הטמעת בדיקות חדירה בתשתיות: בדיקת חדירה

בדיקות חדירה: היכן התשתית נכשלת

פגיעויות בתשתית לעיתים רחוקות נראות כמו שגיאה בקוד. לעיתים קרובות יותר הכשל מגיע מכיוון שאיש לא החשיב כמבצעי: סביבת בדיקה שהוצאה החוצה «לזמן מה», פאנל ניהול עם תצורת ברירת מחדל, פורט שנפתח לדיבאג ונשכח לאחר השחרור. פורמלית הכול עובד, אבל ההיקף החיצוני רחב יותר ממה שהצוות מניח.

חשבונות מיושנים — הסוג הנפוץ ביותר של נקודות כניסה נסתרות. חשבון שירות שבו השתמש קבלן שעזב, מפתח שלא בוטל לאחר מעבר, תפקיד עם הרשאות מנהל לחשבון שמספיק לו לקרוא מדדים. רשומות כאלה אינן נראות בספירת מלאי ואינן מפריעות למוצר — הן פשוט ממתינות שמישהו ימצא אותן.

מנקודת המבט של ההיקף החיצוני זה נראה לא כמו פריצה, אלא כמו שרשרת: סריקה מוצאת שירות פתוח, השירות מקבל פרטי זיהוי שאיש לא שינה, ומשם התנועה ממשיכה בתוך הרשת לפי קשרי אמון. היקף הרשת נחשב אז מוגן, כי רשימת הכללים סגורה פורמלית — הפער בין התרשים למציאות הוא בעצם נושא הבדיקה.

מחיר הכשל — לא רק דליפה. המוצר נשחק בלי לשים לב: חלק מהבקשות עוברות לצומת שנפרץ, היומנים נאספים באופן חלקי, השחזור מתארך כי אין לאיש מפה מעודכנת של הקשרים. בדיקות חדירה נעשות לא לשם דוח, אלא כדי להשוות את נקודות הכניסה בפועל עם מה שהצוות מחשיב כהיקף שלו — נסביר איך זה נסגר.

מה משתנה לאחר בדיקת ההיקפים והרשאות הגישה

לאחר בדיקת ההיקפים והרשאות הגישה העבודה לא מסתיימת בדוח: כל פער הופך לשינוי בתצורת השירותים או בנוהל. את הבדיקה אנו מבצעים לפי מתודולוגיות OWASP ומתעדים לא רק את הפגיעות, אלא גם את מחלקת הכשלים שהיא פותחת.

חלון הפגיעות מתקצר משבועות לשעות

בעבר עדכון קריטי חיכה לחלון התחזוקה הקרוב, וחלון הפגיעות נמשך שבועיים-שלושה. כעת שירותים עם גישה חיצונית נכנסים לסדר דחוף, ומועד הסגירה מתועד לכל היקף.

שיעור ניסיונות הכניסה המוצלחים יורד

אנו מבטלים חשבונות משותפים, מצמצמים הרשאות גישה למינימום הנדרש ומגבילים את תוחלת החיים של מפתחות. כניסות ממקומות לא אופייניים מפסיקות להצליח, ותסריטים לגיטימיים ממשיכים לעבוד.

זמן התגובה נמדד בדקות

האירוע מגיע לתורן עם הקשר: חשבון, מקור, סדרת ניסיונות. נוהל התגובה מתאר את הצעד הראשון ואת הבעלים — בלי שיחות ועדכונים.

התוצאה — לא רשימת הערות, אלא תצורה ששונתה ונוהל שעובד: חלון הפגיעות נמדד בשעות, לא בשבועות.

פורמטים של עבודה: היקף חיצוני, רשת פנימית, יישומי אינטרנט

בדיקת חדירה מתחילה לא בסט כלים, אלא בבחירת גבולות: אותן מתודולוגיות מניבות תוצאה שונה מבחוץ ומבפנים הרשת. להלן האפשרויות שביניהן באמת בוחרים, ומה מגביל כל אחת מהן.

