בדיקות אבטחה וסייבר

בדיקות אבטחה וסייבר

ככל שהעולם שלנו הופך למחובר יותר כך הנתונים האישיים שלנו חשופים במערכות רבות המתגלות כפגיעות. בהתאם גם הסיכון לגניבת זהות גדל באופן דרמטי. חברת אבטחת המידע Gemalto מנתה 1,673 מקרי פריצה ברחבי העולם בשנת 2015, במהלכם נחשפו 707,000,000 רשומות. צרו קשר עם המומחים של קווליטסט ותהיו בטוחים.

בניית יישום מצוין יכולה לקחת שנים, אך לפריצתו יספיקו שניות בודדות: סיסמה חלשה מאפשרת גישה לאורחים בלתי רצויים ופרטים בלתי מוצפנים עלולים להיות פתח למתקפת סייבר. מכשירי IoT הם דבר נפלא, אך האבטחה שלהם לעתים לוקה בחסר. החוליה החלשה ביותר ברשת הפרטית או העסקית עלולה להיחשב כפרצה הקוראת לגנב. תחכומם של פורצי מחשבים גובר מדי יום, הם מפעילים שיטות חדירה יעילות יותר, חושפים פרצות שלא מוגנו כראוי ומניחים את ידם על התקנים כמו קוראי RFID.
גנבת נתונים פרטיים, גנבות זהות או חטיפת חשבונות יעוררו במשתמשים שלכם, שפרטיותם הופרה, חוסר אמון ביישום, בשירות או במוצר שלכם. ככל שפרצות אבטחה נפוצות בעולם הדיגיטלי אנחנו נדרשים לתכנן פתרונות הגנה שיאפשרו לנו להשתמש בטכנולוגיה הקיימת ללא פשרות.

היתרונות של קווליטסט

חברת קווליטסט מנתחת איומים פוטנציאליים וסיכונים המבוססים על נקודות חדירה מוגדרות. עם קבלת גישה לקוד, אנו פועלים באופן הבא:

  1. הקמה. בדיקת כל הרכיבים (שירותי אינטרנט, sockets, named pipes, ועוד) וכן בדיקת הקבצים והספריות במטרה לוודא כי הם מאוזכרים בצורה תקינה ושהיישום פועל על פי התכנית.
  2. אוטומציה. הערכת הקוד בכלים אוטומטיים לאיתור באגים תחביריים וסמנטיים בתחום האבטחה, וייעול החיפוש אחר נקודות תורפה כמו בעיות הזרקה (injection) לא רק ב-SQL, ניהול ואימות sessions מנותקים, (cross site scripting) XSS, אזכור ישיר של רכיבים לא מאובטחים, קנוניזציה של שמות קבצים ושאר נקודות תורפה.
  3. ניתוח ידני. תיקוף ידני של בעיות משמעותיות נערך באמצעות בדיקת הקוד שורה אחר שורה כדי לאתר שגיאות לוגיות, תצורה והצפנה לא מאובטחות ובעיות נוספות האופייניות לפלטפורמה (למשל: גלישת חוצצים buffer overflow) שעלולות להוביל לחשיפה לא מכוונת של נתונים.

יחד עם זאת, חלק ניכר מבדיקות האבטחה אינו דורש גישה לקוד. מעבר לדרישות האבטחה המוגדרות של הפרויקט, אנחנו מרחיבים את הבדיקות באמצעות תיקוף ואימות על בסיס סיכוני אבטחה נפוצים, מדיניות ונהלי אבטחה וכן מתייחסים לפרצות אבטחה ידועות והתנהלות אופיינית של תוקפים. שימו לב כי נקודות התורפה בסלולר וב-IoT שונות מאלו המאפיינות יישומים לאתרים ובדיקות האבטחה שונות בהתאם. OWASP היא מקור מוסמך למידע אודות האיומים הבולטים.

איומים פוטנציאליים על יישומים שעלינו לחקור במהלך בדיקות אבטחה לאתרים:

  • העתקה לא מורשית של יישומים או נתונים.
  • הגבלת גישה לא מורשית מתמקדת בהרשאות משתמשים ובזכויות שימוש, כמו גם ביכולת לבצע משימות מעבר לרמת הגישה המורשית של המשתמש. מידע זה יש להגדיר במפרט המערכת והוא בעל חשיבות כאשר מבצעים בדיקות חדירה פנימיות.
  • תופעות לוואי בלתי מתוכננות בעת ביצוע פעולה מבוקשת. למשל, יישום מקבל גישה לנתוניך האישיים כצפוי, אך במקביל מייצר קובץ נתונים זמני בלתי מוצפן שפורץ יוכל לנצל לרעה.
  • Cross-site scripting) XSS) הוא קוד המוחדר לדף באתר הממתין למשתמשים. הזרקת SQL שולחת נתונים אל המפרש (interpreter) כחלק מהפקודה או השאילתה. המפרש מנתח באופן שגוי את המידע הזדוני של התוקף ומבצע פקודות או נותן גישה לנתונים בלי ההרשאות המתאימות.
  • גלישת חוצצים בעקבות הכנסת מחרוזות נתונים ארוכות מדי לשדה קלט בממשק המשתמש. נקודת תורפה מסוג זה היא הזדמנות להריץ קוד זדוני.
  • מתקפות מניעת שירות (denial of service), החוסמות גישת משתמשים ליישום (לרוב על ידי הצפת השרת בפניות דמה הגורמות לצוואר בקבוק במערכת, בתור בדיקת חדירה חיצונית).
  • התקפת man-in-the middle, שבה צד שלישי מחדיר את עצמו אל שיחה דו-צדדית (כמו בעסקת אשראי), מתחזה להיות הצד השני מול כל אחד מבני השיח וחוסם תקשורת ישירה ביניהם.
  • פיצוח הצפנה המקודדת מידע רגיש.
  • לעתים מוחדרות פצצות לוגיות אל תוך קוד והן יופעלו רק בתנאים מסוימים (למשל בתאריך מיוחד). עם הפעלתן, הן עלולות לבצע פעולות זדוניות כמו מחיקת קבצים, פירמוט כוננים, חטיפת מערכות או הפעלת כופרה.

לרשותנו מגוון בדיקות חדירה (pen testing) מהשורה הראשונה המיועדות לאיתור ולדיווח על נקודות תורפה לפני שאלה יתגלו על ידי תוקף. בדיקות חדירה מבוצעות לרוב בסמוך לסוף מחזור הבדיקות. הכלים מותאמים לפי מערכת הפעלה, יישום, רשת תקשורת, שרת וכיו”ב, והם בנויים להרצת מגוון בדיקות חדירה כגון הזרקת SQL, ובדיקות fuzz באמצעות beSTORM.

בדיקות אבטחה בקווליטסט מספקות:

  • פרוט מלא המתאר במדויק את מבנה המערכת שלכם וכיצד היא צפויה להיבדק.
  • דוח מקיף להערכת חולשות המציג נקודות תורפה באבטחה. עבור כל באג מוצגים: חומרתו, מיקומו, אסטרטגיות לתיקון (כולל הגנות נפוצות) ועוד.
  • תמיכה שוטפת הניתנת על ידי מומחה בדיקות בכיר של קווליטסט שיקדם שיפור רציף באיכות.