בדיקת חדירה או מבחן Pen Test הם הנוהל של בדיקת מערכות כגון מערכות מחשב, יישומי אינטרנט ורשתות ארגונית על מנת למצוא נקודות תורפה שתוקפים יכולים לנצל. נכסי המידע אשר נמצאים בבעלותם של כל חברה צריכים להיבדק על בסיס קבוע תוך שימוש בתרחישים אמיתיים ומציאותיים , המחקים את פעולותיו של תוקף חיצוני ופנימי.
למונח בדיקות חדירות קיימים מספר מונחים מקבילים והם: Penetration Test, PT ומבדק חוסן, הכוונה היא לבדיקה שבמהלכה מנסים לפרוץ לרשת הארגונית או לאפליקציה.
את הפעולה הזו מבצעים אנשים בעלי רקע טכנולוגי מעמיק והכשרה מקצועית בתחום והם מכונים בודקי חדירות/חוסן או האקר כובע לבן או בלועזית Ethical Hacker. אותם אנשים עוברים שורה של מבדקי אמינות.
עולם מבדקי החדירות הוא רחב מאוד אך מחולק באופן גס לשניים:
מבדק חדירות אפליקטיביעוסק ביכולות פריצה לתשתיות המחשוב, לדוגמה: מערכות הפעלה, Services שפועלים במחשב כמו FTP ו- SMB, רכזות ונתבים, מערכות בקרה, מערכות אימות כמו Domain controller ועוד. הבדיקות הללו מבוצעות גם מחוץ לארגון וגם מתוכו וכמובן גם במערכות ב Cloud שבהן הלקוח הקים תשתית עצמאית מסוג IaaS.
מבדק חדירות אפליקטיבי עוסק ביכולות פריצה לאפליקציות שרת ולקוח, כולל סלולאר. כמו כן בממשקי WEB, API ועוד.
גם כאן חלק מהבדיקות מבוצעות מחוץ לרשת וחלקן מתוכה והדבר נכון גם לגבי Cloud.
בדיקות החדירות עצמן מבוצעות במגוון שיטות, דוגמת Black box בה לא נמסר מידע אודות המערכת, Gray box בה נמסר מידע חלקי ו White box שבה בדרך כלל משתפים את המומחה בכל המידע והמטרה היא להתייעץ אתו בנוגע לרמת האבטחה של הארכיטקטורה.
המתודולוגיות בהן אנו משתמשים הן המובילות בעולם, דוגמת OWASP, NIST 800-53 וכן הנחיות מערך הסייבר.
| בדיקות חדירות | הסבר |
| בדיקת חדירות לאפליקציות בסלולר | מטרת הבדיקה היא לבדוק את רמת ההקשחה של האפליקציה ואת הממשקים שלה מול מערכות אחרות. ממצאי הבדיקה מסייעים למפתחים לטפל באופן מרוכז בממצאים ולהקשיח את המערכת. |
| בדיקת חדירות תשתיתית | כאן המטרה משלבת בין מגוון ווקטורי תקיפה שמבוססים על MITRE. המומחה יישם טכניקות חדירה ותנועה ברשת (lateral movement) וינסה להשתלט על מערכות המחשוב של הארגון. |
| בדיקת חדירות לממשקי WEB | בקטגוריה זו נמצאים אתרי אינטרנט, פורטלים פנימיים וחיצוניים, API ועוד. הבדיקות מבוססות על OWASP והממצאים מפורטים ומסייעים למפתחים לטפל בהם באופן ממוקד. |
| בדיקת חדירות למערכות בענן | כאן מבוצעים גם מבדקי חדירות לתשתית בענן וגם לסביבה האפליקטיבית. בחברות רבות רוב המחשוב הוא בענן, לעיתים במספר עננים שונים והן נדרשות לבדיקה של מומחים בתחום, במטרה לבחון את רמת ההקשחה של המערכות. |
| בדיקת חדירות ל IoT | שירות ייחודי של MADSEC שבמהלכו הבודק מפרק את ההתקן ומנסה להתחבר ולבחון את רמת ההקשחה של המערכת. מדובר בבדיקה שמשלבת גם אלקטרוניקה ומהווה שירות פרימיום. |
