בדיקות חדירות אפליקטיביות לעסקים
בדיקת חדירות לאפליקציה שלכם
לפני שהתוקפים יעשו את זה
בדיקות חדירות ל־Web, מערכות SaaS וממשקי API. מזהים חולשות, מאמתים את הסיכון ומתרגמים את הממצאים להנחיות תיקון ברורות לצוות הפיתוח.
- Web & SaaS
- API Security
- בדיקה ידנית
- דוח ממצאים ברור
Retest בהתאם להיקף שסוכם.
למה לא מספיקה סריקה
סריקה היא התחלה. הבנת האפליקציה עושה את ההבדל.
כלים אוטומטיים מזהים חלק מהבעיות ביעילות, וגם אנחנו משתמשים בהם. אבל חולשות שתלויות בהקשר העסקי ובמודל ההרשאות דורשות בודק שמבין את המערכת.
בקרת הרשאות בין משתמשים ובין דיירים
האם משתמש אחד יכול להגיע לנתונים או לפעולות של משתמש או לקוח אחר. זה תלוי במודל העסקי, לא בחתימה כללית.
הזדהות וניהול סשן
שחזור סיסמה, אימות דו־שלבי, תוקף סשן והתנהגות לאחר שינוי הרשאות או סיסמה.
לוגיקה עסקית
דילוג על שלבים בתהליך, מצבים לא חוקיים, מניפולציה על מחירים או מגבלות מנוי.
הרשאות ברמת אובייקט ופונקציה ב־API
נקודות קצה שמחזירות נתונים לפי מזהה, או פעולות ניהוליות שנגישות למשתמש רגיל.
בדיקה ידנית מגדילה את הסיכוי לזהות חולשות משמעותיות, אך אף בדיקה לא יכולה להבטיח איתור של כל החולשות הקיימות.
מתי זה הזמן
הרגעים שבהם בדיקת חדירות אפליקטיבית מתבקשת
לקראת שחרור גרסה
רוצים לדעת מה מצב האבטחה לפני שהפיצ'ר מגיע ללקוחות.
בקשת לקוח ארגוני
לקוח או תהליך רכש מבקש דוח בדיקת חדירות כחלק מסקירת אבטחה.
מידע רגיש במערכת
המערכת מחזיקה נתוני לקוחות, מסמכים או מידע פיננסי, והחשיפה יקרה.
שינוי מהותי במערכת
הוספת מודל הרשאות חדש, ממשקי API חדשים או מעבר ארכיטקטורה.
מה נבדק
כיסוי הבדיקה, לפי סוג המערכת
הפירוט להלן מתייחס לבדיקה בהיקף שסוכם. אין כאן סריקה של מערכות שלא אושרו ואין הפעלת כלי ניצול מסוכנים.
- בקרת הרשאות בין משתמשים ובין תפקידים, כולל גישה לנתונים של חשבון אחר
- תהליכי הזדהות, שחזור סיסמה וניהול סשן
- ולידציה של קלט וניסיונות הזרקה בהקשר של האפליקציה
- לוגיקה עסקית: מחירים, הרשאות פעולה, מצבים לא חוקיים בתהליך
- העלאת קבצים וטיפול בקבצים שהמשתמש מספק
- תצורה, כותרות אבטחה וחשיפת מידע מיותר
הכיסוי נקבע בהיקף שסוכם מראש. אין ביצוע ניצול מסוכן או סריקה של מערכות שלא אושרו בכתב.
מה מקבלים
לא רק רשימת חולשות. תוכנית פעולה לצוות שלכם.
הדוח נכתב כדי שצוות הפיתוח יוכל לתקן, וכדי שההנהלה תבין את הסיכון העסקי.
דוח הדגמה — נתונים להמחשה בלבד
דוח בדיקת חדירות אפליקטיבית — example.test
מערכת לדוגמה בדיונית. אין כאן ממצאים של לקוחות אמיתיים, מזהים אמיתיים או קוד תקיפה.
תקציר להנהלה
הבדיקה בוצעה בהיקף שסוכם, מול סביבת בדיקה ובחלון זמן מתואם, לאחר הרשאה בכתב. הממצא המשמעותי ביותר מאפשר למשתמש מחובר להגיע לנתונים של משתמש אחר דרך שינוי מזהה בבקשה. התיקון מרוכז בשכבת ההרשאות בצד השרת.
