אבטחה התקפית · בדיקות חדירות
TechRS היא חברת אבטחה התקפית. אנחנו מבצעים בדיקות חדירות ידניות ומבוססות מחקר לאפליקציות Web, ממשקי API, מובייל וענן — ומעבירים לצוות הפיתוח ממצאים שאפשר לפעול לפיהם מיד.
המתודולוגיה שלנו מבוססת על
שירותים
ארבעה תחומי התמחות, סטנדרט אחד: כל פרויקט מובל על-ידי חוקרים שעובדים בידיים, ומסתיים בממצאים שאפשר לתקן.
בדיקה ידנית, מנקודת המבט של תוקף, של אפליקציות ה-Web וממשקי ה-API שלכם — מאימות והרשאות ועד פגמי לוגיקה עסקית שסורקים אוטומטיים פשוט לא רואים.
בדיקות אבטחה מעמיקות לאפליקציות iOS ו-Android — ולממשקי ה-API שמאחוריהן — בהתאם ל-OWASP MASVS ו-MASTG.
בדיקות רשת חיצוניות ופנימיות, מסלולי תקיפה ב-Active Directory וסקירות אבטחה לסביבות AWS, Azure ו-Google Cloud.
סקירה ידנית של הקוד הקריטי ביותר, מידול איומים לפיצ'רים חדשים וליווי מעשי שעוזר לצוות שלכם לפתח תוכנה מאובטחת.
למה TechRS
כל ממצא מאותר או מאומת ידנית ומגיע עם הוכחת היתכנות (PoC) עובדת. בלי ניפוח של התראות שווא.
אנחנו צדים פגיעויות ב-HackerOne, ולכן ניגשים למוצר שלכם כמו תוקף אמיתי — ומשרשרים ממצאים קטנים לכדי השפעה ממשית.
צעדי שחזור ברורים, דירוג חומרה לפי CVSS 4.0 והנחיות תיקון שנכתבו למפתחים — לצד תקציר מנהלים להנהלה.
כללי התקשרות כתובים, חלונות בדיקה מתואמים ו-NDA עוד לפני האפיון. המידע שלכם נשמר על בסיס need‑to‑know בלבד.
איך אנחנו עובדים
שיחה קצרה להבנת הארכיטקטורה, הסיכונים והיעדים. מקבלים הצעת מחיר קבועה וכללי התקשרות כתובים.
ממפים את משטח התקיפה — נקודות קצה, תפקידים, אינטגרציות וגבולות אמון — ומזהים היכן תוקף יכה ראשון.
עבודה ידנית שחורגת מרשימות תיוג: שרשור חולשות, ניצול לוגיקה עסקית והוכחת השפעה אמיתית — בצורה בטוחה.
דוח מתועדף עם תקציר מנהלים, ממצאים טכניים, הוכחות היתכנות והנחיות תיקון — שעוברים עליו יחד עם הצוות שלכם.
אחרי התיקונים אנחנו מאמתים כל תיקון ומנפיקים דוח מעודכן ומכתב אישור (Attestation) ללקוחות ולמבקרים.
תוצרים
כל ממצא נכתב כך שאפשר לשחזר, להבין ולתקן אותו — עם הראיות, ההשפעה והנחיות התיקון במקום אחד.
מבנה ממצא לדוגמה (להמחשה)
כל משתמש מחובר יכול לקרוא ולשנות חשבוניות של ארגונים אחרים על-ידי שינוי ה-invoice_id המספרי — וכך לחשוף שמות לקוחות, כתובות ופרטי תשלום בין לקוחות שונים.
GET /api/v2/invoices/48213 HTTP/2
Host: app.example.com
Authorization: Bearer <tenant-A token>
HTTP/2 200 OK
{"id": 48213, "org": "tenant-B", "total": 12400, ...}לאכוף הרשאה ברמת האובייקט בכל בקשה: לשלוף את החשבונית דרך הארגון של המשתמש המבקש ולהחזיר 404 לכל מה שמחוצה לו. להוסיף בדיקות רגרסיה לכל תפקיד.
Bug Bounty
אנחנו צדים פגיעויות בתוכניות Bug Bounty ב-HackerOne, לצד אלפי חוקרים מכל העולם. החשיבה ההתקפית הזו — יצירתית, עיקשת וממוקדת השפעה — היא מה שאנחנו מביאים לכל פרויקט.
מודיעין איומים
לוח מודיעין הפגיעויות שלנו קולט נתונים מ-NVD, CISA KEV ו-EPSS בכל שעה — כך שהבדיקות שלנו משקפות את מה שתוקפים מנצלים ממש עכשיו.
נתונים חיים מ-NVD, CISA KEV ו-FIRST EPSS · סנכרון אחרון לפני 23 דקות
שאלות נפוצות
זה תלוי בהיקף — מספר האפליקציות, סוגי המשתמשים, נקודות הקצה והסביבות. אחרי שיחת אפיון קצרה תקבלו הצעת מחיר קבועה, בלי הפתעות.
רוב הבדיקות לאפליקציות Web ו-API נמשכות שבוע עד שלושה שבועות מההתנעה ועד הדוח, בהתאם לגודל. הצעת המחיר כוללת לוח זמנים מחייב.
כן, בזהירות. אנחנו מסכמים מראש ובכתב חלונות בדיקה, קצב בקשות ופעולות אסורות, נמנעים מטכניקות הרסניות ללא אישור מפורש, ויכולים לבדוק סביבת Staging במקום.
כן. אנחנו חותמים על NDA הדדי לפני האפיון. ממצאים וכל מידע שנחשפים אליו מטופלים על בסיס need‑to‑know בלבד ונשמרים רק כל עוד ההסכם מתיר.
הגדרת היקף (כתובות, אפליקציות, טווחי IP או מאגרי קוד), משתמשי בדיקה לכל סוג משתמש ואיש קשר טכני. למובייל — הגרסאות העדכניות; לסקירת קוד — גישת קריאה למאגר.
כן. הדוחות נכתבים כך שיתמכו ב-SOC 2, ISO 27001, PCI DSS ובתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 — כולל מכתב אישור אחרי הבדיקה החוזרת.
ספרו לנו מה אתם בונים — ונחזור אליכם עם היקף ברור, לוח זמנים ומחיר קבוע.