאות יתר, הפרדת תפקידים ומנגנוני אימות.
• סגמנטציה: בדיקה האם ניתן לעבור בין רשתות, מערכות ואזורים שאמורים להיות מופרדים.
• שירותים והגדרות: זיהוי שירותים חשופים, גרסאות פגיעות והגדרות שאינן מאובטחות.

מבדקי חדירה לאפליקציות Web

אפליקציות Web חשופות לאיומים שמקורם בלוגיקה העסקית, במנגנוני ההרשאה, בטיפול בקלט ובחיבור למערכות אחרות.

הבדיקה כוללת, בהתאם ל-Scope:

• מנגנוני התחברות, זיהוי ואימות משתמשים.
• הפרדת הרשאות בין משתמשים, תפקידים ולקוחות.
• ניהול Session ותהליכי איפוס סיסמה.
• חשיפה או גישה לא מורשית למידע.
• כשלים בלוגיקה העסקית ובתהליכים רגישים.
• העלאת קבצים, טיפול בקלט ואינטגרציות חיצוניות.
• הגדרות אבטחה, כותרות, הודעות שגיאה וחשיפת מידע טכני.

בדיקות אבטחה ל-API

ממשקי API מחברים בין אפליקציות, שירותי ענן, מערכות פנימיות ולקוחות. כאשר מנגנוני ההרשאה או בדיקות הקלט אינם מיושמים בצורה נכונה, הממשק עלול לחשוף מידע או לאפשר פעולות לא מורשות.

• Authentication: בדיקת מנגנוני ההזדהות והנפקת האסימונים.
• Authorization: בדיקה האם משתמש יכול לגשת למשאבים שאינם שייכים לו.
• חשיפת מידע: איתור מידע רגיש שמוחזר ללא צורך.
• Business Logic: בדיקת מניפולציות אפשריות בתהליכים העסקיים.
• Rate Limiting: בחינת הגבלות על פעולות חוזרות ושימוש חריג.
• אינטגרציות: בחינת החיבורים בין ה-API לשירותים ולמערכות נוספות.

מבדקי חדירה לסביבות ענן

סביבות ענן כוללות שירותים, הרשאות, משאבים וחיבורים רבים. פער קטן בהגדרה או בהרשאה יכול ליצור גישה רחבה מהמתוכנן.

הבדיקה יכולה לכלול סביבות AWS, Microsoft Azure ו-Google Cloud, תוך התמקדות בנושאים כגון:

• הרשאות IAM ותפקידים בעלי הרשאות עודפות.
• משאבים, מאגרי מידע ושירותים החשופים לרשת.
• ניהול מפתחות, Secrets והרשאות גישה.
• חיבורים בין סביבת הענן לרשת הארגונית.
• הפרדה בין חשבונות, פרויקטים וסביבות.
• ניטור, תיעוד והתרעות על פעילות חריגה.

בדיקות אפליקציות Mobile ו-IoT

אפליקציות Mobile והתקני IoT משלבים רכיבי תוכנה, API, אחסון מקומי, תקשורת ולעיתים גם חומרה. לכן הבדיקה מתייחסת למערכת השלמה ולא רק לממשק המשתמש.

• אחסון מידע רגיש במכשיר או בהתקן.
• הצפנת תקשורת והגנה על מידע בתעבורה.
• מנגנוני הזדהות והרשאה.
• חיבור לשירותי Backend ולממשקי API.
• הגדרות, ממשקי ניהול ותהליכי עדכון.
• חשיפת מידע בקוד, בקבצים או בלוגים.

איך מתבצע מבדק חדירה?

התהליך נבנה מראש כדי להבטיח שהבדיקה תהיה יסודית, מבוקרת ותואמת למטרות הארגון.

1. הגדרת מטרות ו-Scope
   מגדירים אילו מערכות, כתובות, אפליקציות, סביבות וחשבונות נכללים בבדיקה, ומה נמצא מחוץ לתחום.
2. הגדרת כללי עבודה
   קובעים לוחות זמנים, אנשי קשר, פעולות מותרות, מגבלות, תנאי עצירה ומנגנוני דיווח במקרה של השפעה בלתי צפויה.
3. מיפוי שטח התקיפה
   מזהים שירותים, נקודות קצה, רכיבים, ממשקים, תהליכי גישה וחיבורים בין המערכות.
4. בדיקה ידנית ואימות ממצאים
   משלבים כלי בדיקה עם עבודה ידנית כדי לאתר חולשות, לאמת אותן ולהפחית ממצאים שגויים.
5. בחינת תרחישי ניצול
   בודקים במסגרת שאושרה מה ניתן להשיג באמצעות החולשה ומהי רמת ההשפעה האפשרית.
6. ניתוח מסלולי תקיפה
   בוחנים האם ניתן לחבר בין מספר פערים כדי להגיע להרשאות, למערכות או למידע רגיש יותר.
7. דוח והצגת הממצאים
   מציגים את החולשות, הראיות, ההשפעה, רמת החומרה והמלצות התיקון.
8. בדיקה חוזרת
   לאחר הטיפול ניתן לבצע Retest כדי לוודא שהחולשות נסגרו ושלא נוצרה דרך חלופית לנצל אותן.

