חולשה - פגם או חולשה במערכת או בתוכנה שעלול לאפשר פגיעה באבטחה אם לא יטופל.
SQL Injection - חולשה שבה קלט זדוני מוחדר לשאילתת SQL, ומאפשר לתוקף לקרוא או לשנות נתונים במסד.
בדיקות אבטחת מידע
בדיקות אבטחה תופסות מקום הולך וגדל בעבודת הבודקים ובתהליך הפיתוח כולו. ההרצאה מסבירה מה הן מנסות למצוא ובאילו מקרים הן נדרשות.
מה בודקים
1. מטרת הבדיקה: למצוא את נקודות התורפה של המערכת, כלומר המקומות שבהם אפשר לתקוף אותה ולבצע פעולות זדוניות שיפגעו ביציבות שלה או יגרמו ליציאת מידע.
2. איזה מידע בסיכון: נתונים על משתמשים, אמצעי תשלום ונתוני הארגון. בודקים אם אפשר לגנוב מידע על לקוחות או על חברה, לחדור לבסיס הנתונים או ליצור עומס מלאכותי שיפיל את המערכת.
3. מי מבצע: לעיתים קרובות צוותים ייעודיים עם ידע ספציפי באבטחת מידע, שעובדים עם כלי Security מיוחדים.
4. מערכות עזר: הבדיקה כוללת גם מערכות שמשתפות פעולה עם המערכת הנבדקת, כדי למנוע זליגת מידע לא מאובטח או פגיעות דרכן.
דוגמאות לנקודות תורפה
1. SQL Injection: תקיפה דרך שדות של האפליקציה או האתר, שמאפשרת לחדור למסד הנתונים.
2. Denial of Service: התקפה שמדמה עומס חריג על המערכת, כך שהיא מפסיקה לענות ללקוחות אמיתיים. המרצה נותן דוגמה של מערכת בנקאית שקורסת בגלל עומס מלאכותי, והלקוחות לא מקבלים את השירות.
אחרי ההרצאה תוכלו להסביר מה מטרת Security Testing ולתת שתי דוגמאות לחולשות שהיא מחפשת.
הטקסט המלא של הדקות הראשונות בהרצאה «בדיקות אבטחת מידע» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
בדיקות סיקיוריטי תופסות יותר ויותר מקום ויותר ויותר תשומת לב בעבודת אנשי הבדיקות ובכלל בתהליך הפיתוח. מטרת הסיקיוריטי טסטינג היא למצוא את נקודות התורפה של המערכת מבחינת האבטחה, איפה אפשר לתקוף אותה, איפה אפשר לבצע פעולות זדוניות שיפגעו ביציבות שלה או יגרמו ליציאת מידע,
נתונים על המשתמשים, אמצעי תשלום או נתונים של הארגון. כשמבצעים בדיקות סיקיוריטי, בדיקות אבטחה, רוצים לחשוף את נקודות התורפה, את הנקודות החולשה של המערכת, שאותן אפשר לנצל על מנת לתקוף אותה.
נרצה לראות אם ניתן לגנוב מידע על לקוחות או על חברה, לחדור לדאטאבייס, להתקיף, לבצע פגיעות או עומס מלאכותי, ועל ידי כך להפיל את המערכת בתקיפה זדונית ולגרום לה לחוסר יציבות.
פעמים רבות מי שיהיה אחראי על בדיקות הסיקיוריטי הם צוותים ייעודיים עם ידע ספציפי בנושא אבטחת מידע והשימוש יהיה בכלים מיוחדים בנושא ה-Security.
דוגמה לנקודת תורפה במערכת שמשרתת לקוחות זה SQL Injection. ב-SQL Injection ניתן לבצע תקיפה דרך שדות של האפליקציה, של המערכת, של האתר ולחדור דרכם ל-Database, לחדור דרכם למסד הנתונים.
