מהם מבדקי חדירה ולמה ארגונים חייבים אותם היום
מבדקי חדירה המוכרים גם במונח המקצועי Penetration Testing מהווים את קו ההגנה האקטיבי החשוב ביותר באסטרטגיית אבטחת המידע של ארגונים מודרניים. בניגוד למערכות הגנה פסיביות כמו חומות אש או תוכנות אנטי וירוס הממתינות לאיום שיגיע, מבדק חדירה יוזם פעולת תקיפה מבוקרת. צוות של מומחי סייבר המכונים לעיתים האקרים כובע לבן, מנסה לפרוץ אל מערכות הארגון ממש כפי שהיה עושה זאת תוקף פלילי, אך תחת חוזה מסודר ובמטרה להגן ולא להזיק.
הצורך במבדקים אלו נובע מהעובדה שסביבות טכנולוגיות משתנות ללא הרף. עדכוני תוכנה, הוספת שרתים חדשים, שינויי קוד באפליקציות והחלפת ציוד רשת, כל אלו יוצרים פתח להיווצרות של פרצות אבטחה חדשות. ארגונים שלא מבצעים בדיקות יזומות באופן שוטף, עלולים לגלות את החולשות במערכות שלהם רק לאחר שמידע רגיש כבר דלף החוצה. בנוסף, חברות רבות נדרשות להציג הוכחות לרמת אבטחה נאותה כתנאי להתקשרויות עסקיות מול לקוחות ענק בינלאומיים או גופים ממשלתיים.
חשוב להבדיל בין סריקת פגיעויות אוטומטית לבין מבדק חדירה אמיתי. בעוד שסריקה אוטומטית מזהה חולשות ידועות על בסיס חתימות ומסדי נתונים, מבדק חדירה כולל ניתוח מעמיק של לוגיקת המערכת, ניסיונות לעקוף מנגנוני הגנה מורכבים וחיבור של מספר חולשות קטנות לכדי פרצת אבטחה משמעותית אחת. זוהי עבודה אנליטית ויצירתית הדורשת מומחיות אנושית רבה.
סוגים של מבדקי חדירה וכיצד להתאים אותם לארגון
עולם מבדקי החדירה מחולק למספר גישות מרכזיות, כאשר ההבדל העיקרי ביניהן הוא כמות המידע המוקדם הניתנת לצוות התוקף לפני תחילת המבדק. בחירת הגישה הנכונה תשפיע על עלות המבדק, משך הזמן שלו וסוג הממצאים שיתגלו.
מבדק קופסה שחורה (Black Box)
במבדק מסוג קופסה שחורה, צוות הבדיקה לא מקבל שום מידע מוקדם על מערכות הארגון מעבר למה שזמין באופן פומבי ברשת האינטרנט. גישה זו נועדה לדמות תרחיש מציאותי לחלוטין של האקר חיצוני המתביית על הארגון. התהליך מתחיל בשלב איסוף מודיעין נרחב על נכסי החברה, כגון אתרי אינטרנט, שרתי דואר, כתובות IP חשופות ומידע על עובדי החברה. למרות שמבדק זה מדמה מציאות בצורה הטובה ביותר, הוא עלול להיות ארוך יותר וחלק מהזמן מוקדש למיפוי במקום לתקיפה עצמה.
מבדק קופסה לבנה (White Box)
מבדק קופסה לבנה הוא ההפך המוחלט. כאן צוות הבדיקה מקבל שקיפות מלאה לגבי המערכות הכוללת גישה לקוד המקור, תרשימי ארכיטקטורת רשת, הרשאות ניהול מלאות ומסמכי אפיון. המטרה בגישה זו אינה לדמות תוקף חיצוני, אלא לבצע בדיקה יסודית ועמוקה ככל האפשר של לוגיקת המערכת והקוד עצמו. בדיקות אלו יעילות במיוחד עבור פיתוחי תוכנה פנימיים ואפליקציות רגישות במיוחד שכן הן מבטיחות כיסוי מקסימלי של כל פיסת קוד ומנגנון אבטחה.
מבדק קופסה אפורה (Grey Box)
זוהי הגישה הנפוצה ביותר בשוק כיום מכיוון שהיא מציעה איזון מושלם בין יעילות למציאות. במבדק קופסה אפורה הצוות מקבל מידע חלקי, לרוב ברמת משתמש רגיל במערכת ולעיתים גם תרשים רשת בסיסי. הגישה הזו מדמה תרחיש של תוקף שהצליח להשיג דריסת רגל ראשונית בארגון כגון עובד שסרח או האקר שהשיג סיסמה של משתמש פשוט. מבדק זה חוסך את זמן המיפוי הראשוני של הקופסה השחורה ומאפשר לצוות להתמקד באיתור חולשות מורכבות יותר כמו הסלמת הרשאות.
