Vulnerability Assessment מול Penetration Test: מה ההבדל

מטרות כל שירות

Vulnerability Assessment הוא תהליך שיטתי לזיהוי ולהערכת חולשות במערכת. הוא עשוי לכלול סריקות, סקירת תצורה, בדיקות ידניות ואימות ממצאים, בהתאם להיקף שנקבע. המטרה היא להבין אילו פערים קיימים ומה דורש טיפול.

Penetration Test בוחן כיצד ניתן לעקוף בקרות אבטחה ומה אפשר להשיג באמצעות חולשות, בתוך גבולות בדיקה מאושרים. לעיתים נבחן שילוב של כמה חולשות כדי להבין השפעה שלא ניכרת מכל ממצא בנפרד. קיימת חפיפה בין הגישות, ולכן חשוב להגדיר את התוצרים ולא להסתפק בשם השירות.

Automation מול Human validation

סריקת חולשות היא כלי אפשרי בתוך הערכת חולשות; היא אינה זהה להערכת חולשות מלאה. גם בבדיקת חדירות משתמשים בכלים אוטומטיים לצד בדיקות ידניות.

כלים מסייעים באיסוף מידע ובבדיקות חוזרות, אך יש לפרש את התוצאות בהקשר של המערכת. הרשאות, בידוד בין לקוחות ותהליכים עסקיים מחייבים הבנה של ההתנהגות המותרת והאסורה. תוצאה מכלי אינה מחליפה הערכה מקצועית של משמעות הממצא.

False positives ו-Exploitation

התראה מכלי היא נקודת מוצא לבדיקה, לא הוכחה מספקת לניצול. צריך לברר אם החולשה קיימת בתצורה שנבדקה, אילו תנאים נדרשים לניצולה ומה הראיות תומכות בו.

בבדיקת חדירות אפשר לבצע אימות מבוקר של ההשפעה, בכפוף להרשאה ולכללי הבדיקה. כאשר האימות מוגבל מטעמי בטיחות או היקף, מתעדים זאת ומפרידים בין מה שהוכח לבין השפעה אפשרית שלא אומתה.

דוחות ותוצרים

דוח הערכת חולשות מרכז את הפערים שזוהו, הנכסים המושפעים, תעדוף הטיפול והמלצות התיקון, בהתאם לעומק ההערכה שסוכם.

דוח בדיקת חדירות מתעד גם את תרחישי הבדיקה, התנאים והראיות להשפעה שאומתה. בשני המקרים חשוב לציין מגבלות ולספק המלצות ישימות. בדיקה חוזרת לאחר תיקונים צריכה להיות מוגדרת בהתקשרות, ולא מונחת ככלולה אוטומטית.

מתי לבחור בכל אחד

כאשר המטרה היא למפות פערי אבטחה ולתכנן טיפול שוטף במערכות רבות, הערכת חולשות יכולה להיות נקודת פתיחה מתאימה. כאשר השאלה היא מה ניתן להשיג דרך אפליקציה או תהליך עסקי מסוים, נדרשת בדיקה שמעמיקה בתרחישים ובהשפעתם.

לדוגמה, מיפוי גרסאות ותצורות פגיעות עונה על צורך שונה מבדיקת האפשרות של משתמש אחד להגיע לנתונים של לקוח אחר. אפשר לשלב בין הגישות. בבחירת ספק, בקשו פירוט של ההיקף, עומק האימות, התוצרים והמגבלות במקום להסתמך רק על הכותרת "סריקה" או "Pentest".

מתלבטים איזה סוג בדיקה מתאים לאפליקציה העסקית שלכם? הכירו את שירות בדיקות החדירות האפליקטיביות של HPI Cyber

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: breadth, automated discovery, validation, exploitability, business impact, retest. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• breadth: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• automated discovery: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• validation: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• exploitability: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• business impact: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• retest: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא Vulnerability Assessment מול Penetration Test.
2. רשמו את מקורות הנתונים והראיות הדרושים: breadth, automated discovery, validation, exploitability.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא טבלת בחירה לפי סוג ארגון ומטרה. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: Scope ו-ROE.
• ✓בדקו ותעדו: שעת בדיקה ומקור.
• ✓בדקו ותעדו: Request/Response או פלט כלי.
• ✓בדקו ותעדו: השפעה מוכחת במעבדה.
• ✓בדקו ותעדו: Risk rating.
• ✓בדקו ותעדו: Remediation ו-Retest.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• להתחיל בדיקה בלי Scope חתום.
• להשתמש ב-Exploit אגרסיבי כברירת מחדל.
• לא לשמור Evidence.
• לדווח רק על CVSS בלי הקשר.
• לא להציע תיקון ישים.
• לא לבצע Retest.

סיכום ו-CTA

Vulnerability Assessment מול Penetration Test: מה ההבדל הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• NIST SP 800-115 — Technical Guide to Security Testing
• OWASP Web Security Testing Guide
• MITRE ATT&CK — Reconnaissance
• CIS Controls
• OWASP ASVS
• NIST — Vulnerability Assessment
• NIST — Penetration Testing