כך מתבצעת בדיקת חדירה ב-MEIDAY
התהליך כולל 7 שלבים: הגדרת היקף, אישור בכתב, בדיקה, מעבר על הדוח, מסירת דוח, תיקון ובדיקה חוזרת. אנחנו מתחילים רק לאחר שאישרנו יחד את היקף העבודה ואת כללי הבדיקה.
שבעה שלבים
מגדירים את היקף הבדיקה
בוחרים את סוג המערכת במחשבון ושולחים פנייה. לאחר מכן אנחנו מאמתים את פרטי המערכת ומגדירים בדיוק מה ייבדק.
מה צריך להכין: כתובות המערכות, פירוט סוגי המשתמשים ואזורי מערכת שלא תרצו לכלול בבדיקה.
מה אנחנו עושים: מאשרים את היקף העבודה ושולחים הצעת מחיר עם רשימת היעדים ולוח זמנים. למערכות מורכבות נציע תמחור מותאם.
מאשרים את הבדיקה בכתב
לפני תחילת העבודה נחתם הסכם, ומתקבלת הרשאה בכתב מכל גורם מוסמך לכל יעד שנכלל בבדיקה.
מה צריך להכין: הסכם חתום ואישורי בעלות או הרשאה. אם המערכת מתארחת אצל ספק חיצוני, יש לבדוק אם נדרש אישור או תיאום איתו.
מה אנחנו עושים: מתאמים חלון זמן, קצב בדיקה, פעולות אסורות ואיש קשר שיכול לבקש לעצור את הבדיקה.
מבצעים את הבדיקה
כלים אוטונומיים מבוססי AI בודקים את המערכת מבחוץ, במסגרת ההרשאות, הזמנים וכללי העבודה שסוכמו. הפעולות מתוכננות להימנע מפגיעה מכוונת בנתונים או בזמינות השירות.
מה צריך להכין: חשבונות בדיקה ייעודיים, אם המערכת דורשת התחברות, ואיש קשר זמין במהלך הבדיקה.
מה אנחנו עושים: בודקים את היעדים שאושרו, מתעדים ראיות רלוונטיות ועוצרים אם מתקבלת בקשה מאיש הקשר שהוגדר.
עוברים על הדוח
לפני מסירת הדוח אנחנו עוברים עליו ובודקים שהכול נראה תקין. בבדיקה הבסיסית הממצאים לא מאומתים ולא משוחזרים אחד אחד, והם מופיעים בדוח עם הראיות שהכלים הפיקו.
אם הזמנתם את תוספת ה-OSCP, בודק בעל הסמכת OSCP מנסה לשחזר ידנית כל ממצא, עד 10 לכל מערכת, ומתעד בדוח אם הצליח. זו תוספת נפרדת, ולא בדיקה ידנית מלאה של המערכת.
מקבלים דוח
הדוח כולל תקציר למנהלים, פירוט המערכות שנבדקו, שיטת הבדיקה ומגבלותיה, ממצאים טכניים, ראיות והמלצות לתיקון. הוא מתייחס גם לחלקים שלא נבדקו.
מה צריך להכין: לקבוע מי בארגון אחראי לטיפול בכל ממצא, ולהעביר את החלק הטכני לגורם שמתחזק את המערכת.
מה אנחנו עושים: מוסרים את הדוח מוצפן לאנשי הקשר המורשים, בערוץ שתבחרו (אימייל, וואטסאפ או ערוץ אחר), ועונים על שאלות הבהרה.
מתקנים את הממצאים
צוות הפיתוח או ספק המערכת מטפל בממצאים בהתאם לתעדוף שנקבע לפי חומרה והקשר עסקי.
מה צריך להכין: לתעד אילו ממצאים תוקנו, כדי שנוכל להתמקד בהם בבדיקה החוזרת.
מבקשים בדיקה חוזרת, ללא עלות
אפשר לבקש בדיקה חוזרת ממוקדת אחת בתוך 45 יום ממועד מסירת הדוח. הבדיקה תכלול את הממצאים שדווחו, באותו היקף בלבד. מערכות ותכונות חדשות אינן נכללות בה.
מה צריך להכין: לשלוח רשימת ממצאים שתוקנו ולוודא שחשבונות הבדיקה עדיין פעילים.
מה אנחנו עושים: בודקים שוב את הממצאים ומעדכנים את הסטטוס שלהם: תוקן, לא תוקן או שהתוצאה אינה חד-משמעית. במקרה של תוצאה לא חד-משמעית יתואם ניסיון נוסף אחד ללא חיוב, בכפוף לתנאים שנקבעו בהצעה.