מתודולוגיות מובילות המנחות את התהליך
ביצוע מבדק חדירה מקצועי חייב להישען על מתודולוגיות בינלאומיות מסודרות כדי להבטיח אחידות, יסודיות ואיכות בלתי מתפשרת. ללא שיטת עבודה סדורה התהליך הופך לניסוי וטעייה חסר כיוון.
- מתודולוגיית OWASP: פרויקט הקוד הפתוח לאבטחת יישומי אינטרנט נחשב לסטנדרט הזהב בכל הנוגע למבדקי חדירה לאפליקציות ואתרי אינטרנט. הארגון מפרסם באופן קבוע את רשימת עשר החולשות הקריטיות ביותר בעולם הווב והמובייל. תוכלו לקרוא עוד על הפרויקט באתר OWASP העולמי.
- תקן PTES: ראשי תיבות של Penetration Testing Execution Standard. זהו תקן מקיף המגדיר את שבעת השלבים המדויקים לביצוע מבדק חדירה החל משלב ההתקשרות הראשונית ועד לכתיבת הדוח הסופי. שימוש בתקן זה מבטיח כי הספק אינו מדלג על אף שלב קריטי.
- מדריך NIST: המכון הלאומי לתקנים וטכנולוגיה של ארצות הברית מפרסם מסמכי הנחיה מפורטים מאוד לביצוע מבדקים. מסמכים אלו נחשבים למחמירים ביותר ומשמשים לרוב סוכנויות ממשלתיות וגופים פיננסיים גדולים הנדרשים לרמת ביטחון עליונה.
הקשר הישיר בין מבדקי חדירה לתקינה ורגולציה
בשנים האחרונות גופי הרגולציה ברחבי העולם ובישראל הבינו כי לא ניתן לסמוך על הצהרות אבטחה של חברות ללא הוכחה בשטח. כתוצאה מכך מבדקי החדירה שולבו כדרישת חובה ברוב תקני האיכות ואבטחת המידע המובילים.
כאשר בוחנים למשל את הדרישות של תקן ISO 27001 לניהול אבטחת מידע, מגלים כי הארגון נדרש לנהל סיכונים בצורה פרואקטיבית. ביצוע מבדק חדירה תקופתי מהווה את ההוכחה הטובה ביותר לכך שהארגון בוחן את הבקרות שלו בצורה אובייקטיבית ובלתי תלויה. ללא דוח מבדק תקף, ארגונים רבים יתקשו לעבור בהצלחה את מבדקי ההתעדה החיצוניים של מכוני התקנים.
בנוסף לתקני אבטחה ישירות, רגולציות הגנת פרטיות מחמירות דורשות גם הן נקיטת אמצעים טכנולוגיים מתקדמים. למשל חברות הכפופות לתקנות GDPR של האיחוד האירופי מחויבות לבחון באופן קבוע את עמידות המערכות שלהן כדי למנוע זליגת מידע פרטי של אזרחים. במקרה של דלף מידע, רשויות החוק יבדקו האם החברה ביצעה מבדקי חדירה כראוי, ואם לא הקנסות עלולים להיות חסרי תקדים.
מהי התדירות המומלצת לביצוע המבדקים
אחת השאלות הנפוצות ביותר בקרב מנהלים היא באיזו תדירות עליהם להזמין שירותי מבדק חדירה. התשובה לכך אינה אחידה ותלויה במספר גורמים משתנים המשפיעים על פרופיל הסיכון של החברה.
הסטנדרט המקובל בתעשייה, המהווה את רף המינימום, הוא ביצוע מבדק חדירה מקיף אחת לשנה. בדיקה שנתית מאפשרת לארגון לסקור את כלל המערכות לאחר שעברו מספיק שינויים ועדכונים המצדיקים בחינה מחדש. עם זאת, עבור חברות טכנולוגיה המפתחות מוצרים בקצב מהיר או גופים פיננסיים, תדירות זו אינה מספיקה.
