בדיקות חדירות ל-Web ול-API

מה אנחנו בודקים

• בקרת גישה שבורה — IDOR / BOLA, הסלמת הרשאות ובידוד בין לקוחות (multi-tenant)
• אימות, ניהול סשנים, MFA ותהליכי SSO / OAuth 2.0 / OIDC
• הזרקות — SQL ו-NoSQL, פקודות מערכת, SSTI ו-XXE
• תקיפות צד-לקוח — XSS, CSRF, תצורת CORS שגויה, postMessage ו-clickjacking
• SSRF וחשיפת metadata של סביבת הענן
• ניצול לוגיקה עסקית — תשלומים, תהליכי עבודה, קופונים ו-race conditions
• ממשקי REST, GraphQL ו-gRPC — mass assignment, הגבלת קצב וחשיפת סכמה
• העלאת קבצים, deserialization לא בטוח ורכיבי צד-שלישי פגיעים

מתאים במיוחד ל

• פלטפורמות SaaS לקראת מבדק SOC 2 או ISO 27001
• פינטק, מסחר מקוון ומוצרים שמעבדים מידע אישי
• גרסאות גדולות, ממשקי API חדשים ושאלוני אבטחה של לקוחות

איך מתנהל הפרויקט

1. 01

   אפיון וכללי התקשרות

   שיחה קצרה להבנת הארכיטקטורה, הסיכונים והיעדים. מקבלים הצעת מחיר קבועה וכללי התקשרות כתובים.

2. 02

   איסוף מודיעין ומידול איומים

   ממפים את משטח התקיפה — נקודות קצה, תפקידים, אינטגרציות וגבולות אמון — ומזהים היכן תוקף יכה ראשון.

3. 03

   בדיקה ותקיפה ידנית

   עבודה ידנית שחורגת מרשימות תיוג: שרשור חולשות, ניצול לוגיקה עסקית והוכחת השפעה אמיתית — בצורה בטוחה.

4. 04

   דוח ותחקיר

   דוח מתועדף עם תקציר מנהלים, ממצאים טכניים, הוכחות היתכנות והנחיות תיקון — שעוברים עליו יחד עם הצוות שלכם.

5. 05

   בדיקה חוזרת ואישור

   אחרי התיקונים אנחנו מאמתים כל תיקון ומנפיקים דוח מעודכן ומכתב אישור (Attestation) ללקוחות ולמבקרים.