בדיקת חדירה

Penetration testing הוא הפרקטיקה המורשית של ניסיון לסכן מערכות של ארגון כדי לזהות חולשות אבטחה. בודקי עטים פועלים תחת הסכם כתוב שמגדיר מה מותר, מה אסור, ואיזה סוג דיווח יבוא. בדיקה לא מורשית - אפילו עם כוונות טובות - היא פעילות פלילית בסגנון הונאת מחשב ברוב תחומי השיפוט.

השלבים של בדיקת עט

1. Scoping. הגדר מה בהיקף (רשתות ספציפיות, יישומים, חלונות זמן), מה לא (מערכות קריטיות לייצור, נתונים של צד שלישי), אילו טכניקות מותרות (הנדסה חברתית כן/לא, DoS כן/לא). מתועד בכתב.
2. Reconnaissance. איסוף מידע. OSINT, מיפוי רשת, סריקת יציאות, זיהוי שירות.
3. זיהוי פגיעות. סריקה לאיתור נקודות תורפה ידועות, בחינת לוגיקה של יישומים מותאם אישית, זיהוי הגדרות שגויות.
4. ניצול. ניתן להדגים פגיעות נקודתיות. לא רק "זה יכול להיות רע" אלא "זה בדיוק מה שתוקף היה עושה."
5. Post-exploitation. לאחר השגת גישה ראשונית, בדוק מה יכול התוקף לעשות - תנועה לרוחב, גישה לנתונים, הסלמה של הרשאות. הופסק כאשר יעדי הבדיקה מתקיימים.
6. Reporting. ממצאים מפורטים עם שלבי רבייה, דירוגי חומרה, המלצות לתיקון.
7. Re-test. אימות שמתקן את העבודה, לאחר שהארגון הספיק לטפל ממצאים.

קטגוריות בדיקה נפוצות

• בדיקת חדירה חיצונית. תקוף את הארגון מהאינטרנט הציבורי. מה יכול אדם מבחוץ לראות, לסרוק, לנצל?
• מבחן חדירה פנימי. הנח דריסת רגל ראשונית (מחשב נייד של עובד בסיכון, פנימי זדוני). מה יכול התוקף להגיע משם?
• Web test application. התמקדות באפליקציה ספציפית - הזרקת SQL, XSS, פגמים בלוגיקה עסקית, חולשות אימות.
• Mobile application test. ריצת אפליקציה לאחור, APIs Reverse/Reverse/APKs ניצול.
• API בדיקת חדירה. התמקדות בשכבת ה-API - פגמי הרשאה, חשיפה לנתונים, עקיפה של מגבלת שיעור.
• Cloud הערכת תצורת Cloud. AWS/Azure/GCP exposed over-S3 exposed over-S3performs Lambda.
• הערכה אלחוטית. בדיקות אבטחה של Wi-Fi.
• בדיקת חדירה פיזית. מנסה להשיג גישה פיזית - תאחור, איסוף מנעולים, הנדסה חברתית בקבלה.XPL6 הערכה הנדסית קמפיינים של פישינג, ווישינג, ניסיונות לתמרן עובדים.

קופסה שחורה מול קופסה אפורה מול קופסה לבנה

• קופסה שחורה. הבוחן יודע רק מה היה תוקף חיצוני. ריאלי אך איטי.
• Gray box. מידע מוגבל מסופק (אישורי חשבון, דיאגרמות רשת). הנפוץ ביותר בפועל.
• White box. גישה מלאה כולל קוד מקור, תיעוד ארכיטקטורה, אישורי מנהל. יסודי ביותר; מוצא בעיות בכלים אוטומטיים ובדיקות חיצוניות עלולות לפספס.

