הפער בין מה שהלקוח חושב שחשוף לבין מה שבאמת חשוף, שטח התקיפה החיצוני. במרחב הזה פועלים התוקפים. במאמר זה: מתודולוגיית EASM עם Shodan, חוקיות והרשאות, ושלושה שלבים מאיתור נכסים עד ציד חולשות והפיכת ממצאים לאסטרטגיית הגנה.
⚡ TL;DR, תקציר מהיר
שטח הפקר: Shodan מראה בדיוק מה שחשוף באינטרנט מתשתית הלקוח, באנרים, פורטים, גרסאות, בלי להסתמך על המילה של מנהל ה-IT.
כלל ברזל: אל תחפשו לקוחות ב-Shodan בלי אישור מפורש וכתוב. העבודה חייבת להיות חלק משירות מוגדר (PT, CISO as a Service, ניטור).
מתודולוגיה: שלב 1 מיפוי נכסים (org, ASN, net, SSL) → שלב 2 תצורות שגויות ו-Shadow IT (RDP, SSH, DB, פאנלים) → שלב 3 ציד חולשות (גרסאות ישנות, CVE).
אופרציה: אימות ללא ניצול, הבנת הקשר, תעדוף (קריטי/גבוה/נמוך), וניטור רציף עם Shodan Monitor או API ל-SIEM/SOAR.
מיפוי שטח התקיפה החיצוני (EASM, External Attack Surface Management) הוא רשימה מעודכנת של כל מה שהארגון חושף לאינטרנט: כתובות IP, שרתים, פורטים פתוחים, ממשקי ניהול ותעודות SSL, כפי שתוקף רואה אותם מבחוץ. Shodan מקצר את העבודה, כי הוא כבר סורק את מרחב כתובות ה-IP ושומר את מה שכל שירות מכריז על עצמו.
בעולם אידיאלי, לכל ארגון יש רשימת מצאי (Inventory) מדויקת ומעודכנת בזמן אמת של כל כתובת IP, שרת, נתב ושירות שחשופים לאינטרנט. המציאות? המציאות היא כאוס. מחלקות שיווק מרימות שרתי וורדפרס זמניים ושוכחות מהם, מפתחים פותחים פורטים ב-AWS כדי לעבוד מהבית בסופ"ש, ומיזוגים ורכישות מייצרים "חורים שחורים" של תשתיות לגאסי (Legacy) שאף אחד לא מתחזק.
הפער הזה שבין מה שהלקוח חושב שחשוף לבין מה שבאמת חשוף, נקרא שטח התקיפה החיצוני (External Attack Surface). במרחב הזה בדיוק פועלים התוקפים, ובמרחב הזה אתם חייבים לשלוט. הכלי האולטימטיבי כדי לראות את המציאות כפי שהיא, ללא המסננים של הלקוח, הוא Shodan.
במאמר זה נפרק את המתודולוגיה המקצועית של EASM באמצעות Shodan. לא מדובר ב"האקינג", אלא במודיעין תשתיות גלוי ואקטיבי שמטרתו למצוא את הפגמים לפני שכלי הכופר (Ransomware) האוטומטיים יעשו זאת. העבודה מתחלקת לארבעה שלבים:
| שלב | מה מחפשים | דוגמה לממצא |
|---|---|---|
| 1. מיפוי נכסים | מה שייך ללקוח: שם הארגון, ASN, טווחי כתובות ותעודות SSL | שרת גיבוי שנשכח בחברת בת |
| 2. תצורות שגויות | שירותים שלא אמורים להיות חשופים לאינטרנט | RDP פתוח, מסד נתונים בלי סיסמה, ממשק ניהול של חומת אש |
| 3. ציד חולשות | גרסאות ישנות ופגיעויות ידועות | שרת IIS 7.5 שרץ על Windows Server 2008 R2 |
| 4. טיפול | אימות, הקשר, תעדוף וניטור רציף | התראה על פורט חדש שנפתח בטווח של הלקוח |
מותר למפות לקוח ב-Shodan בלי אישור?
