השאירו פרטים, וצוות סיסמארטר יחזור אליכם בהקדם.
בדיקת חדירות (Penetration Test, ובקיצור Pentest) היא סימולציה מבוקרת של תקיפה אמיתית על המערכות של העסק. בודק אבטחה מנסה לפרוץ, באישור כתוב ובתיאום מראש, ומתעד כל חולשה שהצליח לנצל. המטרה היא לגלות את הפרצות לפני שתוקף אמיתי יגלה אותן, ולקבל רשימה מסודרת של מה לתקן ובאיזה סדר.
המדריך הזה כתוב לבעלי עסקים ולמנהלי IT שרוצים להבין מה בדיוק קונים כשמזמינים בדיקת חדירות: במה היא שונה מסריקה אוטומטית, אילו סוגים קיימים, איך נראה התהליך, מה כלול בדוח ומה כדאי לעשות לפני ואחרי. הוא אינו מחליף סקר סיכונים מלא או ייעוץ משפטי.
בדיקת חדירות היא תקיפה מבוקרת על מערכות העסק, שמבצע איש אבטחה מקצועי ובאישור בכתב. הבודק פועל כמו תוקף: הוא אוסף מידע על העסק, מחפש חולשות ברשת, בשרתים, באתר ובחשבונות המשתמשים, ומנסה לנצל אותן כדי לראות כמה רחוק אפשר להגיע. מה שמבדיל בדיקה כזו מכל כלי אחר הוא ההוכחה המעשית: לא רק "קיימת חולשה תיאורטית", אלא "דרך החולשה הזו הגענו לתיקיית הנהלת החשבונות".
חשוב להבין גם מה בדיקת חדירות אינה. היא אינה תוכנת אנטי וירוס, אינה מגינה על העסק בזמן אמת ואינה מחליפה גיבוי או ניטור שוטף. זו בדיקה נקודתית שמצלמת את מצב האבטחה ברגע מסוים. העסק משתנה כל הזמן, מתווספים מחשבים, משתמשים ושירותי ענן, ולכן הממצאים תקפים לתקופה מוגבלת ויש לחזור על הבדיקה מדי פעם.
עוד נקודה בסיסית: בדיקה חייבת להיות מוסכמת מראש. חדירה למערכת מחשב ללא הרשאה אסורה לפי חוק המחשבים, ולכן כל בדיקה נפתחת במסמך שמגדיר מה מותר לבדוק, מאילו כתובות, באילו שעות ומי איש הקשר אצלכם אם משהו משתבש.
שני המושגים מתערבבים לעתים קרובות, אבל מדובר בשני כלים שונים שמשלימים זה את זה.
סריקת פגיעויות היא תהליך אוטומטי. כלי תוכנה עובר על כתובות, שרתים ותחנות עבודה, משווה את הגרסאות שהוא מוצא למאגר חולשות ידועות ומפיק רשימה. היא מהירה, זולה יחסית וניתנת להרצה באופן קבוע, אבל היא מייצרת גם התראות שווא ואינה מבינה הקשר עסקי. היא לא תדע, למשל, שחולשה קטנה בשרת אחד מאפשרת לעבור משם אל מערכת הכספים.
בדיקת חדירות כוללת עבודה ידנית של בודק שמחבר בין ממצאים, מנסה לשרשר חולשות קטנות לפריצה משמעותית ומוודא שכל ממצא אמיתי. לכן היא עמוקה יותר ויקרה יותר, ומתאימה למועד שבו רוצים לדעת מה באמת אפשר לעשות לעסק.
כשמבקשים הצעה לבדיקה, השאלה הראשונה היא מה בדיוק בודקים. יש כמה צירי חלוקה.
בדיקה חיצונית מדמה תוקף מהאינטרנט, שרואה רק את מה שהעסק חושף החוצה: האתר, שרת הדואר, גישה מרחוק, VPN וחומת האש. בדיקה פנימית מדמה תוקף שכבר נמצא ברשת, למשל עובד, אורח או מחשב שנדבק. היא בודקת כמה קל לנוע בין מחשבים, להגיע לשרת הקבצים או להשיג הרשאות ניהול.
