בדיקות חדירה לאפליקציות

AppSec Labs היא חברת אבטחת אפליקציות ישראלית. אנחנו בודקים אפליקציות Web, API ואפליקציות מובייל — כולל יכולות ה-AI שמשולבות בהן — עבור ארגונים שהאפליקציה שלהם מחזיקה משהו ששווה לגנוב.

אנחנו עושים דבר אחד. לא הדרכות, לא מכירת כלים ולא שירותים מנוהלים: בדיקות חדירה ידניות ברמת האפליקציה, על ידי אנשים שכותבים תוכנה בעצמם. כל בדיקה מסתיימת בדוח שנכתב עבור מי שצריך לתקן, ובבדיקה חוזרת אחרי התיקון — כחלק מהעבודה, לא כתוספת.

מה אנחנו בודקים

• בדיקות חדירה לאפליקציות Web — אפליקציות מורכבות עם ריבוי תפקידים: הרשאות, לוגיקה עסקית, ומה שסורק לא רואה.
• בדיקות חדירה למערכות AI ו-LLM — prompt injection, RAG, function calling, וההרשאות של המערכת שמסביב למודל.
• בדיקות חדירה ל-API — REST ו-GraphQL כמשטח תקיפה בפני עצמו, כולל endpoints שהממשק כלל לא קורא להם.
• בדיקות חדירה לאפליקציות מובייל — Android ו-iOS: האפליקציה, מה שהיא משאירה במכשיר, והשרת שמאחוריה.
• בדיקות חדירה לפלטפורמות SaaS — בידוד בין לקוחות במערכת multi-tenant, מודל הרשאות ומסלולי מנוי.
• שירותים נוספים — סקירת קוד מאובטח, ליווי SDLC ו-threat modeling, ובדיקות למכשירי IoT.

למי זה מתאים

• אתם מפעילים מוצר שמחזיק נתונים של לקוחות, ולקוח או רגולטור התחיל לשאול איך אתם יודעים שהוא מוגן.
• הרצתם סורקים, תיקנתם את מה שהם מצאו, ואתם מרגישים שזה לא אותו דבר כמו להיות מאובטחים. זה באמת לא.
• אתם לפני גיוס, רכישה או עסקה ארגונית שבה הערכת אבטחה אמינה היא תנאי סף.
• יש לכם מודל הרשאות מורכב — אדמינים, שותפים, ארגונים, הרשאות שהואצלו — ואף אחד לא ניסה לשבור אותו בשיטתיות.

למה דווקא צוות שמגיע מפיתוח

רוב חברות האבטחה מאוישות באנשי אבטחה שלמדו תוכנה. אנחנו הגענו מהכיוון ההפוך, וזה ניכר במה שאנחנו מוצאים.

• אנחנו כותבים קוד. את הפלטפורמה שהבודקים שלנו עובדים עליה, CybeRapid, אנחנו בונים ומתחזקים בעצמנו.
• הכלי שאתם כנראה מכירים נכתב כאן. Autorize, התוסף ל-Burp Suite לבדיקת הרשאות, נולד ב-AppSec Labs ב-2015, ועדיין מופץ ב-BApp Store של PortSwigger‏.
• אנחנו קוראים קוד כמו מי שכתב אותו. המייסד שלנו כתב את Managed Code Rootkits (Syngress) על תקיפה של ה-CLR, ה-JVM ו-Dalvik — השכבה שמתחת לאפליקציה.
• לימדנו מפתחים במשך קרוב לעשור. כולל חמש שנים ברציפות ב-Black Hat USA. זו הסיבה שהדוחות שלנו נכתבים עבור מי שצריך לתקן.
• אנשים שעזבו אותנו בנו מוצרי אבטחה. חברות שהוקמו על ידי בוגרי הצוות נרכשו על ידי Snyk, Check Point, Contrast Security ו-Zimperium — הסיפור מתועד.

הדפים האלה כתובים באנגלית. הם מובאים כאן כי הם ראיה, לא כטקסט שיווקי.

איך עובדת בדיקה אצלנו

1. אפיון. אנחנו שואלים מה המערכת עושה, מי המשתמשים שלה, מה יכאב הכי הרבה אם ידלוף וכמה תפקידים שונים קיימים. אתם מקבלים היקף, לוח זמנים ומחיר סגורים.
2. גישה. סביבת בדיקה שמשקפת את הייצור, ומשתמש לכל תפקיד. זה חשוב יותר מכל דבר אחר שתיתנו לנו: בדיקה עם משתמש אחד מסתירה בדיוק את מה שהכי חשוב למצוא.
3. בדיקה. עבודה ידנית של בודקים מנוסים, מואצת על ידי הפלטפורמה שלנו, כדי שחלק גדול יותר מזמננו יוקדש לשיקול דעת ופחות לעבודה חוזרת.
4. דוח. לכל ממצא: מה נמצא, איך לשחזר, מה ההשפעה העסקית האמיתית ומה בדיוק לשנות. דירוג החומרה נקבע לפי מה שתוקף באמת יכול להשיג אצלכם.
5. ליווי תיקון. אנחנו עוברים על הדוח עם צוות הפיתוח ובודקים הצעות לתיקון.
6. בדיקה חוזרת. כל ממצא שדווח נבדק שוב אחרי התיקון. שם מתברר לא פעם שהתיקון היה חלקי.

שאלות נפוצות

כמה זמן זה לוקח, מה צריך להכין, מה בדיוק מקבלים בסוף, ואיך מתבצעת הבדיקה החוזרת — התשובות מרוכזות כאן. אם השאלה שלכם לא נמצאת שם, עדיף שתשאלו אותנו ישירות.

נשמח לשמוע מה אתם בונים

ספרו לנו מה המערכת עושה ומה מדאיג אתכם בה. נחזור אליכם עם שאלות אפיון, הצעה ברורה ולוח זמנים מציאותי — ואם בדיקה היא לא מה שאתם צריכים בשלב הזה, נגיד גם את זה. צרו קשר.

עוד בעברית

מי אנחנו · מצבי הבדיקה · קטלוג הבדיקות · שאלות נפוצות · צרו קשר · מדיניות פרטיות

מאמרים בעברית

מה שאנחנו מוצאים בשטח, בעברית. הנוסח האנגלי של האתר הוא המחייב, וחלק גדול מהתוכן הטכני מתפרסם בשתי השפות.