מבדקי חדירות- 5 כלים שכל בודק חדירות צריך

כל בעל מקצוע יודע שידע ויכולות זה לא מספיק, צריך גם כלים שיעזרו לך לבצע את העבודה. בודקי חדירות מבצעים שירות הכרחי לארגונים ועסקים שמעוניינים לקבל תמונת מצב עדכנית על מערך ההגנה שלהם, במיוחד בעולם הסייבר המתפתח של היום. הכלים שהם בוחרים להשתמש בהם כדי לבדע את המבדק חדירות הם מרכיב שיכול לקבוע האם יצליחו למנוע את פריצת הסייבר הבאה או שמא יפספסו את החולשה במערכות ההגנה. אז למה הכלים האלה משמשים את בודקי החדירות, ומהם הכלים הכי פופלריים בקרב המקצוענים. ובכלל, מה זה מבדק חדירות?

מה זה מבדק חדירות

ה- Penetration Testing היא דרך המאפשרת להעריך את רמת האבטחה של מערכות, אפליקציות, שירותי מובייל ותשתיות. בדיקת החדירות מתחילה במיפוי הנכסים הדיגיטלים של הארגון, כולל אינטגרציה עם מערכות צד ג', התנהגות משתמשים וכדומה. מטרת הבדיקה היא לאתר את החולשות והפגיעויות במערכת ולתת את הדגשים וההמלצות לתיקון שלהם, וזאת על ידי איסוף המידע.

סוגי מבדקי חדירות

לכל סיר יש מכסה, לכל עיפרון יש קלמר ולכל ארגון יש בדיקת חדירה המתאימה לו. ההפרדה בין PT אחד לשני נועד למקד את מאמצי הבודקים כך שיתאימו לדרישות ולצרכים של הארגון. בדיקות החדירות מתחלקות לשלוש קטגוריות עיקריות.

---

מבדק חדירות אפליקטיבי

התקפה וחדירה של יישומי אינטרנט ממוקדים שמטרתם לזהות פגמים בשכבת האפליקציה כגון: XSS, הזרקת קוד, ניהול הרשאות לקוי, הפניות לאובייקטים ישירים, חשיפת קוד ועוד.

מבדק חדירות תשתיתי

בדיקות חדירת תשתיות רשת ממוקדות שמטרתן לזהות פגמים ברמת הרשת והמערכת כגון: תצורות שונות, פגיעויות ספציפיות למוצר, פגיעויות ברשת האלחוטית, סיסמאות חלשות, פרוטוקולים פגיעים ורבים אחרים.

מבדק חדירות לישומי מובייל / IOT

בדיקות חדירה ממוקדות במכשור חומרה וב-IOT שמטרתן לזהות פגמים ברמת חומרה ותוכנה כגון: סיסמאות חלשות, פרוטוקולים לא מאובטחים, ממשקי API לא בטוחים, ערוצי תקשורת לא מאובטחים, תצורות שונות ופגיעויות ספציפיות למוצר. לקריאה מעמיקה על מבדקי חדירות והמשך פירוט על הסוגים, עברו למאמר מבדק החדירות המלא.

למה לעשות מבדק חדירות

• עמידה ברגולציה- תקני אבטחת מידע רבים, כמו ה-GDPR המוכר והפופלרי, דורשים בחינה אפליקטיבית ותשתיתי של מערכות ההגנה של הארגון, כמו כן בדיקות עקביות של מערך ההגנה. מבדקי חדירות הם דרך יעילה לבצע הערכות אלה ולעמוד בתקנים בינלאומיים הנדרשים לשם המשך פעילות עסקית.
• בחינת מערך האבטחה- מבדק חדירות מהווה בחינה מקיפה של מערך ההגנת הסייבר של ארגונים, ומאפשר להעלות למודעות מלאה את רמת יכולות ההתגוננות של ארגון מפני מתקפות סייבר. ידע זה הוא הכרחי להמשך התנהלות עסקית תקינה ושמירה על פרטיות הלקוחות, ובעולם ההיפר וירטואלי שאנו נמצאים בו כיום, משקיעים רואים בהגנות סייבר חשיבות עליונה בהחלטה האם לחבור לארגון או להשקיע בעסק.
• הגנת סייבר ארגוני- הבנת הפערים בין איומי הסייבר המשתכללים לבין יכולות ההגנה העכשוויות הוא מסייע בחיזוק ושיפור יכולות אלה.

כלים של מבדקי חדירות

סורק פורטים

זיהוי פורטים פתוחים המחוברים לרשת הארגונית, ויכולים להיות מנוצלים להחדרת תוכנה זדונית או חולשות רשת אחרות כמו אימות חד שלבי, סיסמאות חלשות וכדומה.

סורק חולשות

בשלב מתקדם יותר מסריקת פורטים, הסורק חולשות מזהה חולשות ברמה האפליקטיבית ותקלות קונפיגורציה. הסריקה יכולה למצוא חולשות במערך ההגנה, או להשתמש בפרטי זיהוי שניתנו לה על ידי הארגון כדי למצוא פגיעויות ברשת הפנימית. הסורק משתמש במאגר נתונים של חולשות ידועות, אנומליות, באגים ידועים, תקלות קונפיגורציה ומסלולים פוטנציאליים לחדירת רשת פנימית כדי להשוות אותם מול הממצאים.

