תכנון מבדק חדירה: מה צריך לסגור לפני שקובעים מועד

מנהל הטכנולוגיה מתבקש להזמין בדיקת אבטחה לקראת שחרור גרסה. רשימת המערכות כבר קיימת, אבל עדיין לא הוחלט איזו שאלה הבדיקה צריכה לענות עליה. תכנון מבדק חדירה מתחיל בחיבור בין הצורך העסקי לתכולה: מה בודקים, אילו מגבלות חלות ומה יאפשר לצוות להחליט על הצעד הבא לאחר קבלת הממצאים.

התחילו בהחלטה שהבדיקה צריכה לשרת

לפני שמכינים רשימת כתובות, כתבו מה הביא להזמנת העבודה. האם מתקרב שחרור של שירות חדש, נדרש לבחון שינוי בהרשאות, או שיש דרישה מוגדרת של לקוח? לכל צורך עשויה להתאים תכולה אחרת. ציינו מי יקרא את התוצאה ואיזו החלטה הוא יצטרך לקבל. למשל, בבדיקה לקראת שינוי במערכת לקוחות, כדאי לברר אילו פעולות משתמש יוכל לבצע ואיזה מידע יהיה נגיש לו. זו דוגמה לשאלה לתכנון, ולא תיאור של ממצא במערכת מסוימת.

הפכו את השאלה לרשימת רכיבים שניתן לזהות: יישומים, ממשקים, סביבות וסוגי משתמשים. ליד כל רכיב רשמו בעל אחריות ואת ההחרגות הידועות. אם רכיב תלוי בשירות חיצוני, בררו האם הבדיקה שלו נכללת ומה נדרש כדי לאפשר אותה. כאשר חלק חשוב נשאר מחוץ לתכולה, ציינו גם איזו שאלה תישאר פתוחה. כך מקבל ההחלטה יוכל להבין את גבולות התוצאה.

סגרו הרשאות ומגבלות לפני תחילת העבודה

רשימת רכיבים אינה מספיקה כדי להתחיל בפעולות בדיקה. צריך להסדיר הרשאה מתאימה, את סביבת העבודה ואת הפעולות המותרות. תעדו חלון פעילות, מגבלות שנועדו להגן על רציפות השירות, אנשי קשר ודרך מוסכמת לעצירת העבודה. הבחינו בין אישור להזמין שירות לבין הרשאה לבצע פעולה במערכת: מי שמנהל את ההתקשרות לא בהכרח מוסמך לאשר בדיקה בכל רכיב שמופיע ברשימה.

לדוגמה, אם נדרשת בדיקה בסביבת ייצור שמשרתת לקוחות, יש להסכים מראש כיצד יתואם הטיפול בהתרעה או בהפרעה לפעילות. בררו מי זמין בזמן העבודה, למי פונים אם איש הקשר אינו עונה, ומי רשאי לאשר שינוי בתכולה. אל תשאירו החלטה כזו להודעה לא מתועדת בזמן הבדיקה. רכזו את הסיכומים במקום מוסכם ועדכנו את המשתתפים בכל שינוי. אם לא ניתן להסדיר הרשאה או מגבלה חיונית, יש להשלים את ההחלטה לפני ביצוע הפעולה הרלוונטית.

הגדירו כיצד הממצאים יהפכו למשימות

כבר בשיחת התכולה כדאי להסכים אילו פרטים יידרשו לצוות שיטפל בדוח. בקשו תיאור של הרכיב וההתנהגות שנבדקו, תנאים להבנת הממצא, המשמעות האפשרית והמלצה לצעד המשך. תיאום כזה מאפשר לבדוק אם הדוח המתוכנן מתאים גם לקורא הטכני וגם למנהל שצריך להקצות זמן עבודה. אין צורך ששני הקוראים יקבלו אותו פירוט, אבל חשוב שהסיכום והפרטים יתייחסו לאותה תוצאה.

תכננו גם את פגישת הממצאים: מי יצטרך להשתתף, אילו שאלות דורשות הכרעה ומי יעדכן את רשימת הפעולות. אם ממצא נוגע לרכיב שמתחזק ספק חיצוני, למשל, קבעו מי יעביר אליו את המידע ומי יעקוב אחר התשובה. חומרה טכנית מסייעת לתעדוף, ולצדה כדאי לשקול את החשיפה, התלות העסקית ומגבלות הטיפול. המלצה לתיקון אינה משימה שהושלמה. לכל פעולה שסוכמה יש לציין אחראי, צעד הבא ומועד לבחינת ההתקדמות, בלי להציג החלטה פנימית כתוצאה שכבר אומתה.

