דוח מבדק חדירות ממוצע מכיל עשרות עמודים, טבלאות ציונים וממצאים בחמש רמות חומרה – ורוב הארגונים שמקבלים אותו ניגשים ישר לרשימה, מתקנים לפי הסדר מלמעלה למטה, ומפספסים את העיקר. ציון CVSS גבוה אינו תמיד הסיכון הגדול ביותר לארגון שלכם, וממצא "בינוני" אחד יכול להיות מסוכן יותר מ"קריטי" שאינו נגיש לתוקף. היכולת לקרוא דוח נכון – להבין מה הציון אומר, מה הוא לא אומר, ואיך מתעדפים – היא ההבדל בין מבדק ששינה את מצב האבטחה לבין מסמך שנשאר במגירה.
עיקרי הדברים
- ✓ CVSS מודד חומרה טכנית, לא סיכון עסקי – הציון (0 עד 10) מתאר את מאפייני החולשה עצמה, בלי הקשר לנכס שבו היא נמצאה
- ✓ חמש רמות חומרה – קריטי (9.0-10.0), גבוה (7.0-8.9), בינוני (4.0-6.9), נמוך (0.1-3.9) ואינפורמטיבי
- ✓ תעדוף נכון משלב שלושה נתונים – חומרת החולשה, הסבירות לניצול בפועל (EPSS, KEV) וקריטיות הנכס לעסק
- ✓ הדוח לא נגמר בתיקון – דיון בממצאים, תוכנית עבודה ומבדק חוזר (Retest) הם חלק מהתהליך, וגם ראיה לרגולטור ולמבטח
מה יש בתוך דוח מבדק חדירות – ואיך בנוי ממצא
לפני שצוללים לציונים, כדאי להכיר את מבנה הדוח. דוח מקצועי של מבדק חדירות לארגון נפתח בתקציר מנהלים – הערכת מצב כללית בשפה עסקית, מיועדת להנהלה ולדירקטוריון – וממשיך לפירוט הטכני: מתודולוגיה והיקף (מה נבדק ומה לא), תיאור שרשראות התקיפה שהצליחו, ורשימת הממצאים המלאה. מי שרוצה להעמיק במה קורה בשלב הבדיקה עצמו ימצא הסבר מלא במדריך שלנו על מה זה מבדק חדירות ואיך הוא מתבצע בפועל.
כל ממצא (Finding) בדוח בנוי מאותם רכיבים: שם החולשה ותיאורה, המערכת או הרכיב שבו נמצאה, ציון וסיווג חומרה, הוכחת היתכנות (Proof of Concept) שמדגימה שהחולשה נוצלה בפועל במהלך המבדק, ניתוח ההשלכות – מה תוקף יכול להשיג דרכה – והמלצות תיקון קונקרטיות. הרכיב החשוב ביותר, שמבדיל דוח מבדק אנושי מפלט של סורק, הוא ההקשר: איך הממצא הזה משתלב בשרשרת תקיפה רחבה יותר. זה בדיוק הפער שמפרט המאמר שלנו על מבדק חדירות מול Automated Pentesting.
נקודה שחשוב לוודא כבר בקבלת הדוח: שהוא כולל גם את מה שנוסה ולא הצליח. רשימת התרחישים שנבדקו ונכשלו היא מידע אבטחתי בעל ערך – היא מלמדת אילו בקרות עובדות, והיא חלק מהתמונה שתציגו בביקורת או מול לקוחות.
מה זה CVSS ואיך קוראים את הציון
CVSS (Common Vulnerability Scoring System) הוא תקן בינלאומי לניקוד חומרת חולשות, המתוחזק על ידי ארגון FIRST[1]. הציון נע בין 0 ל-10 ומחושב ממדדים כמו וקטור התקיפה (האם ניתן לנצל את החולשה מרחוק דרך הרשת או רק בגישה פיזית), מורכבות התקיפה, ההרשאות הנדרשות, הצורך במעורבות משתמש, וההשפעה על סודיות, שלמות וזמינות המידע. הגרסה העדכנית של התקן היא CVSS 4.0, שפורסמה בסוף 2023, אך גרסה 3.1 עדיין נפוצה מאוד בדוחות ובמאגרי החולשות.
