מבחני חדירה

מבחן חדירה (Penetration Test) הוא הדרך האמינה ביותר לענות על השאלה שכל הנהלה שואלת: ״אם מישהו ינסה לפרוץ אלינו — יצליח?״ בניגוד לסריקת חולשות אוטומטית, שמזהה חולשות מוכרות מרשימה, מבחן חדירה מבוצע על ידי בודק אנושי שחושב כמו תוקף: משרשר חולשות קטנות לתקיפה משמעותית, עוקף לוגיקה עסקית, ומדגים בפועל מה תוקף אמיתי היה משיג. הדף הזה מסביר אילו סוגי מבדקים קיימים, איך בוחרים גישה, ומה מבדיל דוח שמקדם אתכם מדוח שנקבר במגירה — כדי שתדעו בדיוק מה להזמין, מה לדרוש מהספק, ואיך להפוך את המבדק מהוצאה חד-פעמית לנכס שמשרת אתכם מול לקוחות ורגולטורים.

סוגי מבדקי חדירה

Black Box, Grey Box או White Box — כמה מידע נותנים לבודק

• Black Box — הבודק מקבל רק כתובת, כמו תוקף אמיתי מבחוץ. ריאליסטי, אבל חלק ניכר מהזמן מוקדש לאיסוף מידע במקום למציאת חולשות עמוקות.
• Grey Box — הבודק מקבל משתמשים לדוגמה ותיאור המערכת. היחס הטוב ביותר בין ריאליזם לעומק בדיקה — וזו ברירת המחדל שאנחנו ממליצים עליה לרוב הלקוחות.
• White Box — גישה מלאה, לעיתים כולל קוד מקור. מקסימום כיסוי, מתאים למערכות קריטיות או לבדיקה לפני עלייה לאוויר של רכיב רגיש.

הבדיקות שלנו מבוצעות לפי מתודולוגיות מוכרות — OWASP Testing Guide ו-OWASP Top 10 לאפליקציות, OWASP API Security Top 10 לממשקים, ומסגרות מקובלות למבדקי תשתית — כך שהכיסוי שיטתי, ניתן להצגה מול לקוחות ומבקרים, ולא תלוי במצב הרוח של הבודק.

איך נראה תהליך העבודה

מבדק מסודר מתחיל בשיחת Scoping קצרה שבה מגדירים יחד מה בודקים, באיזו גישה, מה מחוץ לתחום ומהם חלונות הזמן — הכול מעוגן במסמך הרשאה חתום (Rules of Engagement) שמגן על שני הצדדים. הבדיקה עצמה נמשכת לרוב בין שבוע לארבעה שבועות לפי ההיקף, עם ערוץ תקשורת פתוח לאורכה: ממצא קריטי לא מחכה לדוח הסופי — אתם מקבלים התרעה מיידית עם המלצת טיפול, כי חולשה חמורה שחשופה לאינטרנט לא יכולה לחכות שבועיים.

מה מבדיל דוח מבחן חדירה טוב

את ההבדל בין ספקים רואים בדוח. רשימת CVE עם ציוני CVSS שהופקה מסורק — זה לא מבחן חדירה. דוח טוב חייב לכלול:

• סיכון עסקי, לא רק ציון טכני — מה תוקף משיג בפועל מכל ממצא: גישה למידע לקוחות? השתלטות על חשבון? עצירת השירות?
• שחזור מלא (Reproduction) — צעדים מדויקים וצילומי מסך שמאפשרים למפתח לשחזר את הממצא בעצמו, בלי לנחש.
• תיקון מומלץ וספציפי — לא ״יש לוודא ולידציה של קלט״ אלא איפה, איך ובאיזו שכבה.
• תקציר מנהלים — עמוד אחד שמנכ״ל ודירקטוריון מבינים, עם תמונת סיכון כוללת ותעדוף.

מתי עסק צריך מבחן חדירה — ובאיזו תדירות

הטריגרים הנפוצים: דרישת לקוח (שאלון אבטחה או חוזה Enterprise שמחייב PT תקופתי), דרישת רגולציה או תקינה (תקנות אבטחת מידע ברמה גבוהה, ISO 27001, SOC 2, דרישות בנקאיות), ולפני עלייה לאוויר של מערכת חדשה או שינוי ארכיטקטוני משמעותי. לגבי תדירות — הפרקטיקה המקובלת היא מבדק מקיף אחת לשנה, ובנוסף מבדק ממוקד אחרי כל שינוי מהותי: פיצ׳ר רגיש חדש, מעבר תשתית, אינטגרציה חדשה. חברות SaaS בצמיחה מהירה עוברות לרוב למחזור חצי-שנתי על הרכיבים הקריטיים.