מדריך מקיף לכלי אבטחה, סורקי ווב ושיטות עבודה מודרניות (Agentic Workflow).
Full content
# מחקר חולשות ובדיקות אבטחה: המדריך המלא ל-2026
מדריך זה מנגיש את הכלים והשיטות החשובים ביותר לבדיקת חולשות, החל מסריקות אוטומטיות ועד לשילוב Agents בתהליך ה-Auditing.
---
## 🛡️ Tab 1: Web Security Scanners (סורקי ווב)
מתמקד בזיהוי חולשות ב-Web Applications (כמו SQLi, XSS, וחשפת מידע).
### 🛠️ כלים מומלצים:
- **[psiinon/open-source-web-scanners](https://github.com/psiinon/open-source-web-scanners)**: רשימה ממוקדת ואיכותית של סורקים בקוד פתוע.
- **ZAP (OWASP Zed Attack Proxy)**: כלי הסטנדרט לסריקה וניתוח תעבורת ווב.
- **Nuclei**: סורק מבוסס תבניות (Templates) חזק מאוד לזיהוי חולשות מוכרות.
- **Wapiti**: סורק המבוסס על בדיקת קלט (Fuzzing) של דפי ווב.
---
## ⚔️ Tab 2: Pentest Ecosystem (מערכת הכלים הכוללת)
כאשר הסריקה הראשונית מסתיימת, נדרשים כלים עמוקים יותר לבדיקת חדירה (Penetration Testing).
### 🛠️ מקורות מידע וכלים:
- **[enaqx/awesome-pentest](https://github.com/enaqx/awesome-pentest)**: ה-"-Bible" של עולם ה-Pentest. כולל הכל: רשתות, מערכות הפעלה, אפליקציות וכלים ייעודיים.
- **Metasploit Framework**: הכלי הקלאסי לניצול חולשות (Exploitation).
- **Burp Suite (Community Edition)**: כלי חובה לניתוח פרוטוקולים ותעבורת HTTP.
---
## 🤖 Tab 3: AI-Agentic Security Workflow (עבודה עם Agents)
בעידן ה-Agents, אנחנו לא רק מריצים כלים - אנחנו מנהלים תהליכים.
### 🚀 איך לבצע Security Audit עם Claude Code / Lobster:
1. **Stage 1: Reconnaissance (איסוף מידע)**:
- השתמש ב-Agent כדי לאסוף את כל ה-Endpoints של האפליקציה.
- "Claude, list all public API endpoints from this `swagger.json` file."
2. **Stage 2: Scanning (סריקה)**:
- הרץ סריקה ממוקדת בעזרת כלי כמו `nuclei` דרך ה-Terminal.
- "Run nuclei scan on the discovered endpoints and summarize the findings."
3. **Stage 3: Triage & Analysis (ניתוח)**:
- העבר את ה-Output של הסורק ל-Agent כדי שיבצע פילטר להפחתת False Positives.
- "Analyze this Nuclei output. Which findings are high priority and require immediate fixing?"
4. **Stage 4: Remediation (תיקון)**:
- השתמש ב-Agent כדי להציע קוד מתוקן.
- "Write a secure version of this Python function to prevent SQL Injection."