בדיקות חדירה חיצוניות עם היקף מוגדר וממצאים שאפשר לעבוד איתם
למנהלי אבטחת מידע ולצוותי IT ופיתוח שזקוקים לתיעוד טכני מסודר: מה נבדק, אילו חולשות זוהו, מה רמת האימות של כל ממצא ומה נשאר מחוץ להיקף.
| Finding | Severity | CVSS score | Retest |
|---|---|---|---|
| F-01 | High | 7.1 | Fixed |
| F-02 | Medium | 6.1 | Fixed |
| F-03 | Medium | 5.3 | Not fixed |
| F-04 | Low | 3.1 | Inconclusive |
| F-05 | Info | No score | Fixed |
היקף הבדיקה
לפני הבדיקה מגדירים בכתב את היעדים, סוגי המשתמשים, חלון הביצוע, מגבלות העבודה ותנאי העצירה. ברירת המחדל היא בדיקה חיצונית של יעדים שאושרו במפורש. כל חריגה מההיקף מחייבת אישור נוסף.
MEIDAY מריצה בדיקות אוטונומיות מבוססות AI ועוברת על הדוח לפני המסירה. אימות ידני של הממצאים נעשה רק בתוספת, על ידי בודק בעל הסמכת OSCP. השירות אינו מוצג כתחליף אוטומטי לבדיקת חדירה ידנית מלאה או למבדק רגולטורי ייעודי.
בתוך ההיקף
- יעדים ציבוריים המפורטים בהצעה: דומיינים, תתי-דומיינים ושירותים חיצוניים שהתקבלה הרשאה מתאימה לבדוק אותם
- אפליקציית הווב וממשקי ה-API שלה, כחלק מאותה מערכת
- בדיקה מחוברת עם משתמשי בדיקה לכל סוג משתמש בהיקף, עד 2 סוגים בחבילה הרגילה
- בדיקות שמוגדרות כדי להימנע מפעולות הרסניות ומהשבתת השירות, בחלון זמן ובקצב שסיכמנו
מחוץ להיקף, אלא אם סיכמנו אחרת
- בדיקת קוד מקור או ניתוח תלויות תוכנה בגישה פנימית
- רשת פנימית, VPN ותחנות קצה
- בדיקת תצורה של חשבונות ענן
- הסלמת הרשאות מעבר לסוגי המשתמשים שהוגדרו
- הנדסה חברתית, פישינג ותרגילי Red Team
- בדיקות עומס ומניעת שירות
- מערכות של צד שלישי שאין לכם אישור לבדוק
בקרת איכות ואימות ממצאים
כל ממצא מדווח עם הראיות שנאספו. ממצא ששוחזר ידנית בתוספת ה-OSCP מסומן בדוח, כך שהצוות הטכני יודע מה זוהה אוטומטית ומה אומת על ידי בודק.
| שלב | מה קורה | מה זה אומר עבורכם |
|---|---|---|
| זיהוי אוטומטי | כלי בדיקה אוטונומיים מבוססי AI מריצים את הבדיקה ומסמנים ממצאים אפשריים. | ממצא בשלב הזה עוד לא אומת ידנית. |
| מעבר של MEIDAY על הדוח | לפני המסירה עוברים על הדוח ובודקים שהכול נראה תקין. | המעבר כלול בשירות. הממצאים לא מאומתים ולא משוחזרים אחד אחד. |
| שחזור ידני על ידי בודק OSCP | תוספת בתשלום: בודק בעל הסמכת OSCP מנסה לשחזר ידנית כל ממצא, עד 10 לכל מערכת, בהיקף שסוכם. | הדוח יתעד אילו ממצאים נבדקו ידנית ואת תוצאת הבדיקה, לרבות מקרים שלא ניתן היה לשחזר. |
המעבר על הדוח הוא בדיקה כללית לפני המסירה. הוא אינו אימות של הממצאים, אינו הסמכה למערכת או לדוח ואינו מחליף בדיקת חדירה ידנית מקיפה. גם תוספת OSCP מוגבלת לממצאים שהוגדרו לשחזור, ולא לבדיקת כל המערכת מחדש.
מה יש בכל ממצא
חומרה וציון CVSS 3.1, הרכיב המדויק, ראיות שבהן ערכים רגישים מוסתרים, סטטוס שחזור, השפעה עסקית, המלצה לתיקון וסיווג CWE. הוכחת היתכנות רק כשאפשר להציג אותה בלי לסכן את המערכת.
מתודולוגיה ומגבלות
ממצאים מסווגים לפי CWE ומדורגים באמצעות CVSS 3.1 כאשר הדירוג מתאים. הדוח מספק נתונים לתעדוף טיפול ומעקב, לצד ההקשר העסקי והטכני של כל ממצא.
הדוח לא טוען לכיסוי מלא של OWASP Top 10 או לעמידה בתקן בדיקות מסוים. בדיקות אוטונומיות עשויות לזהות חולשות טכניות מוכרות, אך יכולות להתקשות בזיהוי פגמים בלוגיקה העסקית שמחייבים הבנה מעמיקה של התהליך. בדוח כתוב מה נבדק ומה לא.
אם רגולטור, מבקר או לקוח דורשים מבדק בפורמט מסוים או מבודק עם הסמכה מסוימת, שלחו לנו את הדרישה לפני ההזמנה. נגיד לכם אם הדוח מתאים.
תהליך אישור
מסמך היקף והרשאה בכתב
רשימת היעדים, סוגי המשתמשים ולוח הזמנים, ואישור ממי שמוסמך בארגון שמותר לבדוק כל יעד.
כללי עבודה ומשתמשי בדיקה
חלון זמן, קצב בדיקה, איש קשר לעצירה מיידית ומה עושים אם נתקלים במידע רגיש. חשבון ייעודי לכל סוג משתמש, לא חשבונות של עובדים. כתובות ה-IP שמהן אנחנו בודקים משתנות מבדיקה לבדיקה, ויכולות להשתנות גם במהלך הבדיקה אם הן נחסמות. את הכתובות נמסור לכם עם הדוח, או קודם אם תבקשו.
בדיקה ודוח
הבדיקה רצה רק בתוך החלון שאושר. הדוח נשלח מוצפן לאנשי הקשר שהוגדרו, בערוץ שבחרתם.
היקפים מורכבים
מערכות מרובות, יותר מ-2 סוגי משתמשים, אינטגרציות רבות או מספר סביבות עבודה מחייבים אפיון פרטני. נבדוק את ההיקף ונגיש הצעה כתובה עם התוצרים והתנאים המתאימים.