APPSEC
CZ SK EN
TESTOVÁNÍ A ANALÝZY / POHLED ÚTOČNÍKA

Testování a analýzy

Najděte slabá místa dřív, než je zneužije někdo jiný. Autorizovaný test nahradí domněnky o bezpečnosti ověřenými fakty a jasnými prioritami.

OD TESTU K NÁPRAVĚ

Ověřit slabinu. Ukázat dopad. Doporučit nápravu.

Aplikace Rozhraní API Firemní data Výsledek testu Ověřená cesta k datům Důkaz: přístup přes API Dopad: dostupná data Náprava: kontrola oprávnění
  1. Prověřit prostředí
  2. Prokázat dopad
  3. Doporučit nápravu
Ověřená cesta → dopad na data → konkrétní doporučení.

V ukázce chyba oprávnění v API zpřístupní data. Test doloží postup a dopad; analýza kódu pomůže určit příčinu a vhodnou opravu. Rozsah metod domluvíme předem.

Cíl
Ověřit skutečná rizika aplikací, software a infrastruktury.
Princip
Písemná autorizace, dohodnutý rozsah a bezpečná pravidla testu.
Co dostanete
Důkaz, dopad, priorita a doporučená náprava u každého nálezu.
Služby

Tři služby podle toho, co potřebujete ověřit.

Blackhat test

Celkový obraz hlavních technických i organizačních slabin z pohledu útočníka.

Typická situacePotřebujeme celkový obraz

Detail služby

Penetrační testy

Hloubkové ověření, co lze zneužít v konkrétní aplikaci, API nebo infrastruktuře.

Typická situaceMáme konkrétní cíl

Detail služby

Bezpečnostní analýza software

Architektura, zdrojový kód, závislosti a chování aplikace. Výstupy pro vývojáře.

Typická situaceVyvíjíme vlastní software

Detail služby
UKÁZKA VÝSTUPU

Nález, se kterým může váš tým hned pracovat

Každý nález popisuje dopad, důkaz a doporučenou nápravu tak, aby mu rozuměl vývojář i vedení.

UKÁZKOVÝ NÁLEZ Závažnost: vysoká

Přístup k objednávkám jiných zákazníků přes API

Dotčené aktivum
API objednávek, endpoint /api/orders/{id}
Dopad
Přihlášený uživatel změnou čísla objednávky čte data jiných zákazníků.
Důkaz
Reprodukční kroky a zkrácený požadavek a odpověď bez citlivých údajů.
Doporučení
Na serveru ověřovat vlastnictví záznamu u každého požadavku.
Ověření
Retest opravy podle dohodnutého rozsahu nabídky.
# přihlášen jako účet A
GET /api/orders/1044 HTTP/1.1
Authorization: Bearer ••••••••

HTTP/1.1 200 OK
{ "order": 1044, "owner": "účet B" }

OD NÁLEZU K OCHRANĚ

Jedna aplikace. Dvě perspektivy.

Test prokáže, kudy lze obejít pravidla. Obranný pohled určí, kde tuto cestu zastavit a jak účinek opravy ověřit.

Nález: přístup k cizím datům Náprava: kontrola oprávnění

  1. Vstupy a API

    Požadavek přichází z aplikace nebo integrace.

  2. Identita a oprávnění

    Server ověřuje uživatele a jeho přístup k datům.

  3. Služby a logika

    Pravidla určují, které operace mohou proběhnout.

  4. Data a integrace

    Úložiště vrací data v povoleném rozsahu.

Autorizovaný test

Prokázat cestu ke slabině

V ukázce uživatel získá data, která mu nepatří. Test doloží postup, místo chybějící kontroly i skutečný dopad.

Cílená ochrana

Zastavit nepovolený požadavek

Server ověří oprávnění dříve, než požadavek dojde k datům. Účinek nápravy lze ověřit retestem v dohodnutém rozsahu.

Postup

Od první otázky k použitelnému výsledku.

  1. 01

    Pochopíme situaci

    Co chcete zjistit nebo vyřešit, jaké máte prostředí a jaká omezení.

  2. 02

    Vymezíme zadání

    Rozsah, pravidla, odpovědnosti a výstupy. U testu písemnou autorizaci, u technologie pilot.

  3. 03

    Pustíme se do práce

    Provedeme test, analýzu nebo nasazení. Kritická zjištění hlásíme hned podle dohody.

  4. 04

    Předáme výstupy

    Shrnutí pro vedení, technické podrobnosti pro tým a doporučené další kroky.

Časté otázky

Co je dobré vědět předem.

Je testování legální a bezpečné?

Testujeme jen s písemnou autorizací a v předem dohodnutém rozsahu. Pravidla určují povolené cíle, techniky, čas, kontakty a postup okamžitého zastavení.

Dostaneme jen seznam chyb?

Ne. U každého nálezu dostanete důkaz, dopad, prioritu a doporučenou nápravu. Vedení navíc shrnutí, technický tým podrobnosti.

Musíme potom koupit technologii?

Ne. Výsledky testu nejsou vázané na nákup produktu. Pokud budete chtít pomoc s nápravou nebo obranou, domluvíme ji samostatně.

NEZÁVAZNÝ PRVNÍ ROZHOVOR

Nevíte, kde začít? Popište nám situaci.

Nemusíte vědět, jestli potřebujete test, technologii nebo konzultaci. Podle popisu situace navrhneme vhodný další krok.

Domluvit konzultaci