הפרידו בין תיקון לבין בדיקה חוזרת

בעל המערכת צריך לדעת מראש מי צפוי לבצע שינויים בעקבות הדוח. התיקון עשוי להתבצע בידי צוות פנימי או ספק מטעמו, בהתאם לאחריות שסוכמה. לצד זאת, הגדירו מה ייכלל בבדיקה חוזרת: אילו ממצאים ייבחנו, באיזו סביבה, איזה מידע נדרש לפני תחילתה וכיצד תתועד התוצאה. כך אפשר להבחין בין הודעה שהשינוי בוצע לבין בדיקה שהפעולה שנבחרה אכן נתנה מענה לממצא שנבחן.

נניח שהצוות שינה הרשאה בעקבות ממצא. לפני האימות צריך לברר איזו גרסה נבדקת, מה השתנה והאם תפקיד המשתמש הרלוונטי עדיין זמין לבדיקה. אם השתנתה התכולה או שהסביבה אינה נגישה, יש לתעד את המגבלה ואת ההמשך הנדרש. התוצאה צריכה להתייחס למה שנבדק בפועל, ואינה מעידה על מצבן של מערכות אחרות. סיימו את תכנון ההתקשרות ברשימת החלטות פתוחות ובעל אחריות לכל אחת. הרשימה תאפשר לחזור לשיחת התכולה כאשר משתנים המערכת, לוח הזמנים או הצורך העסקי.

הסיוע של Cybecs בנושא תכולת הבדיקה

Cybecs מספקת מבדקי חדירה לסטארטאפים ולחברות קטנות, בינוניות ואינטרפרייז. תחומי הבדיקה כוללים יישומי אינטרנט וממשקי תוכנה, מובייל, תשתיות פנימיות וחיצוניות, ענן וסביבות תפעוליות; התכולה נבחרת בהתאם לצורך ואינה כוללת אוטומטית את כל התחומים. התוצרים כוללים דוח טכני עם ממצאים והמלצות, תקציר מנהלים, פגישת הצגת ממצאים ובדיקה חוזרת לאחר התיקון, בהתאם לתכולה שסוכמה. את התיקונים מבצעים הלקוח או ספקיו; תפקידה של Cybecs הוא להציג ממצאים והמלצות ולבצע בדיקה חוזרת בהתאם לתכולה שסוכמה.

שאלות נפוצות

האם כדאי לדחות את ההזמנה עד שכל הפרטים ידועים?

אפשר להתחיל בשיחת בירור גם כאשר התכולה עדיין פתוחה. הציגו את המידע החסר ואת בעלי האחריות להשלמתו. הרשאות, גבולות עבודה ומגבלות חיוניות צריכים להיות מוסדרים לפני ביצוע הפעולות שאליהן הם מתייחסים.

מה עושים כאשר דרישת הלקוח מנוסחת באופן כללי?

בקשו את נוסח הדרישה ואת ההקשר שלה, ובררו מי מוסמך להסביר מה נדרש. אל תניחו ששירות בעל שם מסוים עונה עליה. תעדו את ההבנה המשותפת ואת השאלות שעדיין דורשות תשובה.

האם שינוי במערכת מחייב להזמין מחדש את כל הבדיקה?

לא ניתן לקבוע זאת בלי להבין את השינוי ואת התכולה המקורית. תארו מה השתנה, אילו רכיבים הושפעו ואילו תוצאות קודמות רלוונטיות. הגדירו עם הגורמים האחראים מה נדרש לבדוק ומה נשאר מחוץ להיקף.

השורה התחתונה

לפני שסוגרים מועד, כדאי לוודא שיש מסמך תכולה שאפשר לעבוד לפיו. הוא צריך לחבר בין הצורך העסקי לרכיבים הנבדקים, להרשאות ולתוצרים המצופים. החלטה שלא הושלמה צריכה להופיע בו במפורש, עם אחראי להשלמתה, כדי שהעבודה לא תתחיל על בסיס הנחות שונות.

לפרטים על מבדקי חדירה עבור העסק שלכם, פנו ל-Cybecs.