שאלו מה הכלי ראה ואיך הגיע למסקנה
תוצאה של בדיקת דומיין, כותרות או עמוד ציבורי משקפת מידע מסוים בזמן מסוים. היא אינה בהכרח כוללת את אזור הניהול או את הקבצים בשרת. OWASP מתאר כלי DAST שסורקים יישומי אינטרנט בדרך כלל מבחוץ ומדגיש שלכלים שונים יכולות ומגבלות שונות.
גם כלי חינמי יכול לספק מידע שימושי בהיקף שלו, וכלי בתשלום יכול להיות מוגבל. בדקו אם התוצאה מתייחסת לכתובת הנכונה, להפניה או לשכבת CDN. אם בדיקה לא הצליחה, צריך להבחין בין חסימת גישה או חוסר נתון לבין מסקנה שהאתר בטוח.
השוו כיסוי ולא רק צבע וציון
הטבלה היא מסגרת השוואה מקורית. אין בה קביעה שכל בדיקה חינמית פועלת באותה דרך או שכל ביקורת בתשלום כוללת את כל הסעיפים. מלאו לפי הכלי או ההצעה המסוימים, וציינו גם מה לא היה נגיש לבדיקה.
| תחום | מה צריך לברר בסריקה | מה לבקש בהצעת ביקורת |
|---|---|---|
| נכסים | איזה דומיין ונתיב נבדקו | רשימת מערכות וגבולות |
| גישת משתמש | האם הייתה התחברות ובאיזה תפקיד | זהויות ופעולות מורשות |
| ממצא | מה הראיה והוודאות | אימות, הקשר ומגבלות |
| גיבוי והרשאות | האם נגישים לכלי | בדיקות מפורשות אם נכללות |
| תיקון | המלצה כללית או פעולה | אחראי ותכולת שינוי |
| בדיקה חוזרת | האם בוצעה ובאותו היקף | קריטריון סגירה וראיה |
ממצא אוטומטי צריך הקשר לפני תיקון
בדקו גרסה, רכיב, תפקיד וחשיפה לפני שמסיקים שדיווח חל על המערכת. גם חוסר ממצא אינו מוכיח שכל סוגי הפגיעה נשללו. מסך נקי יכול להיות תוצאה של היקף צר, נתיב לא נגיש או בדיקה שאינה עוסקת בסיכון העסקי הרלוונטי.
אימות צריך סמכות והיקף מאושר. אין להפעיל ניסיונות ניצול או סריקה פעילה על אתר של אחר כדי לבדוק כלי. גם באתר שלכם מסכמים עומס, זמנים ומגבלות, במיוחד אם יש תשלום, מידע אישי או מערכת שמפעילה פעולה חיצונית. מדריך זה אינו הזמנה לבצע בדיקה חיה.
ביקורת מועילה מחברת ראיה לפעולה
בקשו נכס, תצפית, משמעות עסקית, המלצה ואחראי לכל ממצא. ודאו שהדוח מבדיל בין מה שנצפה לבין מה שדורש בירור נוסף. אם התיקון אינו חלק מהשירות, צריך להיות ברור מי יקבל את העבודה ואיך יודעים שנסגרה.
דוח לדוגמה יכול לעזור לבחון מבנה, אך אינו מוכיח שכבר נבדק האתר שלכם. גם סקירה מקצועית אינה מבדק חדירה מלא אם זה לא הוגדר. הצעה טובה מתארת מגבלות ונתונים חסרים ומאפשרת לתעדף, במקום להסתיר אותם מאחורי מספר מסכם.
דוגמה: הכותרות תקינות אבל הטופס לא מוסר פנייה
התרחיש להמחשה בלבד. בדיקה חיצונית מציגה כותרות תקינות בדף הבית, אך פנייה מטופס אינה מגיעה ליעד. התוצאה החיצונית יכולה להיות נכונה בהיקפה, והיא פשוט לא בחנה את התהליך העסקי. נדרש מבחן אחר עם נתוני ניסיון ויעד מאושר.
מצב הפוך אפשרי כאשר כלל הגנה מסתיר מידע מכלי סריקה. אין להסיק אוטומטית שנדרש להסיר את ההגנה או לאפשר גישה רחבה. מבררים את ההיקף ואת נתיב הבדיקה ומשאירים החלטות גישה אצל בעל המערכת והגורם המורשה.
בחרו את הצעד הבא לפי השאלה שנותרה
בדיקה ציבורית יכולה לעזור לזהות סימן או לפתוח בירור. כאשר השאלה נוגעת למשתמשים, קבצים, גיבוי או תקלה עסקית, צריך להגדיר בדיקה עם המידע והגישה המתאימים. לא צריך להזמין את הבדיקה הרחבה ביותר לכל מצב; צריך בדיקה שעונה על הצורך ועל אי הוודאות.
ב-CyberFixCrew כלי הדומיין הציבורי מציג תצפיות DNS ודואר בהיקף מוגדר. בדיקת אבטחה או בדיקת בריאות טכנית היא שירות נפרד בתכולה מוסכמת. בחרו מסלול לפי מה שחסר, בלי לפרש תוצאה ציבורית כהסמכה, הבטחת ניקיון או בדיקה של כל האתר.