הטבלה הבאה מציגה את התרגום המקובל של הציון המספרי לרמת חומרה, כפי שהוא מיושם גם במאגר החולשות הלאומי האמריקאי NVD[2]:
| טווח ציון CVSS | רמת חומרה | משמעות מעשית | יעד טיפול מקובל |
|---|---|---|---|
| 9.0-10.0 | קריטי (Critical) | ניצול מרחוק ללא הרשאות, השתלטות מלאה או דלף מידע נרחב | מיידי – ימים בודדים, לעיתים תיקון חירום |
| 7.0-8.9 | גבוה (High) | פגיעה משמעותית במידע או במערכת, לרוב בתנאים מסוימים | עד 30 יום |
| 4.0-6.9 | בינוני (Medium) | פגיעה מוגבלת, או ניצול שדורש תנאים מקדימים | עד 90 יום |
| 0.1-3.9 | נמוך (Low) | חשיפת מידע שולית או השפעה זניחה | במחזור תחזוקה שוטף |
| ללא ציון | אינפורמטיבי (Informational) | הערה על תצורה, חוסן או שיטות עבודה – לא חולשה מנוצלת | לשיקול דעת, מומלץ לתעד החלטה |
יעדי הטיפול בטבלה הם קונבנציה מקובלת בתעשייה ונקודת מוצא טובה – אך הם אינם קבועים בתקנות, וארגונים רבים מגדירים SLA משלהם בנוהל ניהול החולשות, בהתאם לרגישות המערכות ולדרישות רגולטוריות או חוזיות.
📌 חשוב לדעת: CVSS מודד חומרה, לא סיכון
הציון מתאר את מאפייני החולשה עצמה – כמה קל לנצל אותה ומה היא מאפשרת. הוא לא יודע כלום על הארגון שלכם: האם המערכת חשופה לאינטרנט, איזה מידע היא מחזיקה, ואילו בקרות מפצות קיימות סביבה. לכן ארגון FIRST עצמו מדגיש שאין להשתמש בציון CVSS לבדו כמדד סיכון. הסיכון האמיתי הוא שילוב של החומרה, הסבירות לניצול וההשלכה העסקית.
מעבר לציון: למה Medium אחד מסוכן יותר מ-Critical אחר
כאן נכשלת קריאה נאיבית של הדוח. דמיינו שני ממצאים: חולשה קריטית (9.8) בשרת פנימי מבודד, שמאחורי שלוש שכבות הגנה ואינו מחזיק מידע רגיש – מול חולשת Medium (5.3) בממשק API חשוף לאינטרנט, שדרכה ניתן למנות שמות משתמשים במערכת שמחזיקה מידע אישי של לקוחות. לפי הציון, מתקנים קודם את הראשונה; לפי הסיכון בפועל, השנייה דחופה יותר – היא נגישה לכל תוקף בעולם, ובשילוב עם ממצא נוסף היא עשויה להיות החוליה הראשונה בשרשרת השתלטות. ממשקי API הם דוגמה מובהקת לכך, כפי שמרחיב המאמר שלנו על מבדקי חדירות ל-API.
דוח מבדק טוב כבר עושה בשבילכם חלק מהעבודה הזו: הסיווג הסופי של כל ממצא משקלל את ההקשר שנצפה במבדק, ולא רק את ציון ה-CVSS הגולמי. לכן ייתכן שתראו בדוח ממצא עם ציון CVSS בסיסי של 7.5 שמסווג "בינוני" כי נדרשת גישה פנימית וקיימת בקרה מפצה, או להפך – ממצא עם ציון 5.3 שהועלה ל"גבוה" כי הוא נמצא על נכס קריטי וחשוף. כשבודק מנוסה מסביר בדוח למה שינה סיווג, זו בדיוק התוספת שסורק אוטומטי לא ייתן.
שני מדדים משלימים עוזרים להעריך את הסבירות לניצול בפועל. הראשון הוא EPSS[3] – מודל של FIRST שמעריך את ההסתברות שחולשה מסוימת תנוצל בעולם האמיתי ב-30 הימים הקרובים, על בסיס נתוני ניצול חיים. השני הוא קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA[4] – רשימת חולשות שידוע בוודאות שנוצלו בפועל בתקיפות. חולשה שמופיעה ב-KEV או עם EPSS גבוה מזנקת בתעדוף, גם אם ציון ה-CVSS שלה בינוני.
סיווג ממצאים בדוח: מה באמת אומרת כל רמה
ממצא קריטי אומר בדרך כלל אחד משניים: הבודק השיג שליטה על מערכת או גישה למידע רגיש בהיקף רחב, או שקיים מסלול ישיר וזמין לתוקף חיצוני להשיג זאת. ממצא כזה מחייב טיפול מיידי – ולעיתים גם בדיקה רטרואקטיבית האם מישהו ניצל את החולשה לפניכם, בלוגים ובמערכות הניטור.
