[{"data":1,"prerenderedAt":134},["ShallowReactive",2],{"publication:he:P150":3},{"meta":4,"copy":15,"relatedArticles":120,"terms":121,"term":122,"resourceParent":128,"glossaryParent":131},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P150","\u002Fglossary\u002Fvulnerability-scanning","term","מהי סריקת חולשות","מהי סריקת חולשות ומה אפשר להסיק מהתוצאה","סריקת חולשות היא בדיקה שיטתית לאיתור ממצאים לפי כלי והיקף מוגדרים. הסבר על בדיקה חיצונית, גישה מאומתת, אישור, אימות וסגירת ממצא.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fhealth-check","2026-10-29",{"intro":16,"sections":17,"checklist":80,"faq":85,"sources":95,"links":98,"cta":115},"סריקת חולשות היא בדיקה שיטתית, לרוב בעזרת כלי אוטומטי, שמחפשת סימנים לחולשות ברכיבים, בהגדרות או בהתנהגות מערכת. התוצאה תלויה בסוג הכלי, בגישה ובהיקף שנבדק. ממצא דורש פירוש ואימות, והיעדר ממצאים אינו אישור שאין חולשות. סריקה פעילה יכולה להשפיע על מערכת ולכן מחייבת הרשאה ותכנון מתאים.",[18,27,62,67,72],{"title":19,"paragraphs":20,"sources":23},"לא כל כלי סורק את אותו הדבר",[21,22],"סורק יישום יכול לבדוק התנהגות של דפים ונקודות קצה, כלי אחר בוחן גרסאות ותלויות, ואחר מתמקד בהגדרות. OWASP מתאר סורקי יישומי אינטרנט אוטומטיים ואת ההבדלים ביכולותיהם. לכן לפני הזמנה שאלו איזה סוג בדיקה מבוצע, על אילו נכסים ועם איזו גישה.","סריקה ציבורית של דף בית אינה שקולה לבדיקה עם חשבון מוגדר או לבדיקה של קוד. שמות כמו בדיקת אבטחה מלאה אינם מפרטים את התוצר. הגדרה טובה אומרת מה נכלל ומה נשאר מחוץ להיקף, כדי שבעל העסק יוכל להבין את משמעות התוצאה.",[24],{"label":25,"url":26},"OWASP: סורקי יישומים וגבולות סוג הבדיקה","https:\u002F\u002Fcommunity.owasp.org\u002FVulnerability_Scanning_Tools",{"title":28,"paragraphs":29,"table":31,"sources":58},"היקף והרשאה נקבעים לפני ההפעלה",[30],"כלי פעיל עשוי לשלוח בקשות בדיקה ואף להפעיל התנהגות לא רצויה במערכת. בתיעוד ZAP מצוין שסריקה פעילה תוקפת את היעדים ואינה מאתרת את כל החולשות. בוחרים סביבה, חשבונות, חלון ותנאי עצירה לפי הסיכון. בעלות על דומיין אינה בהכרח הרשאה לבדוק כל שירות חיצוני שמקושר אליו.",{"caption":32,"headers":33,"rows":37},"מה לכלול בהזמנת סריקה",[34,35,36],"נושא","מה מגדירים","למה זה משנה",[38,42,46,50,54],[39,40,41],"נכסים ונתיבים","כתובות ושירותים בהיקף מורשה","מונע הנחה שכל הקישורים כלולים",[43,44,45],"זהות בדיקה","ללא כניסה או עם תפקיד מוגדר","קובע אילו מסלולים נגישים לכלי",[47,48,49],"סביבה ותזמון","ניסוי או ייצור עם מגבלות מוסכמות","מצמצם הפרעה ופעולות לא רצויות",[51,52,53],"מידע ותוצרים","מה נאסף, היכן נשמר ומי צופה","מגן על נתונים וראיות",[55,56,57],"אימות וחזרה","מי בודק ממצא ומאמת תיקון","מונע מסירה של רשימה ללא טיפול",[59],{"label":60,"url":61},"ZAP: סריקה פעילה דורשת הרשאה ואינה בדיקה מלאה","https:\u002F\u002Fwww.zaproxy.org\u002Fdocs\u002Fdesktop\u002Fstart\u002Ffeatures\u002Fascan\u002F",{"title":63,"paragraphs":64},"ממצא אפשרי, ממצא מאומת ופער כיסוי",[65,66],"סורק עשוי להסיק על גרסה ממידע חלקי או לזהות התנהגות שדורשת בדיקה נוספת. יש גם מסלולים שלא נסרקו בגלל הרשאות, טעינה דינמית או הגדרת היקף. חשוב להפריד שגיאת זיהוי מהיעדר כיסוי. שתי הבעיות דורשות תיעוד, אך אינן אותה מסקנה.","בדוח מציינים מקור, שיטת בדיקה, תנאים וראיה מתאימה בלי לפרסם פרטי ניצול רגישים. אימות