בדיקת חדירות (PT): מתי נכון לעשות, ולמה

מה זה בדיקת חדירות, בשפה פשוטה

סורק אוטומטי עובר על רשימה של בעיות מוכרות. בודק חדירות חושב כמו תוקף: הוא מנסה לשלב כמה חולשות קטנות לפריצה אחת, בודק אם משתמש רגיל יכול לראות נתונים של משתמש אחר, ומחפש תקלות בלוגיקה העסקית. למשל: לקבל מוצר בלי לשלם, או לשנות הרשאה בלי אישור. את הדברים האלה כלים אוטומטיים כמעט לא מוצאים. בסוף מקבלים דוח עם הממצאים, רמת החומרה של כל אחד והמלצות לתיקון. בדרך כלל גם בדיקה חוזרת אחרי התיקון.

מתי נכון לעשות PT

• לפני השקה לציבור של מערכת שמחזיקה מידע אישי, מסמכים, נתוני בריאות או כספים.
• לפני שמתחילים לגבות כסף, או כשמחברים סליקה, ארנק או זיכויים.
• כשלקוח עסקי דורש את זה. חברות גדולות, משרדים ממשלתיים ומבטחים מבקשים לא פעם דוח PT עדכני לפני שהם עובדים איתכם.
• אחרי שינוי גדול: מערכת הרשאות חדשה, מעבר תשתית, API ציבורי או חיבור לשירותים חיצוניים.
• פעם בשנה בערך במערכת חיה שממשיכה להתפתח, או לפי דרישת רגולציה ותקנים (תקנות הגנת הפרטיות, ISO 27001, SOC 2, PCI DSS).
• אחרי אירוע אבטחה, כדי לוודא שהפרצה נסגרה ושאין עוד פרצות כמוה.

מתי עוד מוקדם מדי

• אב טיפוס שאין בו משתמשים אמיתיים או מידע אמיתי.
• כשלא עברתם על הבסיס: RLS על כל טבלה, מפתחות שלא יושבים בקוד של הדפדפן, Storage פרטי, בדיקה כאורח וסריקה אוטומטית. בדיקת חדירות שמוצאת בעיקר את הדברים האלה היא כסף שהלך על דברים שאפשר היה לבדוק לבד בחינם.
• כשהמערכת משתנה כל יום מהיסוד. דוח שנכתב היום יהיה לא רלוונטי בשבוע הבא.

מה לעשות לפני שמזמינים PT

1. לעבור על 10 הדברים שאסור לדלג עליהם ולתקן.
2. להריץ סריקה אוטומטית: הסורק של Lovable, Supabase Security Advisor, OWASP ZAP או Snyk.
3. להכין לבודק: רשימת עמודים ותפקידים, שני משתמשי בדיקה מכל תפקיד, וסביבת staging אם יש.
4. להגדיר טווח: מה בודקים (אתר, API, אפליקציה, תשתית), מה אסור לגעת בו, ומתי.

סוגים של בדיקות

• קופסה שחורה (Black box): הבודק מקבל רק כתובת, כמו תוקף מבחוץ.
• קופסה אפורה (Gray box): הבודק מקבל משתמשי בדיקה ותיעוד בסיסי. זה הסוג המומלץ לרוב העסקים, כי מקבלים הכי הרבה ממצאים על אותו תקציב.
• קופסה לבנה (White box): הבודק מקבל גם את הקוד. זה הסוג המעמיק ביותר, ומתאים למערכות רגישות.

כמה זה עולה ובכמה זמן

בישראל, בדיקה לאתר או לאפליקציה קטנה עד בינונית נעה בדרך כלל בין כמה אלפים לכמה עשרות אלפי שקלים. המחיר תלוי בהיקף: כמה עמודים ותפקידים יש, אם יש API, אפליקציה לנייד, וכמה ימי עבודה הבדיקה דורשת. בדיקה כזו נמשכת לרוב בין כמה ימים לשבועיים, ועוד זמן לתיקונים ולבדיקה חוזרת.

איך בוחרים בודק

• ניסיון מוכח בסוג המערכת שלכם (אפליקציות ווב, Supabase/Firebase, WordPress).
• מבקשים לראות דוח לדוגמה, עם הפרטים המזהים מושחרים. דוח טוב מסביר כל ממצא ואיך לתקן אותו, ולא מסתפק בהעתקת פלט של כלי.
• מוודאים שבדיקה חוזרת כלולה במחיר.
• הסכם סודיות, והרשאה כתובה לבדיקה. בלי הרשאה, בדיקה כזו היא עבירה.

שורה תחתונה

בדיקת חדירות היא לא הצעד הראשון. היא מגיעה אחרי הבסיס. קודם סוגרים לבד את מה שקל לסגור, ואז מביאים מקצוען שימצא את מה שרק בן אדם מוצא.