ממצא גבוה מצביע על פגיעה משמעותית שאפשרית בתנאים מסוימים – למשל חולשה שדורשת חשבון משתמש רגיל כנקודת פתיחה, או כזו שנחסמת חלקית על ידי בקרה קיימת. ממצאים גבוהים הם לרוב אבני הבניין של שרשראות תקיפה: כל אחד לבדו לא מפיל את הארגון, אבל שניים-שלושה יחד כן. תמונה דומה עולה שוב ושוב בממצאים על חולשות ברשת הארגונית – הצטברות של הגדרות חלשות שכל אחת נראית זניחה.
ממצא בינוני ונמוך הם המקום שבו נשברת רוב האנרגיה הארגונית. אי אפשר ואין צורך לתקן הכול מיד – אבל אסור גם להתעלם. הגישה הנכונה: לתקן במרוכז במסגרת מחזורי תחזוקה, לחפש דפוסים (עשרה ממצאים נמוכים מאותו סוג מעידים על בעיה תהליכית אחת, לא על עשר בעיות), ולתעד החלטות מודעות שלא לתקן. קבלת סיכון היא החלטה לגיטימית – אבל רק כשהיא כתובה, מנומקת ומאושרת על ידי בעל הסמכות, לא כשהיא שתיקה.
ממצא אינפורמטיבי אינו חולשה מנוצלת, אלא הערה מקצועית: גרסה מתיישנת, הגדרה שאינה מיטבית, חוסר בשכבת הגנה. ארגונים בוגרים קוראים דווקא את החלק הזה בעיון – הוא מפת הדרכים לחולשות של המבדק הבא.
מה מתקנים קודם – מסגרת תעדוף מעשית
אחרי שהבנתם מה כל ממצא אומר, סדר העבודה נקבע לפי שלוש שאלות, לפי הסדר:
1. האם החולשה מנוצלת בפועל בעולם? בדקו כל ממצא עם CVE מול קטלוג ה-KEV ומול ציון ה-EPSS שלו. כל מה שמופיע ב-KEV או עם הסתברות ניצול גבוהה עולה לראש הרשימה, כמעט ללא תלות בציון ה-CVSS.
2. האם הנכס חשוף וקריטי? ממצאים על מערכות חשופות לאינטרנט, על מערכות שמחזיקות מידע אישי או פיננסי, ועל תשתיות זהות (Active Directory, שרתי אימות, ניהול הרשאות) קודמים לממצאים חמורים יותר על מערכות מבודדות. אם ביצעתם סקר סיכוני סייבר, מיפוי הנכסים הקריטיים שלו הוא בדיוק הקלט שצריך כאן.
3. האם הממצא הוא חלק משרשרת? קראו את תיאור שרשרת התקיפה בדוח וזהו את "צוואר הבקבוק" – הממצא שבלעדיו השרשרת נשברת. תיקון נקודה אחת נכונה מנטרל לעיתים שלושה-ארבעה ממצאים במכה אחת, וזה השימוש החכם ביותר במשאבי תיקון מוגבלים.
⚠️ עצור – אל תמיינו את הדוח לפי עמודת הציון בלבד
מיון הממצאים לפי CVSS מלמעלה למטה מרגיש שיטתי, אבל הוא מוביל שוב ושוב לאותה תוצאה: הצוות שוקע בתיקון חולשות קריטיות במערכות שוליות, בזמן שחולשת הצטרפות-שרשרת על נכס קריטי מחכה בשורה 14. תעדוף נכון משקלל שלושה צירים – חומרה, סבירות ניצול והקשר עסקי – ותמיד מתחיל משאלת הנכס, לא משאלת הציון.
מה עושים עם הדוח מול ההנהלה, הרגולציה והביקורת
דוח מבדק חדירות הוא לא רק מסמך טכני – הוא מסמך ציות. תקנות הגנת הפרטיות (אבטחת מידע) מחייבות מאגרים ברמת אבטחה גבוהה לבצע מבדקי חדירות אחת ל-18 חודשים, לדון בתוצאות ולתקן את הליקויים; המשמעות היא שהדוח, פרוטוקול הדיון בו ותיעוד התיקונים הם יחד הראיה לעמידה בדרישת התקנות – חסר אחד מהשלושה, והעמידה אינה מוכחת. ארגונים שמלווים בתהליכי הגנת הפרטיות וציות בונים את מחזור המבדק-דיון-תיקון כתהליך מתועד מראש, כך שביקורת או דרישת מידע מהרשות לא תופסת אותם בלתי מוכנים.
