לא כל כלי סורק את אותו הדבר
סורק יישום יכול לבדוק התנהגות של דפים ונקודות קצה, כלי אחר בוחן גרסאות ותלויות, ואחר מתמקד בהגדרות. OWASP מתאר סורקי יישומי אינטרנט אוטומטיים ואת ההבדלים ביכולותיהם. לכן לפני הזמנה שאלו איזה סוג בדיקה מבוצע, על אילו נכסים ועם איזו גישה.
סריקה ציבורית של דף בית אינה שקולה לבדיקה עם חשבון מוגדר או לבדיקה של קוד. שמות כמו בדיקת אבטחה מלאה אינם מפרטים את התוצר. הגדרה טובה אומרת מה נכלל ומה נשאר מחוץ להיקף, כדי שבעל העסק יוכל להבין את משמעות התוצאה.
היקף והרשאה נקבעים לפני ההפעלה
כלי פעיל עשוי לשלוח בקשות בדיקה ואף להפעיל התנהגות לא רצויה במערכת. בתיעוד ZAP מצוין שסריקה פעילה תוקפת את היעדים ואינה מאתרת את כל החולשות. בוחרים סביבה, חשבונות, חלון ותנאי עצירה לפי הסיכון. בעלות על דומיין אינה בהכרח הרשאה לבדוק כל שירות חיצוני שמקושר אליו.
| נושא | מה מגדירים | למה זה משנה |
|---|---|---|
| נכסים ונתיבים | כתובות ושירותים בהיקף מורשה | מונע הנחה שכל הקישורים כלולים |
| זהות בדיקה | ללא כניסה או עם תפקיד מוגדר | קובע אילו מסלולים נגישים לכלי |
| סביבה ותזמון | ניסוי או ייצור עם מגבלות מוסכמות | מצמצם הפרעה ופעולות לא רצויות |
| מידע ותוצרים | מה נאסף, היכן נשמר ומי צופה | מגן על נתונים וראיות |
| אימות וחזרה | מי בודק ממצא ומאמת תיקון | מונע מסירה של רשימה ללא טיפול |
ממצא אפשרי, ממצא מאומת ופער כיסוי
סורק עשוי להסיק על גרסה ממידע חלקי או לזהות התנהגות שדורשת בדיקה נוספת. יש גם מסלולים שלא נסרקו בגלל הרשאות, טעינה דינמית או הגדרת היקף. חשוב להפריד שגיאת זיהוי מהיעדר כיסוי. שתי הבעיות דורשות תיעוד, אך אינן אותה מסקנה.
בדוח מציינים מקור, שיטת בדיקה, תנאים וראיה מתאימה בלי לפרסם פרטי ניצול רגישים. אימות מתבצע בהיקף מורשה. אין להכריז שכל התראה היא פריצה, ואין לסגור ממצא רק משום שלא הצליחו לשחזרו פעם אחת בתנאים אחרים. כשחסר מידע, שומרים אותו כפער לבירור.
דוגמה: הדוח השתפר כי הכלי כבר לא נכנס
התרחיש להמחשה בלבד. לאחר שינוי כניסה מופיעות פחות התראות באזור ניהול. לפני שמסיקים שהאבטחה השתפרה, בודקים אם הכלי עדיין מגיע למסכים שנכללו בבדיקה הקודמת. ירידה במספר הממצאים יכולה לשקף שינוי כיסוי ולא תיקון של כל החולשות.
השוואה הוגנת שומרת היקף וגישה ככל האפשר ומתעדת שינוי בתנאים. אם הגישה צומצמה כחלק מתיקון, מאמתים גם את מטרת ההגבלה וגם את הממצאים שנותרו רלוונטיים. לא פותחים מחדש את הניהול לציבור רק כדי להקל על כלי הסריקה.
מסריקה לתוכנית עבודה ולבדיקה חוזרת
ממצא שנמצא רלוונטי צריך לקבל נכס, אחראי, החלטת טיפול ובדיקת סיום. תעדוף משלב חשיפה והשפעה ולא רק ציון. אחרי שינוי בודקים גם שהרכיב תוקן וגם שהטופס, הכניסה או התהליך שבהיקף עדיין עובדים. רשימת חולשות ללא הקשר אינה תוכנית טיפול.
סריקה יכולה להיות רכיב בתוך סקירה רחבה יותר, אך אינה מחליפה בדיקה ידנית של לוגיקה עסקית או בדיקת חדירה בהיקף מוסכם. ביקורת מקצועית צריכה לומר אילו כלים ושיטות שימשו ומה לא נבדק, בלי להפוך ציון או היעדר התראות לתעודת חסינות.