Тестваме уеб приложенията ви и API зад тях така, както би го направил нападател: без акаунт, с вход като всяка от ролите ви и като клиент, който се опитва да стигне до данните на друг клиент.
Скенерите откриват част от проблемите. Нарушеният контрол на достъпа и грешките в бизнес логиката, които често нанасят най-много щети, обикновено се откриват едва когато човек премине ръчно през приложението.
Вход, възстановяване на парола, многофакторна автентикация, управление на сесиите и токените, включително какво става, когато токен бъде изпратен повторно, използван отново или подправен.
Дали всяка роля и всеки тенант виждат само това, което трябва. Търсим хоризонтална и вертикална ескалация на привилегии във всяка функция в обхвата.
Инжектиране на SQL, команди и шаблони, междусайтов скриптинг (XSS), качване на файлове и всичко останало, което приема входни данни и им се доверява без проверка.
Стъпки, които могат да се пропуснат, повторят или изпълнят в грешен ред, цени и лимити, които могат да се променят, и процеси, които разчитат, че всеки потребител спазва правилата.
Всяка крайна точка в обхвата, включително тези, които потребителският интерфейс никога не извиква. Проверяваме оторизацията за всеки обект и поле, ограниченията на броя заявки и какво издава API в съобщенията си за грешки.
Заглавки за сигурност, TLS, бисквитки, обработка на грешки и библиотеки на трети страни с известни уязвимости.
Към всяка констатация има доказателствата за нея, оценка по CVSS, въздействието върху бизнеса и конкретна поправка. Където е приложимо, това включва заявките и отговорите или настройките, които показват проблема. Написан е така, че да можете да го предадете на инженер без промени.
Две страници на разбираем език за въздействието върху бизнеса и приоритетите, написани за ръководството ви или за екипа по сигурността на вашия клиент.
Работна среща с вашите инженери, на която преглеждаме констатациите, отговаряме на въпроси и съгласуваме приоритетите при отстраняването. Ако желаете, ще я запишем.
Предпродукционната, ако е достатъчно близка до продукционната. Така можем да тестваме по-агресивно, без да излагаме на риск реални данни. Ако предпродукционната среда се различава съществено, например по настройки или липсващи интеграции, тестваме продукционната в граници и часове, които договаряме с вас.
Да, за всичко, което е зад вход. Искаме поне два акаунта за всяка роля, а ако приложението е мултитенантно, и два отделни тенанта, за да проверим дали един потребител може да стигне до данните на друг.
За едно уеб приложение обикновено са нужни около пет дни тестване, а приложение с голямо API отнема повече. Когато се договорим за обхвата, ви даваме фиксиран срок.
Да. Използваме скенери, за да покрием бързо основното, а през повечето време тестваме ръчно, защото нарушеният контрол на достъпа и грешките в бизнес логиката рядко се откриват по друг начин.
Заявете разговор за определяне на обхвата и щом уточним какво ще тестваме, ще ви изпратим оферта с фиксирана цена.