אפשר לבדוק רשת ושרתים, אתר או אפליקציית ווב (לרוב לפי מתודולוגיית OWASP), רשת אלחוטית, סביבת ענן, ועד הנדסה חברתית: מיילי פישינג מבוקרים שבודקים אם עובדים ילחצו על קישור. לעסק קטן בדרך כלל מתאים להתחיל בבדיקה חיצונית ופנימית של הרשת והשרתים, ולהוסיף אתר או אפליקציה אם הם חלק מרכזי מהפעילות.
בדיקה מסודרת מתנהלת בשלבים קבועים, ושווה לוודא שהספק שלכם עובד כך.
הבודק אמור לעצור ולדווח מיד אם הוא מוצא ממצא חמור מאוד באמצע הבדיקה, ולא לחכות לדוח הסופי.
הדוח הוא התוצר המרכזי, ואיכותו קובעת אם הבדיקה תניב שינוי אמיתי. דוח טוב כולל שני חלקים. הראשון הוא תקציר להנהלה בשפה עסקית, שמסביר מה נמצא, מה רמת הסיכון ומה ההמלצה. השני הוא פירוט טכני לצוות ה-IT, עם כל ממצא, אופן השחזור שלו, דירוג חומרה והמלצת תיקון מדויקת.
חפשו בדוח כמה דברים: דירוג ברור של חומרה (נמוך, בינוני, גבוה, קריטי), הוכחה לכל ממצא ולא רק שם של חולשה, סדר עדיפויות לתיקון וציון של מה כבר נמצא תקין. דוח של מאה עמודים שמורכב בעיקר מפלט של כלי אוטומטי הוא סימן אזהרה.
מומלץ גם להבהיר מראש שהדוח סודי: הוא מכיל מפה של נקודות התורפה של העסק, ולכן הוא שייך רק לכם ואסור שיופץ.
אין נוסחה אחת, אבל יש כמה נקודות זמן שבהן הבדיקה משתלמת במיוחד:
ברוב העסקים בדיקה אחת בשנה, לצד סריקות שוטפות, היא נקודת פתיחה סבירה. עסקים שמחזיקים מידע רגיש במיוחד, כמו מידע רפואי או פיננסי, יכולים להזדקק לתדירות גבוהה יותר.
העלות משתנה מאוד בין עסק לעסק, ולכן ספק רציני לא יתן מחיר בלי להכיר את הסביבה. אלה הגורמים שקובעים את ההצעה:
הדרך הנכונה להשוות הצעות היא לבקש מכל ספק לפרט מה כלול, כמה ימי עבודה מוקצים ומה מקבלים בסוף. הצעה זולה במיוחד לעתים מסתכמת בסריקה אוטומטית שהוגדרה כבדיקת חדירות.
גם בעסקים מסודרים מתגלים בדרך כלל אותם סוגי ליקויים. ההיכרות איתם עוזרת להבין מה בדיוק הבודק מחפש, ומאפשרת לטפל בחלק מהם עוד לפני הבדיקה:
חלק גדול מהממצאים האלה אינו דורש טכנולוגיה יקרה אלא סדר: עדכונים, ניהול הרשאות והפרדת רשתות. לכן הבדיקה משתלמת גם כשמוצאים בה "רק" בעיות בסיסיות.
יותר ויותר עסקים נשאלים על אבטחת מידע: לקוחות ארגוניים שרוצים לוודא שהספק שלהם מוגן, חברות ביטוח שמבקשות פרטים על ההגנות בעסק, וגופים שמחויבים להוכיח שהם פועלים באחריות. בדיקת חדירות עם דוח מסודר היא אחת הדרכים להראות שהעסק בודק את עצמו ומתקן.
חשוב לא להניח הנחות. אם דרישה כזו הופיעה בחוזה, בפוליסה או בהנחיה רגולטורית, יש לקרוא מה בדיוק נדרש: האם זו בדיקה חיצונית או פנימית, באיזו תדירות ומי רשאי לבצע אותה. לשאלות משפטיות מחייבות, כמו הדרישות מכוח תיקון 13 להגנת הפרטיות, כדאי להיוועץ בעורך דין.
