מבדקי חדירה - Penetration Tests

Penetration Tests - מהן בדיקות חדירות?
 

Penetration Tests הן למעשה מה שנקרא "מבדקי חדירה" / "מבדקי חוסן" / "בדיקות חדירות". כלומר סימולציה של תקיפה ע"י האקר/קוד זדוני המבוצעת ע"י גורם ידידותי, Ethical Hacker שנשכר ע"י הארגון וקיבל הרשאה של המנסה לתקוף.

הרעיון הוא פשוט - עם כל הכבוד לאמצעי אבטחת מידע, פריסתם ועדכונם, מה יותר טוב מסימולציה של מצב אמת? דומה הדבר לכל הפחות ללקיחת שכפ"ץ נגד כדורים אחד מתוך 100 שקיימים בארגון וירי עליו באש חיה כדי לבדוק שאכן אינו חדיר לכדורים.

מבדקי חוסן נעשים פעמים רבות גם במסגרת מהלך בדיקה שהוא כלל לא מדגמי אלא מקיף וכולל את כל הארגון. במסגרת בדיקות חדירות, ניתן לבדוק את רמת החדירות הכללית של הארגון, יכולת להשתלט על מחשבים, יכולת לשאוב מידע רגיש, יכולת לשבש נתונים ולשנותם או לבצע פעולות ללא הרשאה, יכולת להשבית את הארגון או שירותים ושרתים בו.

חשיבותן של בדיקות חדירות - הסבר
ביקורת אבטחת מידע - דגשים חשובים



מבדקי חדירה נחלקים ל3 סוגים:
 

Black Box

מבדקי חדירה המתבצעים ע"י מומחה אבטחת מידע שאין ברשותו מידע מקדים אודות הארגון. מדובר במבדק אותנטי המדמה בצורה הטובה ביותר ניסיון מתקפה זדוני על מערכות המידע של הארגון. החיסרון הבולט בשיטה זו הוא הזמן הרבה יחסית הנדרש ע"מ ללמוד את המערכת מבחוץ ולזהות את הפרצות האפשריות. לכן ישנן גורמי אבטחה שמעדיפים להתחיל עם שיטה זו, ולהמשיך עם בדיקות חדירות אחרות לאיתור פרצות.
 

White Box

בדיקות חדירות ההמתבצעות ע"י מומחה אבטחת מידע אשר קיבל מבעוד מועד את כל המידע הרלוונטי אודות הרכיבים הנבדקים. מידע זה מאפשר לקבל תמונה כוללת ומקיפה של כל מערך המיחשוב. גישה זו מאפשרת לבצע בדיקת חדירות עם כיסוי גבוה למדי של המערכות השונות ועם רמת אפקטיביות גבוהה. החיסרון הוא כמובן חוסר האותנטיות של הבדיקה, שכן פורץ אמיתי לא יזכה לקבל את המידע הזה מראש.
 

Grey Box

מבדקי חדירה המשלבים בין השיטות שצוינו להלן. כלומר מומחה האבטחה שאמון על ביצוע הבדיקה מקבל טרם הבדיקה מידע חלקי בלבד אודות המערכת הנבדקת (למשל מבנה מערכת, הרשאות גישה, סיסמאות). המטרה היא לקיים בדיקה רחבה ואפקטיבית למדי תוך שימוש במידע מקדים מתומצת אודות הרכיב הנבדק. שיטה זו חוסכת זמן יקר לבודק ועדיין מדמה בצורה ריאלית תקיפה אמיתית.

מבדקי חדירות פנימיים לעומת חיצוניים

פנימיים

מטרתו של מבדק חדירות פנימי הינה לבדוק את מידע החשיפה של ארגון מבפנים. זה כולל פריצה המתבצעת ע"י עובד בעל כוונות זדוניות או פורץ מזדמן שהצליח להתחבר אל מערכות הארגון. מבדקים אלו ממחישים את הסכנה בעבודה באמצעות רשת לא מאובטחת המאפשרת זליגת שמות משתמש, סיסמאות ופרטי גישה לשרתים. בין השאר מטרת בדיקה זו לבחון מעגלי בקרה פנימיים, יצירת התראות והגנות כפולות על מידע רגיש.

חיצוניים

מטרתו של מבדק חדירות חיצוני הינה לבצע התקפה/חדירה מהרשת החיצונית אל תוך הרשת הפנים-ארגונית, ללא מידע מקדים כלשהו. שיטה זו מדמה כמה שניתן מתקפה אמיתית ע"י גורם עוין, בה ניתן לנצל הגדרות שגויות של מערכות הגנה, תוכנות לא מעודכנות, חולשות מובנות במערכת ועוד. במסגרת בדיקות חדירות נהוג לאסוף כמה שיותר מודיעין על החברה ע"מ להמחיש את עוצמת הנזק הפוטניצאלית.

חשיבותם של מבחני חדירות

ביצוען של penetration tests מעת לעת הינו חיוני ביותר לאבטחת המידע בארגון. חשוב כמובן שמי שמבצע מבדקי חוסן יהיה האקר ברמה בינ"ל. כיום האיומים הם לעתים ברמה של מדינה! לפי רמת האיום מולה הינך מתמודד, יש גם להשקיע את המשאבים המתאימים בהגנה.

כך למשל מפעל בטחוני או תשתית לאומית שברור שהאויב יהיה מוכן בזמן אמת להשקיע מאות אלפי דולרים או מיליוני דולרים כדי לפרוץ אליה/להשבית אותה - צריכים להיערך עם תקציבים דומים רק לנושא של מבדקי חדירה.

ארגון פרטי יכול להסתפק בפחות אבל הכל תלוי ברמת שיערוך סיכונים וכיו"ב.

לוחמת סייבר - מדריך להגנה מפני מתקפה
נהלי אבטחת מידע למניעת פריצה לארגון