לא. אני אגיד את זה בצורה הברורה והנוקשה ביותר: אל תחפשו לקוחות ב-Shodan ללא אישור מפורש וכתוב. Shodan אוסף מידע פומבי, אבל השימוש במידע הזה כדי להציג ללקוח פגיעויות צריך להיות מגובה בחוזה (Rules of Engagement). חיפוש פגיעויות אצל לקוח פוטנציאלי במטרה "להפחיד" אותו כדי שיסגור עסקה הוא פרקטיקה חובבנית, לא אתית, ולעיתים גובלת בתחום האפור המשפטי.
מבחינה טכנית זה איסוף פסיבי (Passive Reconnaissance) מצידכם, שכן Shodan הוא זה שביצע את הסריקה האקטיבית. זה לא משנה את הכלל. העבודה שלכם צריכה להיות חלק משירות מוגדר של Penetration Testing, שירותי CISO as a Service, או ניטור תשתית שוטף. ברגע שיש לכם את המנדט, עליכם להשתמש ב-Shodan ללא רחמים כדי להאיר כל פינה חשוכה.
מה Shodan באמת עושה? (זה לא "גוגל להאקרים")
הכינוי "גוגל של ההאקרים" עושה ל-Shodan עוול תדמיתי ומקצועי. גוגל זוחל (Crawls) על גבי פרוטוקולים כמו HTTP/HTTPS ומאנדקס תוכן מבוסס טקסט. Shodan, לעומת זאת, סורק את כל מרחב כתובות ה-IP הגלובלי (IPv4 וחלקי IPv6) על פני מאות פורטים שונים.
הוא לא מחפש את התוכן של אתר האינטרנט, אלא את הבאנרים (Banners). הבאנר הוא תעודת הזהות שהשירות מחזיר כאשר מישהו מתחבר אליו. זה יכול להיות שרת SSH שמכריז על הגרסה שלו, שרת RDP שחושף את תעודת ה-SSL והדומיין הפנימי שלו, או בקר תעשייתי (SCADA) שפולט נתוני מערכת גולמיים ללא שום הזדהות. Shodan אוסף את המטא-דאטה הזה, מקטלג אותו, ומאפשר לכם לשאול עליו שאלות מורכבות.
איך ממפים את שטח התקיפה החיצוני של לקוח?
בשלושה שלבים, מהרחב לנקודתי: קודם ממפים מה שייך ללקוח (ארגון, ASN, טווחי כתובות ותעודות SSL), אחר כך מחפשים תצורות שגויות ושירותים שלא צריכים להיות חשופים, ורק בסוף מצליבים גרסאות מול פגיעויות ידועות. כדי לספק ערך אמיתי ללקוחות שלכם, אי אפשר פשוט להקליד את שם החברה בשורת החיפוש. אתם צריכים מתודולוגיה סדורה (Reconnaissance Methodology).
כל הפילטרים שמופיעים בהמשך מתועדים ברשימת הפילטרים הרשמית של Shodan.
שלב 1: הגדרת ההיקף ומיפוי נכסים (Asset Discovery)
השלב הראשון הוא לא לחפש פגיעויות, אלא להבין מה שייך ללקוח. תוקפים לא מחפשים ישר חולשה בשרת המרכזי המאובטח; הם מחפשים את שרת הגיבוי שנשכח בחברת בת.
חיפוש לפי ארגון (Organization): ניתן לחפש את השם הרשמי של הארגון כפי שהוא מופיע ברישומי ה-IP. זה עובד היטב לארגונים גדולים.
org:"Client Company Name"
חיפוש לפי ASN (Autonomous System Number): אם ללקוח שלכם יש BGP routing משלו והוא ספק שירות או ארגון אנטרפרייז ענק, ה-ASN הוא מזהה מוחלט.
asn:AS12345
חיפוש לפי רשתות (CIDR): אם הלקוח סיפק לכם את טווחי הכתובות הציבוריים שלו, זו הדרך המדויקת ביותר למקד את החיפוש.
net:192.168.1.0/24
(כמובן, עם כתובות ציבוריות ולא פרטיות.)
