מתודולוגיה
פלייבוק הבדיקות
מערך הבדיקות המתועד והמגורסן של Sightline — מה בודקים, באיזו רמה, ומי מבצע כל בדיקה. המערכת מתזמרת מנועים קיימים (ZAP, Nuclei) יחד עם שכבת ניתוח ה-AI ובקרה אנושית, במקום להמציא מחדש גלאים. 48 בדיקות ב-9 קטגוריות.
סריקה מהירה· 18
פסיבי, ללא הזדהות
דקות ספורות · ללא נגיעה תוקפנית
סריקה סטנדרטית· 13
סריקה אקטיבית + ספיידר
דורש היקף מאושר בכתב
סריקה עמוקה· 17
בדיקות מאומתות + לוגיקה עסקית
דורש שני משתמשי בדיקה ובקרה ידנית
OWASP Top 10 · 2021
10/ 10 קטגוריות
API Security Top 10 · 2023
10/ 10 קטגוריות
שער הרשאה: רמות סטנדרטית ועמוקה כוללות סריקה אקטיבית ובדיקות מאומתות — הן מורצות רק לאחר אימות בעלות על היעד והיקף מאושר בכתב.
01
תצורה וכותרות אבטחה
היגיינת הגדרות בסיסית — הגנה-לעומק מפני ניצול חולשות אחרות.
כותרות אבטחה
CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
OWASP A05API8
OWASP ZAP
מהירה
דגלי Cookie
Secure, HttpOnly, SameSite חסרים
OWASP A05
OWASP ZAP
מהירה
הגדרות CORS
מדיניות שיתוף חוצה-דומיין רחבה מדי
OWASP A05API8
OWASP ZAP
מהירה
Clickjacking
היעדר הגנת מסגור (framing)
OWASP A05
OWASP ZAP
מהירה
שיטות HTTP מסוכנות
TRACE/PUT/DELETE מופעלים שלא לצורך
OWASP A05API8
Nuclei
מהירה
אישורי ופאנלים של ברירת מחדל
ממשקי ניהול וסיסמאות ברירת מחדל
OWASP A05API8
Nuclei
מהירה
ניטור, לוגים והתראות
הערכת כיסוי ניטור ותגובה לאירועים
OWASP A09
אימות אנושי
עמוקה
02
תעבורה והצפנה (TLS)
אבטחת הערוץ בין הדפדפן לשרת.
גרסת TLS וצפנים
פרוטוקולים מיושנים וצפנים חלשים
OWASP A02
בדיקת TLS
מהירה
תעודת SSL
תוקף, שרשרת, התאמת שם
OWASP A02
בדיקת TLS
מהירה
כפיית HTTPS
היעדר הפניה ל-HTTPS / HSTS
OWASP A02
OWASP ZAP
מהירה
תוכן מעורב (Mixed Content)
משאבי HTTP בדף HTTPS
OWASP A02
OWASP ZAP
מהירה
03
חשיפת מידע
מידע, קבצים ונקודות קצה שלא היו אמורים להיות נגישים.
קבצי תצורה חשופים
.env, .git, גיבויים, קבצי התקנה
OWASP A05API9
Nuclei
מהירה
נקודות קצה רגישות
Swagger/OpenAPI, metrics, פאנלים, נתיבי דיבאג
OWASP A05API9
Nuclei
מהירה
חשיפת גרסאות
כותרות Server, טכנולוגיות, fingerprinting
OWASP A05API9
Nuclei
מהירה
הודעות שגיאה
Stack traces וחשיפת מבנה פנימי
OWASP A05
OWASP ZAP
סטנדרטית
סודות בקוד צד-לקוח
מפתחות API וטוקנים ב-JS
OWASP A05
ניתוח Claude
סטנדרטית
חשיפת PII בתגובות
מידע אישי מיותר בתשובות השרת/API
OWASP A01API3
ניתוח Claude
סטנדרטית
04
רכיבים פגיעים ושלמות
ספריות, תלויות ותשתיות עם חולשות ידועות, ושלמות משאבים.
ספריות צד-לקוח
ספריות JS עם CVE ידוע
OWASP A06
OWASP ZAP
מהירה
תשתית ושרת
CVEs בפריימוורק/שרת/CMS
OWASP A06
Nuclei
סטנדרטית
ניתוח תלויות (SCA)
תלויות build עם חולשות ידועות
OWASP A06
ניתוח Claude
סטנדרטית
שלמות משאבים (SRI)
היעדר Subresource Integrity על משאבי CDN
OWASP A08
OWASP ZAP
מהירה
05
הזרקות
קלט לא מסונן שמגיע למנוע פרשנות — דורש סריקה אקטיבית.