היקף חיצוני

כאן המשימה היא לראות את הארגון בעיני מי שאין לו שום גישה. לפני ההתחלה מתאמים כתובות, חלונות זמן וקשר עם המשמרת התורנית: אז הבדיקה לא הופכת לאירוע לילי, והממצאים מקבלים מיד עדיפות לפי נגישות מבחוץ.

סגמנטים פנימיים

עבודה מבפנים מתחילה במודל התוקף: איזה חשבון ואילו הרשאות אנו מחשיבים כנפגעים. לאחר מכן בודקים סגמנטציה, יחסי אמון בין דומיינים וגישה למאגרי נתונים — מה שלא נראה מבחוץ, ובהתפתחות התקיפה מכריע את התוצאה.

שלבים: מתיאום גבולות ועד מסירת הדוח

העבודה מתנהלת בשלבים עוקבים: כל שלב נשען על התוצר של השלב הקודם, ולכן התוצאה ניתנת לשחזור ואינה תלויה במי מהמהנדסים שמנהל את הפרויקט. להלן הסדר שבו אנו מבצעים בדיקות חדירה.

סדר העבודה

1. אבחון היקפים: ספירת מלאי של כתובות חיצוניות, תת-רשתות פנימיות ונקודות אינטגרציה — מפת משטח התקיפה עם בעלים לכל צומת.
2. תיאום גבולות: טווחי כתובות, חלונות עבודה, איסור על תסריטים הרסניים, קשר עם התורן — הכול מתעדים בכתב.
3. תוכנית בדיקה: מפרקים את התסריטים לפי סוגי סיכון ומעבירים העתק של התצורות לסביבת בדיקה, שבה בודקים השערות מסוכנות.
4. עבודה בסביבת ייצור — לפי תסריטים מתואמים בתוך חלון מורשה, עם תיעוד זמן ותוצאה של כל צעד.
5. אימות ממצאים: כל השערה מאשרים בדרך שנייה ובלתי תלויה, אחרת הדוח יכלול התראת שווא.
6. בדיקה חוזרת: לאחר התיקון חוזרים לאותן נקודות לפי אותו תסריט ומוודאים שהפגיעות נסגרה.
7. מסירת דוח עם עדיפויות, צעדי שחזור והמלצות, ובנפרד — מה נשאר ביודעין מחוץ לבדיקה.

אימות ובדיקה חוזרת

גבולות כתובים, תוכנית וממצאים מאושרים נותנים מסלול שניתן לשחזר: אפשר לחזור על הבדיקה ולהשוות חתכים, ולא להסתמך על הזיכרון של המשתתפים.

תוצרי הבדיקה: דוח, ראיות, תוכנית תיקון

בדיקת חדירה נחשבת להשלמה לא כאשר הממצאים נמצאו, אלא כאשר לצוות הלקוח נשאר סט מסמכים שאפשר לסגור לפיו את הממצאים בלי השתתפות הבודקים. הנה מה שאנו מוסרים בסיום העבודה.

• דוח בדיקה — ממצאים עם וקטור ניצול, ההיקף שנפגע והערכת חומרה; כל ממצא קשור לצומת מסוים, לא לעצות כלליות.
• ראיות — רצפים של בקשות ותגובות, לוגים, דאמפים של מצב: לפיהם אפשר לשחזר את הממצא ולאשר את דבר התיקון.
• תרשים היקפים — מפה של סגמנטים, נקודות כניסה וקשרי אמון בין שירותים, שנאספה לפי המצב בפועל, לא לפי תיעוד הפרויקט.
• מדיניות גישה — כללים לחשבונות שירות, גישות ניהול ומסלולים בין-סגמנטיים עם סימון היכן הופר עקרון ההרשאה המינימלית.
• תוכנית תיקון — עדיפויות: מה נסגר בתצורה, מה דורש שינוי ארכיטקטורה, ומה — אמצעים ארגוניים.
• נוהל בדיקות חוזרות — תדירות וטריגרים: שינוי היקף, שחרור גדול, רוטציית גישות.

