בדיקת חדירה

חברת Shtein Solutions מספקת שירותי בדיקות חדירה טכניות בתחום ה-WEB, בדיקות תשתיתיות, בדיקות אפליקציה ובדיקות מובייל. הניסיון שלנו - 13 שנים, מדבר בעד עצמו.

בדיקת חדירה מבוצעת לאיתור נקודות תורפה קיימות באלמנטים של תשתית ה-IT ובמערכות אפליקטיביות, הדגמה מעשית של אפשרות ניצול נקודות תורפה (לפי הקריטיות שבהן) וגיבוש המלצות לסילוק נקודות תורפה שזוהו. באופן כללי הבדיקות נחלקות לסוגים הבאים:

בדיקות מערכות WEB

מערכות WEB הן שער הכניסה העיקרי של רוב הארגונים אל העולם הדיגיטלי. בדיקות חדירה למערכות אלו מסייעות באיתור חולשות באתרים ואפליקציות WEB, ומבטיחות שהמידע הרגיש של הארגון והלקוחות נשמר מוגן.

בדיקות ענן

השימוש בשירותי ענן הולך וגובר, אך עם זאת מתעוררות גם סכנות חדשות. מבדקי חדירה לשירותי ענן מבטיחים שהנתונים והיישומים המאוחסנים בענן מוגנים מפני התקפות וסיכוני אבטחה.

בדיקות תשתיתיות

התשתיות הטכנולוגיות מהוות את הבסיס לפעילותו השוטפת של כל ארגון. בדיקות חדירה תשתיתיות מסייעות בזיהוי נקודות תורפה בתשתיות רשת, שרתים ומערכות הפעלה, ומבטיחות שהארגון פועל על בסיס מוצק ובטוח.

בדיקות אפליקציות מובייל

הסמארטפונים הפכו לכלי עבודה מרכזי בארגונים. אפליקציות מובייל מחזיקות לעיתים קרובות במידע רגיש, ולכן חשוב לבצע בדיקות חדירה לאפליקציות מובייל כדי להגן על מידע זה מפני פרצות אבטחה.

בדיקות API

ממשקי תכנות אפליקציות (API) הם כלי חיוני לחיבור בין מערכות שונות, אך הם גם מהווים יעד להתקפות סייבר. בדיקות חדירה לממשקי API מבטיחות שהתקשורת בין המערכות בטוחה ומאובטחת.

תרגילי צוות אדום

תרגילי צוות אדום מדמים התקפות אמתיות על מערכות הארגון, ומאפשרים לארגון לבחון את רמת המוכנות והתגובה לאיומים. תרגילים אלו מספקים תובנות חשובות ומשפרים את יכולות האבטחה של הארגון.

ניתן לבצע בדיקות חדירה מהפרמטר החיצוני (בדיקה חיצונית) ולמשאבים פנימיים (בדיקה פנימית). העבודה יכולה להתבצע עם או בלי הודעה למנהלים ולמשתמשים של המערכת הנבדקת (Red Teaming). במהלך בדיקות פנימיות, ניתן להשתמש גם במחשב הנייד של המבקר וגם בתחנת העבודה הרגילה של הלקוח.

בתהליך הבדיקה משתמשים הן בכלי בדיקה אוטומטיים והן בכלים ידניים.

אנו ממליצים להסתכל על השירותים שלנו עבור בדיקות אוטומטיות והיברידיות של יישומי אינטרנט. בדיקה אוטומטית של יישומי אינטרנט.

באופן כללי, סדר העבודה הוא כדלקמן:

• קבלת מידע ראשוני על הרשת של הלקוח. נעשה שימוש באותם מקורות מידע הזמינים לתוקפים (אינטרנט, חדשות, כנסים).
• שרטוט מפת רשת, קביעת סוגי המכשירים, מערכת ההפעלה, היישומים על סמך התגובה שלהם להשפעות חיצוניות.
• זיהוי נקודות תורפה בשירותי רשת ויישומים.
• ניתוח יישומי אינטרנט של לקוחות. הפגיעויות הבאות מזוהות באמצעות כלי עזר אוטומטיים ושיטות ידניות:
  • SQL Injection
  • Cross-Site Scripting
  • Content Spoofing
  • OS Commanding
  • vulnerabilities associated with incorrect configuration authentication and authorization mechanisms
  • וכו'
• ניצול נקודות תורפה. שיטות וכלים נבחרים בנפרד עבור כל סוג של פגיעות. נעשה שימוש גם בכלי שירות זמינים לציבור וגם בכלים קנייניים.

תוצאת העבודה תהיה דוח המכיל:

• מתודולוגיה של בדיקת חדירה.
• מסקנות לניהול המכילות הערכה כוללת של רמת האבטחה.
• תיאור של ליקויים שזוהו.
• המלצות לטיפול בפגיעויות שזוהו.

העבודות הבאות יכולות להיות המשך הגיוני של בדיקת חדירה:

• תכנון והטמעה של מערכות אבטחה
• תכנון והטמעה של מערכת ניהול של אבטחת המידע
• ניטור האבטחה של היקף הרשת הארגונית