חיפוש לפי תעודות SSL: זהו טריק קריטי. לעיתים לקוחות מארחים שירותים בענן (AWS, Azure) ואין להם כתובת IP קבועה שרשומה על שמם. אבל, הם כן משתמשים בתעודת ה-SSL הרשמית של החברה. Shodan מאפשר חיפוש בתוך פרטי התעודה:
ssl.cert.subject.cn:"*.clientdomain.com"
שלב 2: זיהוי תצורות שגויות ושירותים מסוכנים (Misconfigurations & Shadow IT)
אחרי שיש לכם את רשימת הנכסים, הגיע הזמן לחפש דברים שלא צריכים להיות שם. חולשת האבטחה הנפוצה ביותר היא לא Zero-Day מסובך, אלא פורט ניהול שפתוח לעולם עם סיסמת ברירת מחדל.
ממשקי ניהול מרחוק (Remote Management):
שום שרת בארגון לא צריך לאפשר גישת RDP או SSH ישירה מהאינטרנט. נקודה. הכל צריך להיות מאחורי VPN, ZTNA (Zero Trust Network Access), או Bastion Host. איך בוחרים את הפתרון שיחליף את הגישה הישירה, במדריך לעבודה מרחוק מאובטחת.
חיפוש לדוגמה בתוך טווח הלקוח:
net:203.0.113.0/24 port:3389
(מחפש RDP)
net:203.0.113.0/24 port:22
(מחפש SSH)
מסדי נתונים חשופים (Exposed Databases):
זו מגיפה של ממש. מפתחים מרימים סביבות פיתוח ומשאירים את מסד הנתונים פתוח לכל דורש, לעיתים ללא צורך בהזדהות כלל.
- Elasticsearch (בדרך כלל פורט 9200): שרתים אלו לרוב מכילים לוגים רגישים של מערכות. חיפוש תגובת 200 OK מאשר שהשרת לא דורש סיסמה.
- MongoDB (פורט 27017): Shodan יכול להראות לכם אילו בסיסי נתונים קיימים שם ומה הגודל שלהם.
דוגמה לשאילתה:
net:203.0.113.0/24 product:"Elasticsearch"
פאנלי ניהול של מערכות ליבה:
ראוטרים, חומות אש (Firewalls), ומערכות גיבוי. האם ממשק הניהול של ה-FortiGate של הלקוח שלכם פתוח לעולם מחוץ לפורט ה-VPN?
org:"Client Name" "Fortinet"
או מילות מפתח מתוך עמוד ההתחברות.
אותו היגיון חל על מצלמות אבטחה ומכשירי הקלטה (NVR) שנפתחו לאינטרנט דרך פורט בנתב. איך סוגרים אותם, במדריך לאבטחת מצלמות אבטחה לעסקים.
שלב 3: ציד חולשות ספציפיות (Vulnerability Hunting)
Shodan אינו סורק חולשות (Vulnerability Scanner) קלאסי כמו Nessus או Qualys, כיוון שהוא לא מבצע אימות אקטיבי של החולשה מול השרת (מה שעלול לגרום לנפילות). עם זאת, הוא כן מנתח את הבאנרים. אם שרת מודיע בגלוי "אני מריץ Apache גרסה 2.4.49", גרסה שידועה כפגיעה ל-Path Traversal חמור (CVE-2021-41773), Shodan (למנויי אנטרפרייז) יצליב את המידע עם מאגר ה-CVE ויציג זאת.
אתם יכולים ליזום חיפושים אקטיביים על סמך טכנולוגיות ישנות:
net:203.0.113.0/24 "Server: Microsoft-IIS/7.5"
שרת המריץ IIS 7.5 מעיד על מערכת הפעלה Windows Server 2008 R2, מערכת עתיקה שלא מקבלת עדכוני אבטחה, ומייצגת סיכון קריטי ואבן דרך קלה לתוקפים ברשת של הלקוח. לפי מחזור החיים של IIS שמיקרוסופט מפרסמת, התמיכה ב-IIS 7.5 על Windows Server 2008 R2 הסתיימה בינואר 2020, יחד עם מערכת ההפעלה.
בנוסף, ניתן לחפש ישירות לפי קוד פגיעות אם יש ללקוח טכנולוגיה ספציפית שאתם יודעים שיצא לה עדכון קריטי לאחרונה (למשל, חולשות בשרתי Exchange או שרתי VPN של Ivanti):
net:203.0.113.0/24 vuln:CVE-2023-46805
(שימו לב: פילטר vuln דורש הרשאת API מתאימה של Shodan.)