- ממצאים
- 4
- גבוה
- 1
- היקף
- Web + API
טבלת ממצאים (להמחשה)
APP-01 · עקיפת בקרת הרשאות בין משתמשים
Authorization
APP-02 · חשיפת שדות מיותרים בתשובת API
API / Data exposure
APP-03 · מדיניות חידוש סשן חסרה לאחר שינוי סיסמה
Session
APP-04 · כותרות אבטחה חסרות בתגובות האפליקציה
Configuration
- תקציר להנהלה בשפה עסקית
- דירוג חומרה והשפעה עסקית לכל ממצא
- ראיות ותיעוד מסביבת הבדיקה המורשית
- שחזור בהקשר בדיקה מורשית, ללא קוד תקיפה מוכן לשימוש
- הנחיות תיקון מתועדפות לצוות הפיתוח
- שיחת סקירה להבהרת ממצאים
- Retest בהתאם להיקף שסוכם
איך זה עובד
תהליך מסודר, בלי הפתעות
כל בדיקה מתחילה בהרשאה בכתב, סביבות מאושרות וחלון זמן מתואם, ועם איש קשר לעצירה מיידית.
היכרות והגדרת Scope
מבינים את המערכת, סוגי המשתמשים, ממשקי ה־API והמטרה העסקית של הבדיקה, ומגדירים היקף מדויק.
הרשאה ותיאום
הרשאה בכתב מהגוף המוסמך, סביבות מאושרות, חלון זמן מתואם ואיש קשר לעצירה או הסקלציה.
בדיקה ידנית וכלים תומכים
העבודה מובלת על ידי בודק אנושי; כלים משמשים לאיסוף ולכיסוי, לא כתחליף להבנת האפליקציה.
אימות ותיעוד
כל ממצא מאומת כדי להפחית רעש, ומתועד עם ראיות ושחזור בהקשר סביבת הבדיקה המורשית.
דוח ותעדוף
תקציר להנהלה, חומרה והשפעה עסקית, הנחיות תיקון מתועדפות ושיחת סקירה עם הצוות.
Retest בהתאם להסכם
בדיקה חוזרת של הממצאים שתוקנו, בהיקף ובעיתוי שסוכמו מראש בהסכם.
תיאום נכון מקטין משמעותית את הסיכון להפרעה לזמינות המערכת, אך לא ניתן להבטיח אפס השפעה. לכן מוגדרים מראש חלון זמן, סביבה ואיש קשר לעצירה.
למה HPI Cyber
מה מאפיין את השירות הזה
התמחות באפליקציות, לא הכול
הפוקוס הוא Web, SaaS ו־API. זה מה שאנחנו עושים, ולכן הבדיקה מתעמקת במודל ההרשאות ובלוגיקה.
דוח שאפשר לעבוד איתו
כתיבה בהירה, תעדוף, והנחיות תיקון שמכוונות לצוות הפיתוח ולא רק לרשימת כלים.
ניתוח אנושי
בודק אנושי מוביל את הבדיקה ומאמת ממצאים, כדי לצמצם התראות שגויות.
הגדרת היקף ותקשורת
מגדירים במדויק מה נבדק ומתי, ומעדכנים במהלך הדרך. בלי הבטחות שאי אפשר לעמוד בהן.
OWASP משמש אצלנו כמסגרת מתודולוגית מקובלת לבדיקות אפליקטיביות. אין מדובר בהסמכה או באישור מטעם ארגון חיצוני.
שאלות נפוצות
מה שחשוב לדעת לפני שמתחילים
כמה עולה בדיקת חדירות לאפליקציה?
כמה זמן לוקחת בדיקה?
בודקים בסביבת ייצור או בסביבת בדיקה?
מה ההבדל בין סורק אוטומטי לבדיקת חדירות?
איזו גישה נדרשת מאיתנו?
האם ממשקי API נכללים בבדיקה?
מה קורה אחרי שאנחנו מתקנים את הממצאים?
הלקוח הארגוני שלנו מבקש דוח בדיקת חדירות. הדוח מתאים?
מה המגבלות של בדיקת חדירות?
הצעד הבא
בואו נבין מה צריך לבדוק באפליקציה שלכם
שלחו פרטים בסיסיים ונחזור אליכם כדי להגדיר היקף בדיקה מדויק. אין בטופס תמחור אוטומטי ואין התחייבות.
- נשאל על סוגי המשתמשים וההרשאות במערכת
- נבדוק אם יש ממשקי API ותיעוד זמין
- נגדיר יחד סביבת בדיקה וחלון זמן
- נשלח הצעה מותאמת להיקף שהוגדר