קריאות למהנדסים. כל סעיף מתואר בארבעה בלוקים: ממצא, שחזור, השפעה, תיקון — זה מספיק כדי לפתוח משימה בלי הבהרות מהבודקים. עבור המנהל בנפרד יש תקציר לפי חומרה ומטריצת עקיבות, שמראה איזו בדיקה בדיוק אישרה את הסגירה.

מקרה בוחן: איך סגרו מחלקת כשלים בהיקף האינטגרציות

הלקוח — פלטפורמה עם היקף אינטגרציות מבוזר: ממשקים חיצוניים לשותפים, תור אירועים, חשבונות שירות, התראות ממערכות חיצוניות. בדיקות חדירה לפני כן נעשו פעם בשנה ורק בהיקף החיצוני, והקשרים בין השירותים מבפנים נחשבו סגורים באמצעות סגמנטציה ברשת.

מקרה היישום התחיל בספירת מלאי: כל נקודות הכניסה הונחו על המפה, כולל סביבות בדיקה וממשקי ניהול שנותרו משחרורים קודמים.

מדדים לפני ואחרי

לפי הבדיקה הקודמת, בדוח נרשמו 4 ממצאים, ומהם נסגרו בערך מחצית — התיקונים נתקלו בתיאומים, וזמן התגובה לממצא חדש נמדד בשבועות. לאחר ספירת מלאי נקודות הכניסה, מספרן הגיע ל-34, מהן 9 עם יכולת מאושרת לצאת מגבולות השירות.

תיקון הפגיעויות התנהל לפי עדיפות: רוטציית מפתחות של חשבונות שירות, הפרדת הרשאות בין שירותים, והוצאת ממשקי הניהול לסגמנט נפרד. בדיקה חוזרת לא אישרה אף אחד מ-9, וזמן התגובה לממצא הצטמצם משבועות למספר ימים.

מדוע ממצאים לא מתקנים במעבר אחד

חלק מהפגיעויות גורר שינוי בתבנית האינטראקציה: תיקון הרשאה בשירות אחד שובר קריאות אצל שניים אחרים. שינויים כאלה מתבצעים בגלים — תחילה מה שנסגר בהגדרות, אחר כך תיקונים בקוד, ולבסוף ניתוק נקודות כניסה מיושנות.

סימון הממצאים נעשה לפי OWASP, כדי שהעדיפויות לא יהיו תלויות במי שקורא את הדוח. את שיעור הסגורים חישבו לא לפי הדוח עצמו, אלא לפי בדיקה חוזרת — היא גם הראתה מה נשאר מחוץ להיקף.

במה בדיקות חדירה שונות מסריקה

סריקת פגיעויות עונה על השאלה «מה במשטח שלפנינו נראה מוכר ומיושן». הסורק משווה את תגובות השירותים למאגר חתימות, עובר מאות צמתים בדקות ומחזיר רשימה — בלי הקשר מה מזה באמת נגיש מבחוץ. הוא לא מבחין בין סביבת בדיקה להיקף ייצור, לא רואה שטופס הכניסה מוגן בגורם שני, ולא מקשר בין ממצאים.

בדיקה ידנית מתחילה במקום שבו נגמרת החתימה. המהנדס עובד עם הלוגיקה העסקית: האם אפשר באמצעות ניסוי קודי איפוס לשנות סיסמה של משתמש אחר, האם ניתן לעקוף מגבלת תפקיד בקריאה ישירה למתודה, האם שרשרת משירות פתוח, חשבון חלש וסוד גישה בשימוש חוזר מובילה לבסיס הנתונים.

את המסגרת המתודולוגית קובע OWASP, אבל את התוצאה נותנת לא רשימת בדיקות, אלא השערה על מערכת מסוימת והנתונים שלה.

התראות שווא — המחיר העיקרי של האוטומציה. דוח של כמה מאות שורות מפסיקים לקרוא במהרה, ואיתו הולכים לאיבוד גם ממצאים אמיתיים. בבדיקה ידנית כל השערה או מאושרת בתסריט שניתן לשחזר, או מוסרת — בדוח נשאר מה שנוצל בפועל ודורש תיקון. גם עומק הבדיקה שונה: הסורק מדווח על פגיעות בודדת, והמהנדס מראה לאילו נתונים היא מגיעה.