איך הופכים ממצאי Shodan לתוכנית תיקון?
בארבעה צעדים: מאמתים שהשירות עדיין חשוף בלי לנצל אותו, מבינים את ההקשר העסקי של כל נכס, מתעדפים לפי חומרה, ומגדירים ניטור רציף. למצוא חולשות ב-Shodan זה החלק הקל. החלק הקשה והמקצועי באמת הוא האופרציה. הלקוח לא משלם לכם כדי שתזרקו עליו צילומי מסך מ-Shodan, הוא משלם כדי שתורידו את רמת הסיכון שלו.
התרשים מסכם את המעבר מ"מצאנו בעיה" ל"פתרנו אותה": כל ממצא עובר אימות, הקשר ותעדוף לפני שהוא מגיע ללקוח, והניטור נשאר פעיל אחרי התיקון. בתחתית, שלוש רמות החומרה שמפורטות בהמשך.
אימות ללא ניצול (Validation without Exploitation):
Shodan מציג תמונת מצב מנקודת זמן מסוימת (Point in Time). ייתכן שהלקוח כבר סגר את הפורט אתמול, אך הנתונים ב-Shodan טרם התעדכנו (Caching). לפני שאתם מפעילים אזעקות, בצעו בדיקה נקודתית קלה, למשל סריקת Nmap זהירה וממוקדת ל-IP הספציפי, רק כדי לוודא שהשירות עדיין חשוף. בשום שלב אל תנסו לנצל (Exploit) את החולשה.
הבנת ההקשר (Contextualization):
שרת פיתוח עם נתוני דמי שחשוף לאינטרנט אינו מהווה את אותו הסיכון כמו שרת קופה רושמת או מסד נתונים של משאבי אנוש. שוחחו עם מנהלי הרשת והמפתחים. הבינו למה השירות פתוח. לפעמים יש סיבה עסקית (גרועה, אבל קיימת) שדורשת תכנון של ארכיטקטורה חלופית, ולא סתם טריקת דלת בחומת האש שתרסק את הייצור (Production).
תעדוף (Prioritization):
אל תציפו את הלקוח ברשימה של 50 ממצאים. חלקו אותם לפי רמת חומרה:
- קריטי: מסדי נתונים ללא סיסמה, RDP פתוח, ממשקי ניהול של חומות אש. לטיפול מיידי (SLA של שעות).
- גבוה: שרתים שמריצים תוכנות ישנות (EOL) עם פגיעויות ידועות שמנוצלות בפועל, כאלה שמופיעות בקטלוג הפגיעויות המנוצלות של CISA. לטיפול במסגרת מחזור העדכונים הקרוב, ולבחינת הגדרות IPS בטווח המיידי.
- בינוני/נמוך: דליפת מידע בבאנרים (כמו חשיפת גרסאות פנימיות שלא נדרשות לפעילות תקינה). לטיפול כחלק מהקשחת שרתים רוחבית.
אוטומציה וניטור רציף (Continuous Monitoring):
זה ההבדל המרכזי בין "סריקה שנתית" לשירות EASM אמיתי. תשתית ענן היא אלסטית. כתובות IP משתחררות ונרכשות מדי יום. עליכם להגדיר התראות שוטפות (באמצעות Shodan Monitor או חיבור API למערכת ה-SIEM/SOAR שלכם). ברגע שפורט חדש ובלתי צפוי נפתח בטווח של הלקוח, אתם צריכים לקבל על כך התראה בזמן אמת, ולא לחכות לבדיקה הידנית של החודש הבא.
סיכום
האינטרנט הוא מקום עוין. סורקים אוטומטיים של קבוצות תקיפה ממפים כל פינה ברשת בקצב מהיר בהרבה ממה שהלקוחות שלכם מסוגלים להתגונן. אם אתם סומכים על המילה של מנהל ה-IT של הלקוח שאומר "אין לנו שרתים חשופים, הכל מאחורי פיירוול", אתם עושים עבודה לא מקצועית, ובסופו של דבר תופתעו.
