סריקות פסיביות מול אקטיביות מוסבר - השלב הראשון בכל בדיקת חדירות¶
לפני שבודק חדירות שולח אפילו בקשה אחת לשרת של המטרה, הוא כבר עשה שיעורי בית. השלב הראשון בכל בדיקת אבטחה רצינית נקרא איסוף מידע - Reconnaissance - והוא מתחלק לשני סוגים שונים לגמרי: פסיבי ואקטיבי. ההבדל ביניהם הוא לא רק טכני, הוא גם משפטי, וחשוב להבין אותו לפני שנוגעים בכלים בכלל.
מה זה בעצם איסוף מידע¶
לפני שמנסים לפרוץ למשהו, כדאי לדעת עליו כמה שיותר. אילו טכנולוגיות המערכת משתמשת, אילו שירותים פתוחים, מי מנהל אותה, ואיזה מידע כבר קיים עליה בציבור. ככל שהתמונה מלאה יותר, כך קל יותר לזהות נקודות תורפה פוטנציאליות בהמשך. השאלה המרכזית היא איך אוספים את המידע הזה, וכאן נכנס ההבדל בין פסיבי לאקטיבי.
סריקה פסיבית - מבלי לגעת במטרה בכלל¶
סריקה פסיבית, שנקראת גם OSINT - Open Source Intelligence - היא איסוף מידע שכולו מבוסס על מקורות ציבוריים וגלויים, בלי לשלוח שום בקשה ישירה למערכת של המטרה עצמה. במילים אחרות, המטרה בכלל לא יודעת שמישהו אוסף עליה מידע, כי אף חבילת רשת לא הגיעה אליה.
דוגמאות טובות לסריקה פסיבית:
- חיפוש ב-WHOIS. בדיקת מי רשם את הדומיין, מתי, ולפעמים גם פרטי קשר של הבעלים.
- יומני שקיפות תעודות - Certificate Transparency Logs. תעודות SSL מדווחות למאגרים ציבוריים, וחיפוש בהם יכול לחשוף תת-דומיינים שהחברה בכלל לא התכוונה לפרסם.
- מנועי חיפוש ורשתות חברתיות. לפעמים עובדים מפרסמים בטעות מידע רגיש - שם טכנולוגיה פנימית, מבנה ארגוני, או אפילו קטעי קוד.
- מאגרי קוד ציבוריים. חיפוש בפרויקטים ציבוריים בגיטהאב יכול לחשוף מפתחות API ששכחו למחוק, או פרטים על התשתית הפנימית.
- מאגרי דליפות מידע ידועות. בדיקה האם כתובות מייל של החברה הופיעו בעבר בדליפות מידע פומביות.
היתרון הגדול של סריקה פסיבית הוא שהיא כמעט תמיד חוקית לחלוטין, כי כל המידע כבר גלוי לציבור ממילא. בודק חדירות טוב תמיד מתחיל כאן, כי לפעמים המידע היקר ביותר כבר מחכה שם, פשוט אף אחד לא טרח לחפש אותו.
סריקה אקטיבית - נגיעה ישירה במטרה¶
סריקה אקטיבית שונה מהותית - היא כוללת שליחת בקשות ישירות למערכת של המטרה, כדי לגלות מידע שלא זמין בשום מקום ציבורי. כאן המטרה כבר "מרגישה" שמישהו בודק אותה, כי חבילות רשת ממש מגיעות אליה.
דוגמאות לסריקה אקטיבית:
- סריקת פורטים - Port Scanning. שליחת בקשות לכתובת IP כדי לגלות אילו פורטים פתוחים ואילו שירותים רצים עליהם.
- טביעת אצבע - Fingerprinting. שליחת בקשות מיוחדות כדי לזהות בדיוק איזו גרסת שרת, מסד נתונים, או מערכת הפעלה רצה מאחורי הקלעים.
- סריקת תיקיות וקבצים. ניסיון שיטתי לגלות עמודים, תיקיות או קבצים שלא מקושרים בגלוי מהאתר הראשי.
- בדיקת חולשות ידועות. שליחת בקשות שבודקות אם המערכת פגיעה לחולשה ספציפית ומוכרת.
למה ההבדל הזה כל כך קריטי מבחינה משפטית¶
וזה בדיוק המקום שבו חשוב לעצור ולהיות ברורים - סריקה פסיבית לא נוגעת במערכת של אף אחד, ולכן אין בה בעיה משפטית. סריקה אקטיבית, לעומת זאת, היא נגיעה ישירה במערכת שלא שייכת לכם, וגם אם היא "רק סריקה" ולא ניסיון פריצה בפועל, ברוב המדינות, כולל ישראל, זו יכולה להיחשב עבירה פלילית אם נעשתה בלי הרשאה מפורשת מבעל המערכת.
זו הסיבה שבודקי חדירות מקצועיים תמיד עובדים עם היתר כתוב וברור - Scope - שמגדיר בדיוק אילו מערכות מותר לבדוק ובאילו שיטות. סריקה אקטיבית על מערכת שלכם, או על מערכת שקיבלתם הרשאה מפורשת לבדוק (כמו סביבת תרגול ייעודית), זה תרגול לגיטימי ומצוין. סריקה אקטיבית על אתר אקראי באינטרנט, גם "רק בשביל לראות", זה פשוט לא חוקי.
איך לתרגל את זה נכון¶
הדרך הבטוחה והנכונה ללמוד סריקות אקטיביות היא בסביבות שנבנו במיוחד לכך - מכונות תרגול ייעודיות, פלטפורמות CTF, או מעבדות מקומיות שאתם מקימים בעצמכם. שם אתם יכולים להריץ סריקות פורטים אמיתיות, לנסות טכניקות טביעת אצבע, ולראות בדיוק איך המידע שאתם אוספים בונה תמונה שלמה, בלי לדאוג לרגע אחד לגבי הצד המשפטי.
אם אתם רוצים ללמוד את כל התהליך הזה בצורה מסודרת, מאיסוף מידע פסיבי ועד לסריקות מעשיות בסביבה מותרת, מוזמנים לעבור על קורס פריצת אתרים למתחילים.
ואם יש לכם שאלות על הכלים או השיטות, יש קהילה שלמה שדנה בדיוק בנושאים האלה.
לסיכום¶
איסוף מידע פסיבי ואקטיבי הם שני צדדים של אותו מטבע - האחד שקט וגלוי, השני ישיר ומוחשי. שניהם חשובים, אבל רק אחד מהם דורש הרשאה מפורשת לפני שנוגעים בו. הבנה של ההבדל הזה, לפני שנוגעים בכלים בכלל, היא בדיוק מה שמפריד בין בודק חדירות אחראי לבין מישהו שנכנס לצרה מיותרת.