מול ההנהלה, השתמשו בתקציר המנהלים ובשלושה מספרים: כמה ממצאים קריטיים וגבוהים נפתחו, כמה נסגרו ובאיזה זמן, ומה מגמת השיפור מול המבדק הקודם. מדדים אלה הם גם מה שמבטחי סייבר ולקוחות עסקיים מבקשים לראות. מי שרוצה לקבוע נכון גם את קצב הבדיקות ימצא במדריך על כל כמה זמן צריך לבצע מבדק חדירות את המסגרת המלאה – רגולציה, שינויים מהותיים במערכות ופרופיל הסיכון.
הצעד שסוגר את המעגל הוא מבדק חוזר (Retest): בדיקה ממוקדת שמאמתת שהתיקונים אכן סגרו את החולשות, ומעדכנת את הדוח לסטטוס סופי. בלי Retest, "תיקנו" היא הצהרה; איתו, היא עובדה מתועדת. ארגונים שרוצים לעבור מנקודות בדיקה תקופתיות לניהול חשיפות רציף ימצאו השוואה מפורטת במאמר על CTEM מול מבדק חדירות מסורתי.
5 טעויות נפוצות בקריאת דוח מבדק חדירות
1. קוראים רק את טבלת הממצאים ומדלגים על שרשרת התקיפה. הנרטיב – איך הבודק עבר מנקודת כניסה למידע רגיש – הוא החלק שמלמד איפה באמת נשברה ההגנה. מי שמדלג עליו מתקן סימפטומים במקום את הכשל המבני.
2. מתייחסים לציון CVSS כאל ציון סיכון. כפי שהוסבר למעלה – הציון עיוור להקשר העסקי. התוצאה הנפוצה: משאבים נשרפים על Critical במערכת שולית בזמן שהחשיפה האמיתית ממתינה.
3. מתקנים בלי לתעד ובלי לדון. הרגולציה דורשת דיון בתוצאות ותיקון ליקויים – ותביעה או ביקורת ידרשו להוכיח את שניהם. תיקון שבוצע "בשקט" על ידי איש IT, בלי פרוטוקול ובלי עדכון סטטוס, לא קיים מבחינה ראייתית.
4. מתעלמים מהממצאים האינפורמטיביים ומהדפוסים. חמישה ממצאים נמוכים על ניהול גרסאות הם לא חמש משימות – הם אינדיקציה שאין תהליך עדכונים מסודר. הדוח מנסה להגיד לכם משהו על התהליכים, לא רק על המערכות. היכרות עם הכלים שבודקי חדירות משתמשים בהם עוזרת גם להבין אילו ממצאים תוקף ממוצע ימצא בקלות.
5. סוגרים את הדוח בלי Retest ובלי תאריך למבדק הבא. דוח שלא נסגר במבדק חוזר משאיר את הארגון בלי הוכחה שהחולשות טופלו, ודוח שלא נקבע אחריו מועד לבדיקה הבאה הופך את המבדק לאירוע חד-פעמי במקום לתהליך. את שניהם קובעים כבר בישיבת הדיון בממצאים.
💡 טיפ מקצועי
קבעו את ישיבת הדיון בממצאים עוד לפני שהמבדק מתחיל, לשבוע-שבועיים אחרי מסירת הדוח, עם נציגי IT, אבטחת מידע והנהלה. כשהישיבה כבר ביומן, הדוח לא נתקע בתיבת מייל – ולכל ממצא קריטי וגבוה יוצאים מהישיבה עם אחראי, יעד זמן והחלטה מתועדת.
שאלות נפוצות
מה נחשב ציון CVSS גבוה?
לפי הסולם של תקן CVSS, ציון 7.0 עד 8.9 מסווג "גבוה" (High) וציון 9.0 עד 10.0 מסווג "קריטי" (Critical). ציונים בין 4.0 ל-6.9 הם "בינוני" ובין 0.1 ל-3.9 "נמוך". חשוב לזכור שהציון מתאר את חומרת החולשה הטכנית בלבד – הסיכון בפועל תלוי גם בחשיפת המערכת, ברגישות המידע שבה ובקיומן של בקרות מפצות.
האם חובה לתקן כל ממצא בדוח מבדק חדירות?
לא, אבל חובה להתייחס לכל ממצא. ממצאים קריטיים וגבוהים מתקנים לפי יעדי זמן מוגדרים; ממצאים בינוניים ונמוכים אפשר לתקן במחזורי תחזוקה או לקבל לגביהם החלטת קבלת סיכון – בתנאי שהיא מתועדת, מנומקת ומאושרת על ידי בעל סמכות. מה שאסור הוא שתיקה: ממצא שאין לגביו לא תיקון ולא החלטה מתועדת הוא חשיפה משפטית ורגולטורית.