לא רק סריקה אוטומטית

כלי סריקה אוטומטיים יכולים לזהות גרסאות פגיעות, הגדרות מסוימות ודפוסים מוכרים. עם זאת, הם מתקשים להבין לוגיקה עסקית, לחבר בין מספר חולשות או להעריך את משמעות הממצא בתוך ההקשר הארגוני.

לכן מבדק חדירה מקצועי משלב בין אוטומציה לבין בדיקה ידנית:

• אימות ממצאים: בדיקה שהחולשה קיימת וניתנת לניצול בתנאים הרלוונטיים.
• בדיקת לוגיקה עסקית: זיהוי פעולות לא תקינות שאינן מבוססות רק על חולשה טכנית מוכרת.
• חיבור בין פערים: הבנה כיצד מספר חולשות ברמת חומרה בינונית עלולות ליצור מסלול תקיפה משמעותי.
• ניתוח הקשר: בחינת חשיבות המערכת, סוג המידע ורמת ההרשאות שניתן להשיג.
• הפחתת רעש: סינון התראות שאינן רלוונטיות או שאינן ניתנות לניצול בפועל.

מממצאי אבטחה להחלטות עסקיות ברורות

ממצא טכני הופך לבעל ערך רק כאשר ניתן להבין מה הוא מאפשר לתוקף, אילו נכסים מושפעים ממנו ומה צריך לעשות כדי לצמצם את הסיכון.

ניתן לשלב את תוצאות המבדק במסגרת הערכת סיכוני סייבר, כדי לחבר בין חומרת החולשה לבין ההשפעה העסקית וסדרי העדיפויות של הארגון.

• מפת חשיפה:
  הבנה אילו נכסים ומערכות נמצאים בסיכון ואילו מסלולים עלולים להוביל אליהם.
• תעדוף ממצאים:
  הבחנה בין חולשה שדורשת טיפול מיידי לבין ממצא שניתן לטפל בו כחלק מתוכנית עבודה רחבה יותר.
• השפעה עסקית:
  חיבור הממצא לפגיעה אפשרית בזמינות, בסודיות, בשלמות המידע או בתהליכים קריטיים.
• אימות בקרות:
  בדיקה האם מערכות ההגנה הקיימות אכן מונעות, מזהות או מגבילות את התקדמות התוקף.
• זיהוי ותגובה:
  בחינה האם צוותי האבטחה, ה-SOC ומנגנוני הניטור מזהים את הפעילות ומגיבים בזמן.

בחינת יכולת הזיהוי והתגובה

מבדק חדירה יכול לבחון לא רק האם ניתן לחדור למערכת, אלא גם האם הפעילות מזוהה על ידי מנגנוני ההגנה והצוותים האחראים.

בהתאם למטרות המבדק, ניתן לבחון:

• האם הפעילות יוצרת התראות במערכות הניטור.
• האם ההתראות מגיעות לצוות המתאים.
• כמה זמן עובר עד לזיהוי הפעילות.
• האם הצוות מצליח להבין את היקף האירוע.
• האם קיימים תהליכי הסלמה, חסימה ותיעוד.
• האם ניתן לשחזר את מסלול הפעילות מתוך הלוגים הקיימים.

כך ניתן לבדוק את האפקטיביות של מערך ההגנה כולו: מניעה, זיהוי, תגובה והתאוששות.

דוח שמותאם גם לצוותים טכניים וגם להנהלה

התוצרים צריכים לאפשר לצוותים הטכניים לתקן את הפערים ולהנהלה להבין מהי רמת החשיפה ומה דורש תעדוף.

הדוח יכול לכלול:

• תקציר מנהלים:
  תמונת מצב של רמת החשיפה, הסיכונים המרכזיים והמשמעות העסקית.
• פירוט טכני:
  תיאור החולשה, הרכיבים המושפעים, תנאי הניצול והראיות שנאספו.
• דירוג חומרה:
  תעדוף הממצאים לפי יכולת ניצול, השפעה והקשר ארגוני.
• מסלולי תקיפה:
  הצגת האופן שבו ניתן לחבר בין חולשות ולהתקדם בתוך הסביבה.
• המלצות תיקון:
  פעולות ישימות לצמצום הסיכון, כולל טיפול בשורש הבעיה.
• תוכנית תעדוף:
  הבחנה בין פעולות מיידיות, פעולות לטווח קצר ושיפורים ארוכי טווח.

יותר ממבדק: תהליך שמוביל לשיפור

המטרה אינה למסור דוח ולסיים את הפעילות. כדי שהמבדק ייצר ערך, הממצאים צריכים להפוך לתיקונים, לשיפור בקרות ולצמצום מדיד של רמת החשיפה.

