מבדקי חדירה תשתיתיים ואפליקטיביים

ניסיון של 20 שנה בביצוע מאות מבדקי חדירה תשתיתיים, אפליקטיביים וסקרי סיכונים
מתודולוגיה אובייקטיבית מוכחת, שפותחה in-house, לניהול מבדקי חדירה
התמחות במבדקי חדירה הממוקדים במתן תמונת מצב כפי שבאה לידי ביטוי בעיני התוקף
דוח מקצועי ומפורט הנותן מענה פרטני הן לצוות המקצועי שיידרש לבצע את התיקונים והן להנהלה
שימוש ללא עלות בפלטפורמה לניהול הטיפול אחר ממצאי מבדקי החדירה

ליצירת קשר

השיטה:

Reconnaissance

מיפוי הסביבה, זיהוי תרחישי תקיפה ואיסוף מידע
ביצוע תקיפות והשתלטות

הגעה ליעד המותקף, שליפת נתונים ולקיחת הרשאות אדמין
ניתוח נתונים והפקת דו"ח

מיפוי החשיפות שנאספו במבדק, דרוג חומרתם והמלצות לסגירתם

ליצירת קשר

7 טיפים

לפני שמתחילים מבדקי חדירה

לפני תחילת המבדק מומלץ לבצע שיחה מעמיקה עם צוות הבדיקה ולהגדיר את מטרות המבדק וגבולותיו.
מומלץ להגדיר זמן מראש עבור הצוות הטכני של החברה שיוקדש לתיקון הממצאים והפגיעויות שנמצאו במהלך המבדקים.
ביצוע מבדק חדירה כרוך בסיכונים לסביבה הנבדקת, ולכן מומלץ לבצע את המבדק בסביבת בדיקות הזהה לסביבת ה-Production.
במהלך המבדק מומלץ להגדיר ערוץ תקשורת ייעודי בין צוות הבדיקה לחברה, בו יועברו עדכונים על ממצאים קריטיים שנמצאו, וכן בעיות ושאלות מצד הבודקים. ככל שההיכרות שלהם עם המערכת/האפליקציה הנבדקת תגדל, כך יוכלו לזהות ולאפיין סיכונים באופן מדויק יותר.
מומלץ להשתמש בכלי ייעודי לניהול אפקטיבי ויעיל של תהליך תיקון הממצאים. למשל: CISOteria.
לאחר ביצוע מבדקי חדירה מומלץ לקיים מבדק חוזר שמטרתו לוודא שממצאי המבדקים תוקנו בהצלחה.
בסיום מבדקי חדירה שממצאיהם טופלו בצורה טובה, הסבירות לאירועי אבטחת מידע יורדת בעשרות אחוזים.

ליצירת קשר

שאלות נפוצות

אנו מחוייבים למקצועיות בכל שאלה ועניין.  הנה מספר תשובות לשאלות נפוצות.

האם חובה לעשות מבדקי חדירה?

למעט במקרים בו יש לארגון רגולציה המחייבת מבדקי חדירה כגון תקנות הגנת הפרטיות, הרי שמבדקי חדירה אינם חובה. עם זאת, מומלץ מאוד לקיים אחת ל-1-2 שנים מבדקי חדירה על-מנת להקטין משמעותית את הסיכוי לאירוע אבטחת מידע.

כמה זמן אורך מבדק חדירה?

השלב הראשון של מבדקי החדירה אורך מספר שבועות בכפוף לתכולת המבדק - תשתיתי או אפליקטיבי, סוגי ומספר משתמשים, וכד'. השלב השני של תיקון הממצאים ווידוא סגירתם אורך בממוצע כ-1-3 חודשים.

האם קיים סיכון לסביבה וחווית המשתמש בעת ביצוע מבדק חדירה אפליקטיבי?

ייתכן. מבדקי חדירה אפליקטיביים מדמים תקיפות אמת על האפליקציה ולעיתים יכולים לגרום להשבתתה באופן זמני. לכן, מומלץ לבצע את הבדיקות בסביבת בדיקות ייעודית הזהה לגמרי בפונקציונליות: האפליקציה, משאביה, ובקרות ההגנה (WAF לדוגמה).

כיצד להתכונן למבדק חדירה אפליקטיבי?

עיקר ההכנה למבדקי חדירה היא בזמינות הצוות וההנהלה למפגשים קצרים. בנוסף, יש להתארגן עם מתן גישה לבודקים לרכיבים שייבדקו. מומלץ גם להתארגן עם כלי ייעודי לניהול אפקטיבי ויעיל של תהליך תיקון הממצאים.

מה השיקולים בבחירת ספק לביצוע מבדקי חדירה?

א. ניסיון עשיר בביצוע מבדקי חדירה ומתן המלצות אופרטיביות בהתאם לממצאים. ב. מתודולוגיה מוכחת לכימות הממצאים לסיכונים עסקיים ($). ג. מתן, במסגרת המבדקים, כלי ייעודי לניהול אפקטיבי ויעיל של המעקב אחר תהליך תיקון הממצאים. ד. יכולת להציג את הממצאים וההמלצות בפני ההנהלה והדירקטוריון.

האם יש דרך נוספת לשפר את חוסן האפליקציה של הארגון מעבר לביצוע מבדקי חדירה?

מבדקי חדירה בוחנים את המצב הקיים נכון לרגע ביצוע המבדק, אם כי האפליקציה הארגונית ממשיכה לגדול ולהתחדש בפיצ'רים ותיקונים חדשים גם אחריהם. כדי להקטין את הסיכון בחשיפה לפגיעויות נוספות מומלץ לבצע הדרכת פיתוח מאובטח מדי שנה לצוות הפיתוח וה-QA בארגון. הדרכה שכזו תשפר את מודעות צוות הפיתוח לפגיעויות נפוצות בעולם האפליקציה וכיצד ניתן למנוע אותם עוד לפני שלב כתיבת הקוד.

אודות איי פי וי סקיוריטי

איי פי וי סקיוריטי, אשר הוקמה לפני כ-20 שנים, הינה חברת ייעוץ בתחום אבטחת מידע, סייבר, תאימות לחוקי פרטיות וסטנדרטים כגון ISO 27001 ועוד. לחברה מאות לקוחות מכל מגזרי השוק.

שלושה מדדים (KPIs) משותפים ללקוחותינו:
1) עמידה מלאה בדרישות חוקים ותקנות כגון חוק הגנת הפרטיות.
2) זמן חזרה לשגרה במקרה של אירוע של 4-5 שעות (ממוצע בתעשייה – 20 ימים).
3) ירידה של כ-90% באירועי אבטחת מידע וסייבר (מ-66% ממוצע בתעשייה ל-4-5% אצל לקוחותינו).

לאיי פי וי סקיוריטי, חברת אחות, CISOteria, אשר פיתחה פלטפורמה, מבוססת פטנט, אשר עוזרת ל-CISOs לנהל ולעקוב 24/7 אחר כל הפעילויות בדגש על סיכוני סייבר ועמידה ברגולציה 24/7.