מתבצע בהיקף מורשה. אין להכריז שכל התראה היא פריצה, ואין לסגור ממצא רק משום שלא הצליחו לשחזרו פעם אחת בתנאים אחרים. כשחסר מידע, שומרים אותו כפער לבירור.",{"title":68,"paragraphs":69},"דוגמה: הדוח השתפר כי הכלי כבר לא נכנס",[70,71],"התרחיש להמחשה בלבד. לאחר שינוי כניסה מופיעות פחות התראות באזור ניהול. לפני שמסיקים שהאבטחה השתפרה, בודקים אם הכלי עדיין מגיע למסכים שנכללו בבדיקה הקודמת. ירידה במספר הממצאים יכולה לשקף שינוי כיסוי ולא תיקון של כל החולשות.","השוואה הוגנת שומרת היקף וגישה ככל האפשר ומתעדת שינוי בתנאים. אם הגישה צומצמה כחלק מתיקון, מאמתים גם את מטרת ההגבלה וגם את הממצאים שנותרו רלוונטיים. לא פותחים מחדש את הניהול לציבור רק כדי להקל על כלי הסריקה.",{"title":73,"paragraphs":74,"example":77},"מסריקה לתוכנית עבודה ולבדיקה חוזרת",[75,76],"ממצא שנמצא רלוונטי צריך לקבל נכס, אחראי, החלטת טיפול ובדיקת סיום. תעדוף משלב חשיפה והשפעה ולא רק ציון. אחרי שינוי בודקים גם שהרכיב תוקן וגם שהטופס, הכניסה או התהליך שבהיקף עדיין עובדים. רשימת חולשות ללא הקשר אינה תוכנית טיפול.","סריקה יכולה להיות רכיב בתוך סקירה רחבה יותר, אך אינה מחליפה בדיקה ידנית של לוגיקה עסקית או בדיקת חדירה בהיקף מוסכם. ביקורת מקצועית צריכה לומר אילו כלים ושיטות שימשו ומה לא נבדק, בלי להפוך ציון או היעדר התראות לתעודת חסינות.",{"title":78,"text":79},"כרטיס מסירה לסריקה","נכס וסמכות: __. כלי וסוג בדיקה: __. זמן וגישה: __. היקף וחריגות: __. ממצא וראיה: __. סטטוס אימות: __. פעולה ואחראי: __. בדיקה חוזרת ותפקוד: __.",[81,82,83,84],"הוגדרו נכסים, סמכות וסוג בדיקה.","תנאי גישה וסיכון להפעלה תועדו.","ממצאים הופרדו מפערי כיסוי.","התיקונים כוללים אימות ובדיקת תפקוד.",[86,89,92],{"question":87,"answer":88},"סריקת חולשות היא בדיקת חדירה?","לא בהכרח: סריקה היא בדרך כלל רכיב אוטומטי בהיקף מסוים. בדיקת חדירה כוללת מתודולוגיה והיקף מוסכמים ויכולה לכלול בדיקה ידנית.",{"question":90,"answer":91},"מותר לסרוק כל אתר שאפשר לגלוש אליו?","נגישות ציבורית אינה הרשאה לבדיקה פעילה. קובעים סמכות והיקף עם הגורם המורשה וכוללים גם מגבלות ספקים חיצוניים.",{"question":93,"answer":94},"דוח בלי ממצאים מוכיח שהאתר בטוח?","לא, צריך לדעת מה נבדק, מה הכלי הצליח לראות ומה לא כוסה. זו תוצאה של בדיקה מסוימת, לא הוכחה כללית.",[96,97],{"label":25,"url":26},{"label":60,"url":61},[99,102,105,108,111,113],{"path":100,"label":101},"\u002Fblog\u002Fvulnerability-prioritization","איך מתעדפים ממצאי חולשה",{"path":103,"label":104},"\u002Fblog\u002Fsecurity-audit-vs-pentest","סקירת אבטחה לעומת בדיקת חדירה",{"path":106,"label":107},"\u002Fblog\u002Fhttp-security-score-limits","מגבלות ציון סריקה",{"path":109,"label":110},"\u002Fglossary\u002Fcve","זיהוי חולשות באמצעות CVE",{"path":13,"label":112},"בדיקה טכנית לפי היקף מוגדר",{"path":12,"label":114},"סקירת אבטחה ותוכנית תיקון",{"title":116,"description":117,"button":118,"type":119},"רוצים להבין איזה סוג בדיקה מתאים לאתר?","נגדיר נכסים, גישה ותוצר, ונבהיר מראש מה נבדק ואיך מאמתים את התיקונים.","לתיאום בדיקה וטיפול","check",[],[],{"name":123,"aliases":124},"סריקת חולשות",[125,123,126,127],"vulnerability scanning","סורק חולשות","dast",{"path":129,"label":130},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":132,"label":133},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061488]