Shodan הוא לא כלי פריצה, הוא כלי של שקיפות אכזרית. הוא יראה לכם בדיוק את מה שהתוקפים רואים. תפקידכם הוא להשתמש בכלי הזה לא כדי להתנגח בלקוח, אלא כדי לעזור לו לנקות את הבלגן, לסגור את פערי הצללים (Shadow IT), ולעבור מתגובה בדיעבד לניהול אקטיבי של שטח התקיפה. השתמשו בו בחוכמה, בצורה חוקית, וללא פשרות מקצועיות.
ואם אתם בצד של הלקוח ורוצים לדעת מה חשוף אצלכם, שירותי אבטחת מידע לעסקים הם נקודת ההתחלה.
שאלות נפוצות
מה ההבדל בין Shodan לסורק פגיעויות?
Shodan לא מתחבר לשרתים שלכם בזמן החיפוש. הוא מציג באנרים שכבר אסף בסריקות שלו, ולכן הוא לא מאמת את הפגיעות מול השרת. סורק פגיעויות כמו Nessus או Qualys בודק את השרת באופן אקטיבי, ולכן מריצים אותו רק בהרשאה ובתיאום. בפועל משתמשים בשניהם: Shodan כדי לראות מה חשוף, וסורק כדי לאמת.
כל כמה זמן צריך למפות את שטח התקיפה החיצוני?
ברציפות, לא פעם בשנה. תשתית ענן משתנה כל הזמן, וכתובות IP משתחררות ונרכשות מדי יום. במקום סריקה שנתית מגדירים התראות שוטפות, למשל דרך Shodan Monitor או חיבור API למערכת ה-SIEM, כך שכל פורט חדש ובלתי צפוי שנפתח בטווח של הלקוח מייצר התראה בזמן אמת.
המידע ב-Shodan תמיד עדכני?
לא תמיד. Shodan מציג תמונת מצב מנקודת זמן מסוימת, וייתכן שהלקוח כבר סגר את הפורט אבל הנתונים טרם התעדכנו. לפני שמתריעים, מבצעים בדיקה נקודתית וזהירה לכתובת הספציפית, למשל סריקת Nmap ממוקדת, רק כדי לוודא שהשירות עדיין חשוף. בשום שלב לא מנסים לנצל את הפגיעות.
אילו ממצאים מטפלים בהם קודם?
קודם כל ממצאים קריטיים: מסדי נתונים בלי סיסמה, RDP פתוח לאינטרנט וממשקי ניהול של חומות אש, לטיפול מיידי. אחריהם שרתים עם תוכנה שיצאה מתמיכה ופגיעויות שמנוצלות בפועל, ורק בסוף דליפת מידע בבאנרים. רשימה של עשרות ממצאים בלי תעדוף משאירה את הלקוח בלי צעד הבא ברור.
Shodan יכול לחפש לפי פגיעות ספציפית?
כן, דרך הפילטר vuln, שמחפש לפי מזהה CVE. Shodan מגביל אותו למנויים של תוכניות API גבוהות יותר, ולכן לא כל חשבון יכול להשתמש בו. גם כשהוא זמין, התוצאה מבוססת על הגרסה שהשירות מכריז עליה ולא על בדיקה אקטיבית, ולכן כל ממצא עדיין דורש אימות.
מה ההבדל בין EASM לבדיקת חדירות?
EASM ממפה ברציפות מה חשוף לאינטרנט ומזהה תצורות שגויות וגרסאות פגיעות, בלי לנצל אותן. בדיקת חדירות (Penetration Testing) היא פרויקט תחום בזמן, שבו מנסים לנצל פגיעויות בהרשאה ובחוזה כדי להוכיח מה תוקף יכול להשיג בפועל. השניים משלימים זה את זה: EASM אומר איפה להסתכל, ובדיקת חדירות בודקת כמה עמוק אפשר להגיע.
רוצים להבין מה חשוף באינטרנט מתשתית הארגון?
המומחים שלנו ב-SouliTek ישמחו לבצע סקירה מקצועית ולהתאים עבורכם תוכנית פעולה.
יוצא עולם הסייבר ההתקפי עם למעלה מ-10 שנות ניסיון בשירותי IT לארגונים. מוביל את SouliTek במתן שירותי מחשוב מנוהלים ואבטחת מידע לעסקים קטנים ובינוניים בישראל.