Methodology frameworks

• OWASP Web Security Testing Guide. מסגרת מקיפה לבדיקת יישומי אינטרנט.
XPLZ1SP1X9.XPLZ1SP1X9. מדריך טכני של ממשלת ארה"ב לבדיקות אבטחה.
• OSSTMM. מדריך מתודולוגיית בדיקת אבטחה בקוד פתוח.
• PTES. תקן ביצוע בדיקות חדירה.
XMITREZ1077XXPLZ107 ATT&CK. לא מתודולוגיה כשלעצמה אלא מסגרת טקטיקות-טכניקות-נהלים בשימוש נרחב בפעולות צוות אדום.

Tכלי המסחר

• Reconnaissance,16 Massan,XReconnaissance,16 theHarvester, Recon-ng
• בדיקות אינטרנט: Burp Suite (תקן תעשייתי), OWASP ZAP, sqlmap
• Exploitation frameworks: Standard Empire, Cobal Strike, Team Metasploit, Sliver
• Wireless: Aircrack-ng, Wifite, hcxdumptool
• התקפות סיסמה: Hashcat, John the Ripper
• XPLZ system: Kali Linux היא ההפצה הסטנדרטית המאגדת כלים רבים

Pen בדיקות לעומת סריקת פגיעות

לעתים קרובות מבולבלים; חשוב שונה:

• Vulnerability scan - כלי אוטומטי המפרט בעיות ידועות. זול, מהיר, ניתן להפעיל מדי שבוע. מפספס פגמים לוגיים עסקיים, פגיעויות משורשרות, וקטורים הנדסיים חברתיים.
• Penetration test — בודק אנושי עם שיטות יצירתיות. יקר, גוזל זמן, מוצא בעיות שסורקים מחמיצים. בדרך כלל שנתית או חצי שנתית.

תוכניות אבטחה בוגרות משתמשות בשתיהן - סריקות אוטומטיות לכיסוי שוטף, בדיקות עט תקופתיות לעומק.

Certifications

• OSCP (Offensive Security Certified) תקן מעשי אבטחה פוגענית. בחינה מעשית של 24 שעות נגד מעבדה פגיעה.
• OSCE3 — אפליקציית אינטרנט מתקדמת, פיתוח ניצול, הסמכות אלחוטיות מ-Offensive Security.
• GPEN, GWAPT, GXPNXPLANS GIACX אישורים.
• CEH (Certified Ethical Hacker) — אישור ברמת הכניסה, תיאורטי יותר מ-OSCP.
• PNPT (בודק אבטחת חדירה מעשי ברשת) בידיים- TCM exam.

OSCP הוא האישור הנפוץ ביותר הנדרש על ידי חברות בדיקת עטים מכובדות.

השכבה המשפטית והאתית

Pen בדיקות ללא אישור בכתב היא פשע ברוב תחומי השיפוט - ארה"ב CFAA, חוק שימוש לרעה בארצות הברית, במקומות אחרים, חוק שימוש לרעה בבריטניה. אפילו עם הרשאה, זחילת היקף עלולה לגרום לבעיות משפטיות. ההרשאה הכתובה (הנקראת לפעמים "מכתב יציאה חינם מהכלא") היא ההגנה המשפטית של הבודקים.

חברות בדיקת עטים מכובדות מחזיקות ביטוח עבור תקריות, עוקבות אחר מדיניות טיפול קפדנית בנתונים עבור כל מידע רגיש שנתקל בהן, ויש להן נתיבי הסלמה ברורים אם הם נתקלים בפריצה מתמשכת של נתונים ממשיים או בארגונים רגישים 2Wh PL3Z. expect

A דוח בדיקת עט כולל בדרך כלל:

• סיכום ביצועים למנהיגות לא טכנית
• ממצאים מדורגים בדרגת חומרה עם ציוני CVSS
• שלבי רפרודוקציה מפורטים עבור כל מציאה5ZPLZ4XSPLZPLZ4XSPLZXPLZ53 ראיות הוכחה למושג
• המלצות תיקון ספציפיות
• תצפיות מצטברות לגבי תנוחת האבטחה

הממצאים צריכים להיות ניתנים לפעולה. "פגיעות X קיימת ברכיב Y, הנה איך זה נוצל, הנה איך לתקן את זה" - לא "האבטחה שלך גרועה."