לכן התהליך יכול לכלול ליווי לאחר הצגת הממצאים:

• Debriefing טכני:
  מעבר על הממצאים עם צוותי הפיתוח, התשתיות ואבטחת המידע.
• הבנת שורש הבעיה:
  זיהוי הכשל התהליכי, הארכיטקטוני או ההרשאתי שאפשר את החולשה.
• הנחיות לתיקון:
  המלצות מעשיות שמתאימות לטכנולוגיה ולסביבת העבודה הקיימת.
• בדיקה חוזרת:
  אימות שהתיקון הושלם ושהחולשה אינה ניתנת לניצול מחדש.
• שיפור רוחבי:
  זיהוי מקרים שבהם אותו כשל עלול להופיע במערכות או בתהליכים נוספים.

לצד ייעוץ אבטחת מידע ובדיקות חוסן אנושי באמצעות קמפייני פישינג, ניתן לבנות תוכנית שיפור שמחברת בין טכנולוגיה, עובדים ותהליכים.

מבדק מבוקר, מתואם ובטוח

מבדק חדירה מקצועי מתבצע רק לאחר אישור מפורש ובמסגרת גבולות ברורים שנקבעו מראש.

• המערכות, הכתובות והסביבות הנבדקות מוגדרות ב-Scope.
• הפעולות המותרות והמוגבלות נקבעות לפני תחילת הבדיקה.
• מוגדרים אנשי קשר וערוצי תקשורת למקרים חריגים.
• פעולות שעלולות להשפיע על זמינות המערכת מתואמות מראש.
• המידע שנאסף נשמר ומועבר בהתאם להסכמות ולמדיניות הארגון.
• המבדק מתוכנן לצמצם ככל האפשר את ההשפעה על הפעילות העסקית.

מתי כדאי לבצע מבדק חדירה?

• לפני השקה של מערכת, אפליקציה או שירות חדש.
• לאחר שינוי משמעותי בארכיטקטורה או בתשתיות.
• לאחר מעבר לענן או הקמת סביבת ענן חדשה.
• לאחר תיקון חולשות או אירוע אבטחה.
• לפני ביקורת, הסמכה או דרישת לקוח.
• כחלק מתוכנית בדיקות אבטחה תקופתית.
• כאשר מערכת קריטית לא נבדקה במשך תקופה ממושכת.

למה לבצע מבדק חדירה עם ExploiX?

• חשיבה התקפית מעשית:
  בדיקה המתמקדת בדרכים שבהן תוקפים פועלים ולא רק ברשימת חולשות אוטומטית.
• בדיקה ידנית:
  ניתוח לוגיקה, הרשאות, תהליכים וחיבורים שכלים אוטומטיים עלולים לפספס.
• ראייה של מסלול התקיפה:
  בחינת היכולת לחבר בין פערים ולהגיע לנכסים רגישים.
• חיבור להשפעה העסקית:
  תעדוף הממצאים לפי המשמעות שלהם עבור הארגון.
• תוצרים ישימים:
  המלצות ברורות לצוותי פיתוח, תשתיות, ענן ואבטחת מידע.
• ליווי עד לסגירת הפערים:
  Debriefing מקצועי ובדיקות חוזרות לאחר יישום התיקונים.

שאלות נפוצות על מבדקי חדירות

מהו מבדק חדירות?

מבדק חדירות הוא בדיקה מבוקרת המדמה ניסיון תקיפה אמיתי כדי לזהות חולשות אבטחה ולהבין כיצד ניתן לנצל אותן לפני שתוקף אמיתי עושה זאת.

מה ההבדל בין מבדק חדירות לסריקת חולשות?

סריקת חולשות משתמשת בעיקר בכלים אוטומטיים לזיהוי בעיות מוכרות. מבדק חדירות משלב בדיקה ידנית, בחינת לוגיקה עסקית וניתוח מסלולי תקיפה אפשריים.

כמה זמן לוקח לבצע מבדק חדירות?

משך הבדיקה תלוי בהיקף ה-Scope, במספר המערכות, בסוג הבדיקה ובמורכבות הסביבה הנבדקת.

מתי מומלץ לבצע מבדק חדירות?

מומלץ לבצע מבדק לפני השקת מערכת חדשה, לאחר שינויים משמעותיים בתשתיות, מעבר לענן, לפני ביקורת או כחלק מתוכנית בדיקות אבטחה תקופתית.

מה מקבלים בסיום מבדק חדירות?

בסיום מתקבל דוח הכולל את הממצאים, רמת החומרה, הראיות, ההשפעה האפשרית והמלצות מעשיות לתיקון.

כמה הארגון שלכם באמת חשוף עכשיו?

רוב החולשות אינן מתגלות משום שהמערכת הפסיקה לעבוד. הן מתגלות כאשר מישהו בוחן כיצד לעקוף את מנגנוני ההגנה הקיימים.

מבדק חדירה יזום מאפשר לזהות את נקודות הכניסה, להבין עד כמה ניתן להתקדם ולתעדף את התיקונים לפני שהחולשות מנוצלות באירוע אמיתי.

קבעו שיחת היכרות לתכנון מבדק חדירה מותאם לארגון