סייבר ואבטחת מידע · penetration-testing

כתיבת דוח Penetration Test שמוביל לתיקון

מאת תאיר מלכא 6 דק׳ קריאהפורסם: 5 באוגוסט 2026עודכן: 28 בספטמבר 2026

המחשה חזותית מקצועית בנושא כתיבת דוח Penetration Test בתחום Penetration Testing

תשובה מהירה

דוח בדיקת חדירות מציג את היקף הבדיקה, הממצאים והמלצות התיקון. תקציר מנהלים מסביר את המשמעות העסקית; הפירוט הטכני מספק לצוות הפיתוח מידע להבנת הממצאים, לשחזורם ולתיקונם.

בדיקת חדירות מקצועית היא תהליך מורשה ומוגדר, לא אוסף פקודות. Scope, Rules of Engagement, ראיות, הערכת סיכון, תיקון ו-Retest הם חלק בלתי נפרד מהעבודה. המאמר הנוכחי מתמקד בכתיבת דוח Penetration Test ומיועד ל-Junior Pentesters ומנהלי אבטחה. המטרה היא לתת שיטת עבודה שאפשר ליישם בתרגול, בראיון מקצועי ובסביבת עבודה, בלי להסתפק בהגדרה מילונית.

האתגר המרכזי הוא שהנתונים כמעט תמיד חלקיים. executive summary, scope, methodology יכולים להצביע על כיוון, אך המשמעות שלהם תלויה בזמן, בנכס, במשתמש ובפעילות הצפויה. לכן נבנה את הבדיקה סביב שאלת חקירה, ראיות נדרשות וקריטריון ברור לסיום.

התרחיש המעשי במאמר הוא: שכתוב Finding חלש לממצא מקצועי. כל הדוגמאות הן נתוני מעבדה או תיאור תהליכי. כאשר מדובר ב-Penetration Testing, Web או Cloud, יש לעבוד רק עם אישור מפורש, Scope מוגדר ויכולת לעצור את הבדיקה.

מבנה הדוח

דוח שימושי מאפשר להנהלה להבין את הסיכון ולצוות הטכני לטפל בו. מבנה מומלץ כולל:

תקציר מנהלים: מטרת הבדיקה, הממצאים המרכזיים ומשמעותם העסקית.
היקף ומגבלות: הנכסים, הסביבות, החשבונות ומועדי הבדיקה, לצד רכיבים שלא נבדקו ומגבלות גישה.
מתודולוגיה: הגישה שננקטה וסוגי הבדיקות שבוצעו בפועל.
טבלת ממצאים: מזהה, כותרת, נכס מושפע ודירוג חומרה.
פירוט טכני: תנאים מקדימים, ראיות, שלבי שחזור, השפעה והמלצות תיקון לכל ממצא.
בדיקה חוזרת ונספחים: אם בוצע Retest, מציינים את התאריך, ההיקף והסטטוס המעודכן של הממצאים.

יש להסביר את שיטת דירוג החומרה ולהשחיר סיסמאות, טוקנים ונתונים אישיים בראיות. הדוח משקף את ההיקף ואת נקודת הזמן שנבדקו; הוא אינו הבטחה להיעדר חולשות.

רוצים לראות איך דוח כזה נראה בפועל? צפו בדוח בדיקת חדירות לדוגמה (דוח הדגמה)

Executive summary

הנושא 'Executive summary' הוא חלק מרכזי בעבודה על כתיבת דוח Penetration Test. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את executive summary, scope, methodology, finding, evidence, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Technical finding

הנושא 'Technical finding' הוא חלק מרכזי בעבודה על כתיבת דוח Penetration Test. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

Risk rating ו-Evidence

הנושא 'Risk rating ו-Evidence' הוא חלק מרכזי בעבודה על כתיבת דוח Penetration Test. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

Remediation, Retest ו-Appendices

בדיקה מקצועית לכתיבת דוח Penetration Test מתחילה בתנאי הצלחה ותנאי כישלון. מגדירים Case חיובי, Case שלילי, Case גבול ופעילות לגיטימית דומה. כך ניתן לזהות גם False Negative וגם False Positive.

