הצוות שלנו יבצע בדיקת חדירות של אפליקציית ה-Web שלך ושל השרתים וכל התשתיות שנגישות מהרשת, במהלך הבדיקה נאתר הגדרות לא נכנות של השרתים (Misconfigurations) וכן נאתר פריצות וחורי אבטחה באפליקציה, הן ידועים והן לא ידועים, בין אם האפליקציה שלך מבוססת על קוד פתוח או על תוכנה קניינית (Proprietary) אנחנו יודעים לטפל בכל התרחישים, אפילו אם יש לך צוות SECOPS ייעודי, תן לנו לבדוק כשהכל כשורה, עדיף שאנחנו נבדוק מאשר שעברייני הרשת יבדקו….
בדיקה ידנית, סוכני AI (Agentic) או בדיקה אוטומטית? מה כדאי לבחור?
אנו מבצעים גם בדיקות ידניות וגם בדיקות אוטומטיות. אנו משתמשים בכלים המובילים בעולם הקוד הפתוח לצד כלים קנייניים, הכל בהתאם לתקציבו של הלקוח, אנחנו למדים כל לקוח לעומק טרם התחלת ביצוע הבדיקה, יש להבין מול מי אנחנו עומדים, מה האיומים הנוכחיים, מה הנזק שנגרם בעבר, מה התשתית וכו’ ,כמובן בהתאם לאופו הבדיקה בה בוחר הלקוח
ולאחר למידת המקרה אנו מתאימים את ארסנל הכלים המדויק ביותר למשימה וללקוח. במידת הצורך, נכתוב כלים ייעודיים ו-Exploits מותאמים אישית – ונעשה כל מה שנדרש כדי להשיג את המטרה הנכספת: לחדור למערכות הלקוח, להריץ קוד מרוחק (מה שנקרא remote code execution) ולהגיע ללב המידע העסקי של הלקוח. הניסיון שלנו הוכיח שפגיעויות ושגיאות קונפיגורציה מתרחשות גם אצל הלקוחות המאובטחים ביותר,הס מלהזכיר את עידן ה AGENTIC PENETRATION TESTING עידן בו כל האקר וואנבי מפעיל צבא של סוכנים חכמים שמנסים לפרוץ – לאפליקציות ולשרתים שלכם!
לפי דרישה ובהתאם לתקציב : אנו מבצעים בדיקות חדירות מתקדמות גם באמצעות pentaAG וטכנולוגיית Agentic Penetration Testing (סוכני AI אוטונומיים).
האפליקציה שלך, תותקף בדיוק כפי שתוקפים אותה האקרים ו evil players, רק שהפעם הכל מתוזמן מראש.
מאז 2009, חברת Tyr מבצעת בדיקות חדירות (Penetration Testing) ידניות ואוטומטיות לאפליקציות Web ושרתים — ההתמחות שלנו היא במערכות מבוססות LINUX & FREEBSD.
אלו הן חלק מהנושאים שאנו בודקים::
הזרקות וטיפול בקלט (Injection & Input Handling)
- הזרקות SQL (כולל NoSQL, ORM וגרסאות Second-Order)
- Cross-Site Scripting (XSS) — מסוג Reflected, Stored ו-DOM-based
- הזרקת פקודות מערכת הפעלה (OS Command Injection), הזרקת תבניות (SSTI), ו-XXE
- הזרקת פרומפטים (Prompt Injection) ברכיבים המשולבים בינה מלאכותית (AI/LLM)
בקרת גישה ואימות (Access Control & Authentication)
- בקרת גישה שבורה (הסלמת הרשאות אופקית/אנכית, IDOR)
- CSRF וניצול לרעה של בקשות Cross-Origin
- כשלים בניהול סשנים (Session Fixation, Hijacking, Puzzling)
- חולשות במנגנוני אימות — מעקף MFA, חשיפה ל-Credential Stuffing, כשלים בטוקנים של JWT ו-OAuth/OIDC
- הגבלת קצב בקשות (Rate Limiting) ועמידות בפני התקפות Brute-Force
אבטחת ממשקי API (לפי OWASP API Top 10:2023)
- הרשאה שבורה ברמת האובייקט (BOLA) וברמת הפונקציה (BFLA)
- חשיפת יתר של מידע (Excessive Data Exposure) ו-Mass Assignment
- זיוף בקשות בצד השרת (SSRF)
- צריכה לא בטוחה של ממשקי API מצד שלישי, נכסים לא מנוהלים ו-Shadow Endpoints
- חולשות הרשאה ו-Introspection הייחודיות ל-GraphQL
תצורה ותשתיות (Configuration & Infrastructure)
- הגדרות אבטחה שגויות (הסיכון #2 של OWASP ל-2025) — אחסון בענן, מדיניות IAM, פאנלי ניהול חשופים, אישורי מחדל
- יישום פרוטוקולי TLS/SSL — גרסאות פרוטוקול, אימות תעודות, HSTS, חוזק הצפנה
- כותרות אבטחה (Security Headers כגון CSP), כשלים במדיניות CORS
- פערים בהקשחת שרתי Web ופריימוורקים ייעודיים
לוגיקה עסקית ותכנון (Business Logic & Design)
- כשלים בלוגיקה העסקית וניצול לרעה של תהליכי עבודה לגיטימיים (סיכון “Unrestricted Access to Sensitive Business Flows” של OWASP)
- תנאי מרוץ (Race Conditions), התקפות שידור חוזר (Replay Attacks), והתנהגות Fail-Open בתנאי קצה (חדש ב-OWASP 2025)
- דפוסי תכנון לא מאובטחים המזוהים באמצעות סקירת מידול איומים (Threat Modeling)
שרשרת אספקה ויושרה (Supply Chain & Integrity — קטגוריה חדשה ב-OWASP 2025)
- תלויות (Dependencies) פגיעות ולא מעודכנות, חולשות בצינורות CI/CD
- דה-סריאליזציה לא מאובטחת, עדכונים לא חתומים או לא מאומתים
- חשיפת סודות (Secrets) בקוד, בלוגים ובתצורת המערכת
הבדיקות מבוצעות כנגד תקן OWASP Top 10:2025 המלא — התקן העדכני והמוביל בתעשייה — תוך עבודה במתודולוגיות המותאמות לתקני PTES ו-OSSTMM. כל פרויקט מסתיים בדוח כתוב ומפורט: הממצאים מדורגים לפי רמת הניתנות לניצול בעולם האמיתי (Real-World Exploitability), בצירוף הוכחת היתכנות (Proof of Concept) והנחיות תיקון קונקרטיות שהמפתחים שלך יוכלו ליישם מיד.