יש לבצע מבדקים נקודתיים נוספים בכל פעם שמתרחש שינוי משמעותי בתשתית הארגונית. שינויים אלו כוללים השקה של גרסת תוכנה משמעותית חדשה, מעבר לשרתי ענן חדשים, רכישה ומיזוג של חברה נוספת וחיבור הרשתות שלה לאלו שלכם, או הוספת מודולים המנהלים נתוני אשראי ומידע רפואי רגיש במיוחד.
כיצד לבחור ספק מקצועי לביצוע הפרויקט
בחירת החברה שתבצע עבורכם את המבדק היא החלטה קריטית. אתם מפקידים את המפתחות לממלכה שלכם בידי גורם חיצוני ולכן חובה לוודא שמדובר בגורם אמין סופר מקצועי ובעל רקורד מוכח.
הקריטריון הראשון בבחירת ספק הוא בחינת ההסמכות המקצועיות של הצוות הפועל בשטח. ודאו שהבודקים מחזיקים בהסמכות בינלאומיות מוכרות כגון OSCP או CEH המעידות על מעבר בחינות מעשיות מורכבות. בנוסף מומלץ לבדוק את שיטות הניהול הפנימיות של ספק השירות, האם הוא פועל בהתאם לדרישות ISO 9001 המבטיחות בקרת איכות ותהליכי עבודה מסודרים לאורך כל הפרויקט.
בקשו לראות דוגמאות לדוחות מוסווים מפרויקטים קודמים. דוח איכותי צריך להיות ברור קריא ומוכוון פעולה. ספק המשתמש רק בכלים אוטומטיים ומייצא דוחות של מאות עמודים ללא סינון אנושי אינו ספק שעושה עבודת מבדק חדירה אמיתית אלא מבצע סריקת פגיעויות בסיסית ומתמחר אותה ביוקר.
הבנת דוח המבדק והפקת משמעויות
תוצר הסיום של פרויקט מבדק חדירה הוא הדוח המסכם. מסמך זה הוא למעשה תוכנית העבודה של צוותי המחשוב שלכם לחודשים הקרובים. דוח מקצועי נחלק תמיד לשני חלקים עיקריים המיועדים לקהלי יעד שונים בתוך הארגון.
החלק הראשון הוא תקציר המנהלים. חלק זה נכתב בשפה עסקית וברורה ללא מונחים טכניים מורכבים. מטרתו להציג להנהלת החברה את מצב האבטחה הכללי, לתאר את רמות הסיכון העסקי הנובעות מהחולשות שנמצאו ולהעריך את ההשפעה הפוטנציאלית על המוניטין וההמשכיות העסקית של הארגון.
החלק השני הוא הדוח הטכני המפורט המיועד לצוותי הפיתוח ותשתיות המחשוב. חלק זה יכיל פירוט מדויק של כל חולשה, כולל הוכחת היתכנות המתעדת כיצד בדיוק הצליח התוקף לנצל את הפרצה שלב אחר שלב. התיעוד יכלול צילומי מסך, קטעי קוד פגיעים והכי חשוב הוראות מדויקות ופרקטיות לתיקון ולסגירת הפרצה בצורה מאובטחת.
שלב תיקון הממצאים ווידוא תקינות חוזר
הטעות הגדולה ביותר שארגונים עושים היא להניח את דוח המבדק במגירה לאחר קריאתו. המבדק עצמו אינו משפר את רמת האבטחה, אלא רק משקף אותה. העבודה האמיתית מתחילה ביום קבלת הדוח, בשלב המכונה רמדיאציה או תהליך התיקון.
יש לתעדף את תיקון החולשות על פי רמת החומרה שנקבעה בדוח. חולשות קריטיות המאפשרות השתלטות מרחוק צריכות להיות מטופלות בתוך שעות או ימים בודדים, בעוד שחולשות בדרגת חומרה נמוכה יכולות להיכנס לתוכנית העבודה הרבעונית של צוות הפיתוח.
לאחר סיום סבב התיקונים המרכזי מגיע השלב הסופי והקריטי והוא ביצוע מבדק חוזר הידוע בשם Validation Test. בשלב זה ספק הבדיקה חוזר למערכות אך מתמקד אך ורק בחולשות שאותרו בסבב הראשון. המטרה היא לוודא שהתיקון שבוצע על ידי אנשי הפיתוח או הרשת אכן סגר את הפרצה הרמטית ולא יצר בעיות אבטחה חדשות. רק לאחר אישור הספק בבדיקה החוזרת ניתן להכריז על הפרויקט כהצלחה וכי עמדתם בדרישות האבטחה העולמיות כפי שמגדירים גופים מובילים כמו מכון התקנים האמריקאי NIST.