שאלות נפוצות
מה נכלל בבדיקה?
את המערכות שאישרתם בכתב, מבחוץ: האתר או האפליקציה, השרתים הציבוריים וממשקי ה-API שלהן, בהתאם להיקף שסוכם. אם יש התחברות, בודקים גם מה כל סוג משתמש יכול לעשות. רשימת המערכות המדויקת נכתבת בהצעה לפני שמתחילים.
מה ההבדל בין פנטסט, בדיקת חדירה ובדיקת חוסן?
פנטסט (Penetration Test) ובדיקת חדירה הם שני שמות לאותו סוג שירות. הביטוי "בדיקת חוסן" משמש לעיתים גם לבדיקות מסוגים אחרים. בכל מקרה, היקף העבודה המדויק יפורט בהצעה.
ה-API נספר בנפרד?
לא. ממשקי ה-API של המערכת כלולים במחיר כשהם חלק מהיקף הבדיקה שסוכם. API עצמאי, שאינו חלק מאתר או מאפליקציה, נחשב מערכת אחת.
צריך להתקין משהו?
לא. הבדיקה מתבצעת מבחוץ. אין צורך להתקין תוכנה או לפתוח חשבון אצלנו. אם נבדקת מערכת שדורשת התחברות, ייתכן שנבקש חשבונות בדיקה ייעודיים. הדוח יימסר לאנשי הקשר שהוגדרו.
מה אם לא נמצאו חולשות?
תקבלו דוח שמפרט מה נבדק, איך, ומה לא נבדק. דוח ללא ממצאים פירושו שלא זוהו חולשות במסגרת ההיקף ושיטת הבדיקה שנקבעו. אין בו הבטחה שהמערכת חסינה.
כמה זמן זה לוקח?
זה תלוי בהיקף ובחלון הבדיקה שתאשרו. את לוח הזמנים נכתוב בהצעה, לפני שמתחילים, ולא נבטיח מועד שלא נוכל לעמוד בו.
זה בטוח למערכת שלי?
אנחנו לא מבצעים פעולות הרסניות במכוון, עובדים רק בחלון הזמן שסיכמנו ומגבילים את קצב הבדיקה. בכל זאת, כל בדיקה חיצונית מוסיפה עומס מסוים, ולכן נתאם איתכם איש קשר לעצירה מיידית אם צריך.
באיזו שפה נכתב הדוח?
באנגלית. אם תבקשו, נכתוב אותו בעברית.
מי עובר על הדוח לפני המסירה?
MEIDAY עוברת על הדוח לפני המסירה ובודקת שהכול נראה תקין. אימות ידני של כל ממצא נעשה רק בתוספת, על ידי בודק בעל הסמכת OSCP. המעבר על הדוח אינו בדיקת חדירה ידנית.
מה זה תוספת ה-OSCP?
בודק חדירות עם הסמכת OSCP מנסה לשחזר בעצמו את הממצאים בהיקף שהוגדר, ומתעד את התוצאה. זה שירות נוסף בתשלום, לכל מערכת בנפרד, ומכסה עד 10 ממצאים. מעבר לכך, המחיר ייקבע בהצעה הכתובה.
מה זו בדיקה חוזרת, ומתי היא בחינם?
אחרי שתיקנתם, בודקים שוב את הממצאים שדווחו, באותו היקף. הבדיקה החוזרת הראשונה בחינם אם מבקשים אותה בתוך 45 יום ממועד מסירת הדוח. היא לא בודקת מערכות או פיצ'רים חדשים. ממצא שהתוצאה שלו לא חד-משמעית מקבל ניסיון נוסף אחד בתיאום, גם הוא בלי תשלום.
הדוח מחליף מבדק שרגולטור או מבקר דורש?
לא בהכרח. אם רגולטור, מבקר או לקוח דורשים מבדק בפורמט מסוים או מבודק עם הסמכה מסוימת, בדקו את הדרישה מולם לפני שמזמינים. נגיד לכם אם הדוח שלנו מתאים.
צריך לתת לכם סיסמאות?
לאתר ציבורי, לא. לאפליקציה עם התחברות נבקש משתמשי בדיקה ייעודיים לכל סוג משתמש, לא את החשבונות של העובדים שלכם. אל תשלחו פרטי גישה בטופס באתר. נתאם ערוץ מאובטח אחרי שנסכם היקף.
רוצים לדעת כמה זה יעלה?
ממלאים ארבע שאלות קצרות במחשבון ומקבלים הערכת מחיר, כולל מע״מ.