תקן אבטחת מידע
ISO 27001
מבדקי חדירה
מבדקי חדירה – Penetration Test הינם למעשה מבדקים שנועדו לדמות תקיפה חיצונית ו/או פנימית על מערכות המחשוב של הארגון, במטרה לאתר חולשות אבטחה וסיכונים פוטנציאליים.
את מבדק החדירה, מבצעים גורמים מקצועיים שהינם למעשה האקרים בעלי כישורי פריצה והיכרות מעמיקה עם רשתות ומערכות מחשוב העושים שימוש בידע הנרחב שלהם למטרות חיוביות – שיפור האבטחה של החברה. בהתאם למסגרת המבדק שסוכמה, מבוצעים ניסיונות חדירה למערכת באמצעות כלים ומתודות המתאימים לאופי הטכנולוגיה של הלקוח, וזאת במטרה לבחון מהן פרצות האבטחה המסכנות את המערכת.
1. בעל מאגר שרמת האבטחה שלו הינה הגבוהה ביותר, אחראי לכך שייערכו מבדקי חדירה למערכות המאגר לצורך בחינת עמידות מפני סיכוני אבטחה שונים. ביצוע מבדקים אלו יבוצעו לפחות אחת לשמונה עשר חודשים. לאחר ביצוע המבדק על בעל המאגר לדון בתוצאות ולתקן את הליקויים בהתאם.
מי מחויב לבצע את המבדק?
2. ארגון שהוא בעל מספר מאגרי מידע, רשאי לקבוע במסמך אחד את כל מאגרי המידע ברמת אבטחה זהה וכן את רשימת מערכות המאגר (תשתיות ומערכות, תוכנות ועוד). בנוסף, על הארגון לבצע סקר סיכונים ומבדקי חדירות אחת לשמונה עשר חודשים לפחות ולפעול לתקן את הליקויים בהתאם.
מה כולל מבדק החדירה?
כל מבדק שונה במהותו מאחרים ומותאם למטרת המבדק. מכיוון שיש מספר רב של דרכים לחדור לארגון ומגוון רחב של מערכות הגנה, תכולת המבדק תקבע לאחר הגדרת המטרה ע”י הלקוח.
1. בדיקת התכנות של מתקפות מסוימות.
2. הרכבת מתקפה חזקה מכמה חזיתות חלשות.
3. זיהוי חולשות שלא יחשפו על ידי כלים אוטומטיים כגון: (סורק חולשות באפליקציות /בתשתיות).
4. זיהוי גודל הנזק העסקי והאופרטיבי שיגרם על ידי המתקפות.
5. בדיקה של יכולות מערך ההגנה של המערכת המיועדת לתקיפה מבחינת זיהוי מתקפות ואופן הטיפול בהן.
6. אספקת הוכחות לשיפור מערך האבטחה האנושי והטכנולוגי.
גישות נפוצות למבדקי חדירה
ישנן 3 גישות נפוצות לבדיקת חדירה והן: White Box, Black Box ו- Grey Box. כל שיטה מציעה יתרונות מובהקים והיא מותאמת לצרכי הערכת אבטחה שונים.
שיטות בדיקת חדירה של White Box, Black Box ו- Grey Box ממלאות כל אחת תפקיד חיוני בהערכה ובשיפור עמדת אבטחת הסייבר של ארגון. הבחירה בין גישות אלו תלויה בגורמים כמו רמת הגישה למערכת היעד, היקף ההערכה הרצוי והמטרות הספציפיות של יוזמת בדיקות האבטחה. אסטרטגיית אבטחת סייבר מעוגלת היטב משלבת לעתים קרובות שילוב של טכניקות אלו כדי לזהות ולטפל בפרצות באופן מקיף, ובסופו של דבר לשפר את אבטחת המערכת הכוללת.
איך זה עובד?
שלבי התהליך
איסוף מידע
שלב זה מתחיל באיסוף מידע ומחקר מקדים אודות הסביבה הנבדקת. התהליך כולל שימוש בכלים ובטכניקות מתקדמות לזיהוי פגיעויות וחולשות אבטחה, המהוות נקודות תורפה של הסביבה הנבדקת אותן יכול התוקף לנצל לצורך השתלטות ופגיעה במערכות ובתשתיות הארגון
1
3
דוחות ומידע
לאחר השלמת ביצוע הבדיקות ותיעוד הממצאים, החברה מספקת דו"ח מפורט של ממצאים ואיומים ,הכולל המלצות לתיקון. הדו"ח שלנו כולל את המזהים שבאמצעותם תוקף יכול לנצל פגיעויות ונקודות תורפה הקיימות במערכת.
2
זיהוי וניצול חולשות אבטחה
לאחר זיהוי הפגיעויות וחולשות האבטחה העיקריות הבודק מתחיל בניתוח והערכת המידע ובבניית מודל לפריצה.הבודק מבצע את הבדיקה המעשית בצורה ידנית תוך ניצול מבוקר ובטוח של החולשות שזוהו על בסיס המידע שנותח.
4
תיקון ועדכון
בנוסף לדוח הערכה הרשמי שמקבל הלקוח, החברה מספקת בדיקה חוזרת לתיקונים עבור הפגיעויות של הדוח. לאחר בדיקות התיקונים שבוצעו, הבודק יעדכן את הדוח תוך מתן קביעה חדשה לרמת הסיכון ויסמן אילו פגיעויות בדוח היו והצדיקו תיקון לעדכון רמת הסיכון.