בודק כותרות, סורק או מבדק חדירה?
בקצרה: בודק כותרות חינמי אומר לכם אם כמה כותרות HTTP מוגדרות; סורק אתרים אוטומטי (כמו HackGrade) בודק בעיות רבות שנראות מבחוץ ב־HTTPS, בכותרות, ברשומות הדוא״ל וברכיבי מערכת ניהול התוכן, ויכול לחזור על זה לפי לוח זמנים; מבדק חדירה ידני משתמש בבודק אנושי כדי למצוא פגמים בלוגיקה ובבקרת הגישה שכלים מפספסים. רוב העסקים הקטנים צריכים להתחיל בסורק ולהוסיף מבדק חדירה כשהסיכון או תקן מחייבים זאת.
| בודק כותרות | סורק אבטחת אתרים | מבדק חדירה | |
|---|---|---|---|
| מה הוא בודק | כותרות תגובת HTTP של כתובת אחת | HTTPS/TLS, כותרות, עוגיות, רשומות דוא״ל ב־DNS, גרסאות של מערכת ניהול התוכן ושל תוספים, קבצים חשופים; בדיקות מעמיקות יותר ברשות | כל מה שבהיקף, כולל לוגיקה עסקית ואזורים שדורשים התחברות |
| מי מריץ אותו | אתם, בדפדפן | אוטומטי, לפי דרישה או לפי לוח זמנים | בודק אבטחה אנושי |
| זמן | שניות | שניות (פסיבי) עד דקות (מעמיק) | ימים עד שבועות |
| הנחיות תיקון | בדרך כלל קצרות | משתנה בין כלים; HackGrade נותנת תיקונים צעד אחר צעד | דוח כתוב |
| חזרתיות | ידנית | אפשר ניטור רציף | נקודת זמן אחת |
| עלות | בדרך כלל חינם | ממסלול חינמי ועד תוכניות חודשיות | מתומחר לפי התקשרות; משתנה מאוד |
מתי בודק כותרות מספיק
כששיניתם עכשיו הגדרות של שרת או CDN ואתם רוצים לוודא שכותרת מסוימת קיימת. הוא לא אומר לכם כלום על תעודות, על התחזות בדוא״ל או על תוכנה מיושנת.
מתי סורק הוא הכלי הנכון
לרוב אתרי העסקים הקטנים: הוא מכסה את הבעיות שתקיפות אוטומטיות מחפשות בפועל, מדרג אותן, ויכול לרוץ שוב כל שבוע כדי שתשימו לב כשתעודה מתקרבת לפקיעה או כשמתגלה פגיעות חדשה בתוסף. הסריקה החינמית של HackGrade פסיבית; הבדיקות המעמיקות שלה רצות רק לבעלים מאומתים שמאשרים את הסכם הרשאת הסריקה.
מתי צריך מבדק חדירה
- אתם מטפלים במידע רגיש או בהיקפי תשלומים גדולים, או שחוזה או תקן מחייבים זאת (למשל דרישה 11.4 של PCI DSS).
- אתם מריצים אפליקציית אינטרנט ייעודית עם חשבונות, תפקידים או כללים עסקיים מורכבים.
- אתם רוצים שאדם ינסה לשרשר בעיות קטנות לתקיפה אמיתית.
מה אף כלי מרוחק לא רואה
אף אחד מאלה לא מחליף עדכונים, גיבויים, אימות דו־שלבי וסיסמאות טובות. כלים מרוחקים לא רואים את הקבצים בשרת או את חשבון האחסון. ראו את רשימת האבטחה לעסקים קטנים.
שאלות נפוצות
האם HackGrade היא מבדק חדירה?
לא. HackGrade היא סורק אוטומטי. הסריקה המעמיקה שלה מריצה בדיקות אקטיביות על דומיינים מאומתים, אבל היא לא מחליפה בודק אנושי במבדקים של לוגיקה עסקית או במבדקים שנדרשים בחוזה.
האם סורק ומבדק חדירה יכולים למצוא את אותן בעיות?
יש חפיפה בבעיות נפוצות וגלויות. סורק מהיר יותר וניתן לחזור עליו; בודק מוצא פגמי לוגיקה ושרשורים.
במה להתחיל?
הריצו קודם סורק ותקנו את מה שהוא מוצא. מבדק חדירה שווה יותר כשהבעיות הקלות כבר טופלו.