לתקוף את עצמך כדי להוכיח שההגנה עובדת

אפשר להתקין את כל כלי-ההגנה בעולם — ועדיין לא לדעת אם הם באמת עובדים. הדרך היחידה לדעת היא לתקוף את עצמך ולראות אם ההתראה נורית. אבל תקיפה בלי גבולות היא סיכון בפני-עצמה. הנה איך עשינו את זה נכון.

הבעיה: הגנה שלא נבדקה היא תקווה

עסק מתקין אנטי-וירוס, firewall, וניטור — ומניח שהם מגינים. אבל האם ה-firewall באמת חוסם? האם ההתראה על ניסיון-פריצה באמת מגיעה, ובכמה שניות? בלי בדיקה אקטיבית, אלה הנחות. וכשמגיעה מתקפה אמיתית, מגלים את התשובה בדרך הכי כואבת.

השער לפני הכל: הרשאה חתומה (RoE)

לפני שמריצים אפילו סריקה אחת נגד יעד, יש שער-הרשאה חתום (Rules of Engagement). בלי טופס-הסכמה דיגיטלי חתום שמכסה את היעד — שום בדיקה אקטיבית לא רצה. השער אוכף גם חלון-זמן ואפשרות-ביטול (revoke). זו לא בירוקרטיה: זו אותה ראיית-הסכמה שרגולציה כמו תיקון-13 דורשת, וגם ההגנה המשפטית שלנו ושל הלקוח. DoS אמיתי? נדחה תמיד — לכל היותר בדיקת-עומס מבוקרת.

מה בנינו: משגר-קמפיינים

במקום להריץ בדיקה אחת בכל פעם, בנינו משגר-קמפיינים שמתזמר הרבה בדיקות יחד — מטריצה של יעד × שיטה. שיטה אחת, למשל, היא בדיקת-חדירה לאפליקציות-web (זיהוי SQL-injection עם sqlmap וסריקת-DAST). כל קמפיין רץ מול הרשימה, אוסף ממצאים, ומעלה אותם לאותה חלונית-אבטחה מאוחדת שבה יושב כל שאר המידע.

הלב: מטריצת כיסוי Purple-Team

כאן קורה הקסם. לקחנו את כל הזיהויים שלנו (מה ההגנה יודעת לתפוס) ומיפינו כל אחד לטכניקה ב-MITRE ATT&CK — המילון האוניברסלי של איך תוקפים באמת פועלים. התוצאה היא מטריצת-כיסוי: לוח שמראה בדיוק אילו טכניקות-תקיפה אנחנו מזהים, ואיפה יש חורים. "Purple-Team" = שילוב הצד-האדום (תקיפה) עם הכחול (הגנה) בלולאה אחת.

שלוש נקודות-ההוכחה שסוגרות עסקה

• "הנה החשיפה שלך" — סריקה חיצונית שמראה מה תוקף רואה.
• "הנה התיקון — מ-62 ל-88" — ציון לפני/אחרי הקשחה.
• "הוכחנו שההתראה נורית על השרת שלך" — מטריצת-הכיסוי בפעולה.

איך בדקנו

הרצנו את שיטת-התקיפה הראשונה (זיהוי SQLi + DAST) מול יעד-בדיקה מורשה, ומצאנו חולשה אמיתית — מה שהוכיח שהמסלול מקצה-לקצה עובד: משגר → שער-הרשאה → בדיקה → ממצא בחלונית. במקביל, שער ה-RoE הוכיח את עצמו: כשאין הרשאה חתומה, שום בדיקה לא רצה.

כתבה זו מתארת את הגישה ברמת-עיקרון. כל פעילות התקיפה שלנו מבוקרת, מורשית-בחתימה, וניתנת-לביטול; איננו חושפים כלים, מטענים, או פרטים שמסייעים לתוקף.