רחרחן רשת

חומרה או תוכנה האוספת את התנועה העוברת בנקודה מסוימת ברשת, ומאפשרת לנתח אותו ולבצע אנליזה. ניתן להשתמש ברחרחן כדי לזהות ניסיונות חדירה לרשת או תוכנות זדוניות המותקנות על המחשבים המחוברים, כמו כן התוכנה מספקת הבנה מעמיקה על אופן התנהלות הרשת ומנטרת את התנהגות הרשת בהקשר להתנהגות המשתמשים.

מקור

שרת פרוקסי

אומנם ניתן להשתמש בכלי זה באופן עצמאי כדי לגלוש ברשת באנונימיות (דומה בהתנהגותו ל-VPN הידוע), הכלי מאפשר לבודק חדירות לנתב תעבורה בין משתמש לשרת עליו מונח האתר האפליקטיבי של הארגון אותו הוא בודק. הפרוקסי משמש כנקודת הפרדה בין רשת המחשבים הפנימית לבין הרשת הפתוחה. הוא מאפשר חיפוש של חולשות HTML וזיהוי ניצול של פגיעויות ברמת האפליקציה כמו מתקפת XXS .

מפצח סיסמאות

סיסמאות חלשות הן הפגיעות הכי נפוצה ויעד קל להאקרים, ולבודקי חדירות. במבדק חדירות, הכלי הזה מסייע בהבנת רמת הסיסמאות של עובדי הארגון, ובקביעת נהלים מתאימים שיכולים להבטיח קביעה של סיסמאות חזקות וארוכות.

כלים ידועים של בודקי חדירות

NMAP

לחלקנו זה חלף מעל הראש, אבל סורק הפורטים NMAP היא פופלרית לא רק בקרב בודקי חדירות, אלא גם על מפיקי הוליווד שהופיעה בסרטים רבים כמו מטריקס וסנודן. NMAP הוא קיצור של Mapper Network, והוא קוד פתוח מבוסס לינוקס שסורק כתובות IP ויציאות רשת. NMAP עוזרת למפות את הרשת במהירות ללא צורך בפקודות מתוחכמות ותומך בסקריפטים מורכבים באמצעות מנוע תסריט שמשמש כמאגר נתונים. תכונות נוספות של Nmap שהופכות אותו לכלי הכי פופלרי:

• יכולת לזהות במהירות את כל המכשירים המחוברים כולל שרתים, נתבים, מתגים ומכשירים ניידים
• מסייע בזיהוי שירותים הפועלים במערכת כולל שרתי אינטרנט, שרתי DNS ויישומים נפוצים אחרים
• מציאת מידע על מערכת ההפעלה הפועלת במכשירים הנבדקים, כמו כן הגרסאות
• תקיפת מערכות באמצעות סקריפטים קיימים
• ממשק משתמש גרפי הקרוי Zenmap שמסייע לפתח מיפויים חזותיים ליצירת דיווחים טובים ומפורטים

מקור

Nessus

תוכנה לאיתור פגיעויות הכי פופלרית בקרב בודקי חדירות והאקרים, הנסוס סורקת את הרשת הארגונית על פי קריטריונים שהוגדרו מראש. תכונת הנסוס מראה אילו מכשירים המחוברים לרשת הארגונית פגיעים, ומספקת המלצות מפורטות לכיצד יש לנהוג כדי להתגונן מפני הפרצה האפשרית.

WhireShark

תוכנת רחרחן חופשי ומבוססת על קוד פתוח, ובעלת מספר רב של פרוטוקלוים בנויים מראש המאפשרים לזהות סוגי תנועות מגוונים ולנתח לפרומט קריא וברור. כלי זה פשוט לשימוש ודינאמי, ובודקי חדירות מעדיפים להשתמש בו בין היתר בגלל היכולות שלהם לשאוב מידע ספציפי בנוגע לתנועות מסוימות ולנתח אותם בקלות. מערכת ה-WhireShark יכולה לבצע אנליזה בזמן אמת על מערכות ופרוטוקלים פעילים, כמו כן איזה חשבונות הם פעילים ביותר.

Burp Proxy

כלי שרת הפרוקסי של חברת PortSwigger הוא חלק מספריית כלים רחבה לבחינת מערך הגנת הסייבר של אפליקציות הנקרא Burp Suite. ה- Burp Proxy מאפשר לבדוקי חדירות לבצע מתקפת MITM, כאשר האקר ממקם את עצמו בין המשתמש לספק השירות, בין אם כדי "להאזין לתקשורת" ביניהם או בין אם כדי להתחזות לאחד מהצדדים. מטרת המתקפה היא לגנוב מידע אישי- פרטי כרטיס אשראי, סיסמאות ומידע על חשבונות- ולרוב מתרחש בתקשורת בין משתמשים לחברות פיננסיות, SaaS, חנויות אינטרנטיות ואתרים שיש בהם צורך בכניסה לחשבון.

John the Ripper

אתה רוצה לפצח סיסמא, קרא לג'ון. תוכנת הקוד הפתוח שנכתבה בשפת C תומכת בכמות עצומה של 15 מערכות הפעלה, ויכולה לבצע פיצוח סיסמאות מוצפנות בטכניקות כמו כוח ברוטלי או התקפת מילון. בנוסף, לתוכנה יכולת לזיהוי איכות סיסמאות הבודק האם הסיסמה המוזנת מספיק טובה וקשה לפיצוח או שמא יש להחליפה. אהודה בקרב בודקי חדירות והאקרים ביחד.