בסביבה מורשית משתמשים בפעולה מינימלית שמוכיחה את הטענה בלי לגרום נזק. שומרים Input, Output, זמן וגרסה, ולאחר תיקון מבצעים Retest באותו תרחיש ובודקים גם Regression על פונקציות סמוכות.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: executive summary, scope, methodology, finding, evidence, risk, remediation, retest. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

executive summary: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
scope: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
methodology: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
finding: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
evidence: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
risk: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

תהליך עבודה מומלץ

הגדירו Scope ושאלת עבודה אחת בנושא כתיבת דוח Penetration Test.
רשמו את מקורות הנתונים והראיות הדרושים: executive summary, scope, methodology, finding.
צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא שכתוב Finding חלש לממצא מקצועי. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

שלב	מה מבצעים	תוצר
הכנה	הגדירו Scope, זמן ויעד. רשמו אילו שדות או ראיות מתוך executive summary, scope, methodology צפויים להופיע.	תוכנית בדיקה קצרה
יצירת נתון	בצעו פעולה בטוחה ומדומה הקשורה לכתיבת דוח Penetration Test, ללא מידע אמיתי או השפעה על מערכת ייצור.	אירוע/Request/Flow מבוקר
איסוף	אספו את הראיה הגולמית ואת ההקשר ממקור נוסף. ודאו Time zone, מזהים ושלמות.	שתי ראיות מקושרות
ניתוח	כתבו מה כל ראיה מוכיחה, מה אינה מוכיחה ומהו ההסבר הלגיטימי האפשרי.	מסקנת ביניים
סיום	סכמו את הממצא, הראיות ומגבלות האימות; הוסיפו המלצת תיקון וקריטריונים לבדיקה חוזרת.	תוצר מתועד

Checklist מעשי

בדקו ותעדו: Scope ו-ROE.
בדקו ותעדו: שעת בדיקה ומקור.
בדקו ותעדו: Request/Response או פלט כלי.
בדקו ותעדו: השפעה מוכחת במעבדה.
בדקו ותעדו: Risk rating.
בדקו ותעדו: Remediation ו-Retest.
ציינו Time zone, גרסת כלי ושעת איסוף.
שמרו את הנתון הגולמי לפני סינון או שינוי.
כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

להתחיל בדיקה בלי Scope חתום.
להשתמש ב-Exploit אגרסיבי כברירת מחדל.
לא לשמור Evidence.
לדווח רק על CVSS בלי הקשר.
לא להציע תיקון ישים.
לא לבצע Retest.

סיכום ו-CTA

כתיבת דוח Penetration Test שמוביל לתיקון הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מה ההבדל בין Executive Summary לממצא טכני בדוח Pentest?

Executive Summary מיועד בעיקר למקבלי החלטות ומציג את המשמעות העסקית, היקף הבדיקה והתמונה הכללית. הממצא הטכני מיועד לצוותים שמתקנים את הבעיה וכולל ראיות, תנאים, השפעה והמלצות תיקון.

מה עושים כאשר חלק מהנתונים חסרים?

מתעדים את החסר, בודקים מקור חלופי ומצמצמים את רמת הביטחון. אין להשלים שדות בהשערה או להציג Unknown כתקין.

כמה זמן צריך לשמור את הראיות?

הזמן תלוי במדיניות, רגולציה, עלות וסוג האירוע. חשוב להגדיר מראש Retention, Legal hold ויכולת לייצא ראיה בפורמט שניתן לאמת.

איך מתרגלים בלי לסכן מערכת אמיתית?

משתמשים במכונות וירטואליות, נתונים מדומים, CTF או מעבדה ייעודית. בבדיקות מורשות מגדירים Scope, Stop conditions וגיבוי לפני תחילת העבודה.

מקורות

רוצים לבדוק אם המסלול מתאים לכם?

השאירו פרטים ונציג של HPI יחזור אליכם לשיחת התאמה קצרה וללא התחייבות.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI

רוצים לשמוע פרטים על התוכנית? השאירו פרטים ונחזור אליכם.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI יצירת קשר

על הכותב

תאיר מלכא

מייסד ומנכ״ל HPI ומרצה לסייבר

תאיר מלכא הוא מייסד ומנכ״ל HPI – המכללה למקצועות ההייטק, ומרצה לסייבר במסלולי ההכשרה של המכללה. במסגרת תפקידיו הוא אחראי על בניית תוכניות הלימוד המקצועיות של HPI בתחומי סייבר, IT ורשתות, ומוביל את הליווי המקצועי של הסטודנטים לאורך המסלול.

לפרופיל הכותב ↗

הקודם באשכול

Linux Privilege Escalation במעבדה מורשית: מתודולוגיית בדיקה

הבא באשכול

מתודולוגיית Web Application Penetration Testing לפי OWASP WSTG