גם תדירות הבדיקות שונה. סריקה הגיוני להחזיק בצינור השחרור — היא לא תופסת מהנדסים ומזהה רגרסיות היגיינה. בדיקות חדירה מפעילים לפי שינויים משמעותיים: אינטגרציה חיצונית חדשה, שינוי מודל התפקידים, מעבר היקף, שחרור גדול. בפועל משלבים ביניהן — רקע קבוע ועבודה ידנית עמוקה לפי מטרה, עם בדיקה חוזרת חובה של ממצאים שנסגרו.

מגבלות וסיכונים: מה מבהירים לפני תחילת העבודה

לפני ההתחלה מתעדים בכתב את גבולות הבדיקה: רשימת כתובות ושירותים, חלון עבודה, חריגים וכללי עצירה.

בנפרד מתאמים את מצב הבדיקה — באיזו אגרסיביות מותר להשפיע על סביבת הייצור, אילו תסריטים אינם נכללים (ניסוי המוני, ניתוק חיבורים, שינוי נתונים) ומי מצד הלקוח רשאי לעצור את העבודה בשיחת טלפון אחת.

ההשפעה על סביבת הייצור מוגבלת בדרך כלל לחלון של עומס נמוך ולמגבלת עוצמה, ולצמתים בלי רזרבה של כוח מתאמים העתק של ההיקף. סודיות הדוח והגישה לתוצאות הם חלק מהחוזה: מעגל אנשים, ערוץ העברה מאובטח, תקופת אחסון, סימון אי-גילוי.

מה עושים עם ממצאים שאי אפשר לסגור מיד?

מחלקים אותם לשתי קבוצות. הראשונים נסגרים בהגדרה או בעדכון בשחרור הקרוב. השניים דורשים עיבוד מחדש של הארכיטקטורה או עדכון מספק חיצוני — לתקופה עד לתיקון מתאימים אמצעים מפצים: כלל סינון, הגבלת גישה, בקרה נוספת בכניסה.

למי נגישות תוצאות הבדיקה?

את הדוח מוסרים למעגל מצומצם של אנשים בערוץ מאובטח, שומרים במאגר סגור עם יומן גישה. עבור ההנהלה מכינים תמצית בלי פרטי ניצול — היא לא נותנת תסריט תקיפה מוכן, אם תגיע למקום לא נכון.

נדון במשימה: מה צריך להערכה ולתוכנית

ככל שנתוני המוצא מדויקים יותר, כך יש פחות הנחות בהערכת ההיקף — ופחות הפתעות במהלך העבודה. מתחילים בדיון על המשימה: אילו היקפים נכנסים לבדיקת חדירה, מה כבר נבדק קודם ואילו תוצאות אנו יורשים, כדי לא לשכפל ממצאים סגורים.

כדי לחזור עם תוכנית עבודה, ולא עם שאלות הבהרה, נדרש המינימום הבא:

• תרשים היקפים: מה אנו מחשיבים כהיקף חיצוני, מה פנימי, והאם יש סביבות ביניים.
• הרכב השירותים: ממשקי אינטרנט, ממשקים תוכנתיים, פאנלי ניהול, לקוחות ניידים, אינטגרציות עם קבלנים.
• מגבלות זמן: חלונות עבודה זמינים, תקופות עומס שיא, שעות אסורות.
• אחראי להחלטות: מי מתאם את ההיקף, מי מאשר ממצאים, מי מקצה גישות.
• נקודות קשר: מהנדס תורן בצד שלכם והמומחה המוביל שלנו, ערוץ תקשורת מתואם.
• תוצרים קיימים: דוחות קודמים, מדיניות, נהלי תגובה לאירועים.
• גבולות המותרים: מה מותר, ומה שוללים — הנדסה חברתית, גישה פיזית, תסריטי עומס.

אם חלק מהנתונים עדיין אין — זה לא עצירה: נבהיר בשיחה ונתעד הנחות ישירות בתוכנית. בתוצאה תקבלו שלבים, את משך הזמן שלהם בשבועות, את הרכב הדוח ומה שיידרש מהצוות שלכם בכל צעד.