מה ההבדל בין CVSS ל-EPSS?
CVSS מודד את חומרת החולשה – כמה קשה לנצל אותה ומה היא מאפשרת לתוקף. EPSS מודד את הסבירות שהחולשה תנוצל בפועל בעולם האמיתי ב-30 הימים הקרובים, על בסיס נתוני תקיפות חיים. שני המדדים משלימים: חולשה עם CVSS גבוה אך EPSS אפסי מסוכנת פחות בפועל מחולשה בינונית שמנוצלת באופן פעיל. תעדוף מקצועי משתמש בשניהם, יחד עם קטלוג ה-KEV של חולשות שנוצלו בפועל.
כמה זמן יש לתקן ממצאים אחרי מבדק חדירות?
אין מועד אחיד שקבוע בחוק, אבל הקונבנציה המקובלת בתעשייה היא: ממצא קריטי – בתוך ימים בודדים; גבוה – עד 30 יום; בינוני – עד 90 יום; נמוך – במסגרת תחזוקה שוטפת. רגולציות ותקנים ספציפיים (כמו PCI-DSS) ודרישות חוזיות של לקוחות עשויים לקבוע מועדים מחייבים וקצרים יותר. את היעדים שהארגון אימץ מעגנים בנוהל ניהול חולשות – וזה גם מה שביקורת תבדוק.
מה עושים אחרי שמתקנים – האם צריך מבדק חוזר (Retest)?
כן. מבדק חוזר הוא בדיקה ממוקדת של הממצאים שתוקנו, שמאמתת שהתיקון אכן סוגר את החולשה ולא רק מסתיר אותה. בלעדיו אין לארגון הוכחה שהליקויים טופלו – הוכחה שנדרשת מול רגולטור, מבטח סייבר ולקוחות. מקובל לבצע את ה-Retest בתוך 30-90 יום ממסירת הדוח, אחרי שהתיקונים הדחופים הושלמו, ולקבל דוח מעודכן עם סטטוס סופי לכל ממצא.
מקורות שצוטטו במאמר (4)
- [1] CVSS v4.0 Specification Document – FIRST.org
- [2] Vulnerability Metrics (CVSS) – NVD, NIST
- [3] Exploit Prediction Scoring System (EPSS) – FIRST.org
- [4] Known Exploited Vulnerabilities Catalog – CISA
מילון מושגים
תקן בינלאומי לניקוד חומרת חולשות בסולם 0-10, המחושב ממאפייני החולשה: וקטור תקיפה, מורכבות, הרשאות נדרשות והשפעה על המידע.
מודל של ארגון FIRST שמעריך את ההסתברות שחולשה תנוצל בפועל ב-30 הימים הקרובים, על בסיס נתוני תקיפות מהעולם האמיתי.
קטלוג Known Exploited Vulnerabilities של סוכנות הסייבר האמריקאית CISA – רשימת חולשות שידוע בוודאות שנוצלו בתקיפות אמיתיות.
יחידת הדיווח הבסיסית בדוח מבדק: חולשה או ליקוי שאותרו, כולל תיאור, הוכחת היתכנות, סיווג חומרה, ניתוח השלכות והמלצות תיקון.
הדרך שבה ניתן לנצל את החולשה: מרחוק דרך הרשת, מהרשת המקומית, בגישה מקומית או בגישה פיזית. אחד המדדים המשפיעים ביותר על ציון CVSS.
רצף של ממצאים שנוצלו בזה אחר זה במהלך המבדק – מנקודת הכניסה ועד ליעד. תיקון "צוואר הבקבוק" בשרשרת מנטרל את כולה.
בדיקה ממוקדת של הממצאים שתוקנו, המאמתת שהתיקונים סגרו את החולשות בפועל ומעדכנת את הדוח לסטטוס סופי.
החלטה מודעת ומתועדת שלא לתקן ממצא מסוים, מנומקת ומאושרת על ידי בעל סמכות בארגון – בניגוד להתעלמות שאינה מתועדת.
המאמר עודכן לאחרונה: ספטמבר 2026 ומשקף את גרסאות התקנים העדכניות, כולל CVSS 4.0. המידע המובא הוא כללי ואינו מהווה ייעוץ אבטחה פרטני.
קיבלתם דוח מבדק ואתם לא בטוחים מה מתקנים קודם?
מומחי RedEntry יעברו איתכם על הממצאים, יבנו תוכנית תעדוף ויבצעו מבדק חוזר לאימות. שיחת ייעוץ ראשונית ללא עלות.