הכנה טובה חוסכת זמן ומשפרת את התוצאה. לפני הבדיקה כדאי לעבור על כמה נקודות:
בדיקה מקצועית מתוכננת כך שהסיכון לפגיעה יהיה מינימלי: מגדירים חלונות זמן, נמנעים מפעולות מסוכנות על מערכות קריטיות ומתאמים איש קשר. לכן חשוב גם לגבות לפני הבדיקה.
תלוי בהיקף. בדיקה של רשת קטנה יכולה להימשך ימים בודדים, ובדיקה של סביבה מורכבת או אפליקציה נמשכת שבועות. את משך הזמן ההערכה צריכה לפרט מראש.
תוקפים אינם בוחרים לפי גודל העסק. מתקפות רבות אוטומטיות וסורקות כתובות באופן המוני, ולכן גם עסק קטן חשוף. ההיקף יהיה קטן יותר, אך הערך של לדעת איפה העסק עומד נשאר.
מומלץ שהבדיקה תתבצע על ידי גורם בלתי תלוי ולא על ידי מי שמתחזק את המערכות, כדי שתהיה עין חיצונית. חשוב לוודא ניסיון, דוגמת דוח והסכם סודיות.
ממיינים לפי חומרה ומתקנים קודם את הקריטיים והגבוהים. אחרי התיקון מבצעים בדיקה חוזרת, ומתעדים מה טופל ומה נדחה, כדי לעקוב לאורך זמן.
אנחנו מלווים עסקים בכל שלבי האבטחה: מיפוי הסביבה, הקשחת הגנות, חומת אש, הגנה על תחנות קצה, גיבוי ותיקון הממצאים אחרי הבדיקה. את פרטי השירות אפשר לראות בעמוד בדיקות חדירה. אם אתם רוצים להבין איזה סוג בדיקה מתאים לעסק שלכם, השאירו פרטים ונחזור אליכם.
שירותים קשורים: בדיקות חדירה · חומת אש · פתרונות EDR · אבטחת מידע
כל הקמת רשת תקשורת במשרד שהינה מתקדמת חייבת להיות ניתנת להרחבה וגמישה כדי להתאים לצמיחה בארגון ולשינויים עתידיים. הטמיעו עיצוב רשת מודולרי המאפשר הרחבה קלה, וקבלו החלטה בשימוש בווירטואליזציה ובשירותים מבוססי ענן כדי לייעל את הניהול ולהפחית עלויות.
קראו עוד ←
תיקון 13 לחוק הגנת הפרטיות בעסק: מיפוי מידע, בקרת גישה, גיבוי, הצפנה ותגובה לאירוע. מדריך מעשי לצד המחשוב והאבטחה.
קראו עוד ←
התמיכה ב-Windows 10 הסתיימה. איך בודקים התאמה ל-Windows 11, מתי מחליפים מחשבים ואיך מתכננים שדרוג בעסק בלי השבתות.
קראו עוד ←
מה ההבדל בין EDR לאנטי וירוס, מתי אנטי וירוס מספיק ומתי צריך זיהוי ותגובה. השוואה פשוטה לבעלי עסקים.
קראו עוד ←
כמה עולה תמיכה במחשבים לעסק? מודלי תמחור: לפי שעה, מכסת שעות או ניהול חודשי, ומה משפיע על המחיר. מדריך לבעלי עסקים.
קראו עוד ←
איך מזהים הודעות דיוג, למה אימות דו-שלבי חשוב ואילו שיטות מומלצות לעסק. כללים פשוטים להפחתת הסיכון מדואר ומקישורים.
קראו עוד ←
תוכנית התאוששות מאסון (DR) לעסק: מושגי RTO ו-RPO, סדר עדיפויות למערכות, גיבוי 3-2-1 ובדיקות שחזור. מדריך מעשי.
קראו עוד ←
העלות הממוצעת של השבתת מערכות מידע לעסק בינוני עומדת על כ-8,000$ לשעה. זהו סכום עצום שלא כולל את הנזק ארוך הטווח למוניטין העסקי ואובדן אמון הלקוחות.
קראו עוד ←
60% מהעסקים שנפגעו ממתקפת סייבר נסגרים תוך חצי שנה. גלו אילו אמצעי אבטחה מונעים השבתה, מגנים על המידע ושומרים על העסק פועל — גם תחת מתקפה.
קראו עוד ←