SQL Injection
הזרקת SQL בפרמטרים
OWASP A03
OWASP ZAP
סטנדרטית
XSS משתקף
הזרקת סקריפט משתקפת
OWASP A03
OWASP ZAP
סטנדרטית
הזרקת פקודות / SSTI
הרצת פקודות ותבניות
OWASP A03
OWASP ZAP
סטנדרטית
מעבר נתיבים
Path/Directory Traversal
OWASP A03
Nuclei
סטנדרטית
Open Redirect
הפניה פתוחה ליעד שנשלט על ידי תוקף
OWASP A01
Nuclei
סטנדרטית
SSRF
בקשות מהשרת ליעדים פנימיים
OWASP A10API7
בדיקה מאומתת
עמוקה
XSS מאוחסן (כולל העלאת קבצים)
סקריפט מאוחסן דרך קלט/קבצים
OWASP A03
בדיקה מאומתת
עמוקה
אימות העלאת קבצים
סוג/תוכן/גודל קובץ, הרצת תוכן שהועלה
OWASP A04
בדיקה מאומתת
עמוקה
06
אימות וניהול הפעלות
התחברות, הפעלות, טוקנים ואיפוס — שער הכניסה למערכת.
הגנת כניסה
היעדר rate-limit / נעילת חשבון / brute-force
OWASP A07API2
בדיקה מאומתת
סטנדרטית
ניהול הפעלה
Session fixation, תוקף טוקן, logout
OWASP A07API2
בדיקה מאומתת
עמוקה
אבטחת JWT / טוקן
חתימה חלשה, alg=none, תוקף, סוד צפוי
OWASP A07API2
בדיקה מאומתת
עמוקה
CSRF
היעדר הגנת Anti-CSRF בפעולות משנות-מצב
OWASP A01
בדיקה מאומתת
סטנדרטית
איפוס סיסמה ו-OTP
זרימות איפוס חלשות, הזרקת תוכן ב-SMS/מייל
OWASP A07API2
אימות אנושי
עמוקה
07
הרשאות ולוגיקה עסקית
מי רשאי לגשת למה — החולשות שסורקים אוטומטיים לרוב מפספסים.
IDOR / BOLA
גישה לאובייקטים של משתמש אחר
OWASP A01API1
בדיקה מאומתת
עמוקה
הרשאה ברמת הפונקציה
גישה לפעולות/נתיבים מעבר לתפקיד
OWASP A01API5
בדיקה מאומתת
עמוקה
הסלמת הרשאות
הסלמה אופקית/אנכית
OWASP A01API5
אימות אנושי
עמוקה
חשיפת נתונים לפי הרשאה
חשיפת שדות/רשומות ב-API מעבר להרשאה
OWASP A01API3
ניתוח Claude
עמוקה
שימוש לרעה בזרימות עסקיות
ניצול זרימות רגישות (רכישה, הרשמה) ללא הגבלה
OWASP A04API6
אימות אנושי
עמוקה
08
בדיקות API ייעודיות
בדיקות מותאמות ליישומי API (כמו crAPI).
סריקה לפי OpenAPI
כיסוי נקודות קצה מתוך מפרט ה-API
API9
OWASP ZAP
סטנדרטית
Mass Assignment
שינוי שדות מוגנים דרך גוף הבקשה
OWASP A08API3
בדיקה מאומתת
עמוקה
צריכת משאבים
היעדר הגבלת קצב / עומס
API4
בדיקה מאומתת
עמוקה
בדיקות GraphQL
Introspection, עומק שאילתה, batching
API4
בדיקה מאומתת
עמוקה
צריכת APIs חיצוניים
אמון לא בטוח בשירותי צד שלישי
API10
ניתוח Claude
עמוקה
09
ניתוח ואימות
השכבה שהופכת פלט גולמי לדוח — ומגדירה את האחריות.
איחוד ותיעדוף
כפילויות, סיווג, דירוג חומרה
ניתוח Claude
מהירה
סינון false-positive
סימון וסינון זיהויים בעלי ערך נמוך
ניתוח Claude
מהירה
ניסוח המלצות
הסבר ותיקון בעברית ובאנגלית
ניתוח Claude
מהירה
אימות אנושי
אישור ממצאים בחומרה גבוהה לפני שחרור
אימות אנושי
עמוקה