01 / Rozsah
Dohodneme cíle a bezpečný postup
Cíle, identity, časová okna a zakázané akce určíme ještě před zahájením autorizovaného testu.
Autorizovaný penetrační test
Důkaz v předem dohodnutém rozsahu
Test má jasné hranice a každý nález doložený důkaz. Retest po opravě může navazovat, pokud je součástí nabídky.
02 / Důkaz
Zdokumentujeme ověřitelný výsledek
Každý nález spojuje podmínky, kroky a minimální důkaz s dopadem. Nejde o nepřetržitý útok.
03 / Retest
Po opravě může navazovat retest
Pokud je retest součástí zadání, ověří původní podmínky a pojmenuje případné zbývající riziko nebo nové omezení.
Přístup k objednávkám jiných zákazníků přes API
- Dotčené aktivum
- API objednávek, endpoint /api/orders/{id}
- Dopad
- Přihlášený uživatel změnou čísla objednávky čte data jiných zákazníků.
- Důkaz
- Reprodukční kroky a zkrácený požadavek a odpověď bez citlivých údajů.
- Doporučení
- Na serveru ověřovat vlastnictví záznamu u každého požadavku.
- Ověření
- Retest opravy podle dohodnutého rozsahu nabídky.
# přihlášen jako účet A
GET /api/orders/1044 HTTP/1.1
Authorization: Bearer ••••••••
HTTP/1.1 200 OK
{ "order": 1044, "owner": "účet B" }Ruční ověření, ne jen výstup skeneru
Penetrační test je autorizovaná a řízená simulace postupu útočníka. Nástroje nám pomáhají s mapováním, ale závažnost a zneužitelnost každého nálezu posuzujeme ručně v kontextu vašeho prostředí.
Testovat můžeme webové aplikace, API i infrastrukturu. U aplikací se zaměřujeme na přihlášení, oprávnění, správu relací a obchodní logiku. U infrastruktury nejprve rozlišíme pohled zvenku a zevnitř sítě.
- Přesně vymezené cíle, role, prostředí a výjimky.
- Ruční ověření významných nálezů a jejich možného řetězení.
- Bezpečné doložení dopadu s minimálním zásahem do dat a provozu.
- Výstup, podle kterého lze opravovat, ne jen bodové skóre.
Metodika jako rámec, rozsah jako konkrétní závazek
Při návrhu testu vycházíme z OWASP, PTES a OSSTMM. Používáme je jako metodické rámce, ne jako certifikaci ani slib úplného pokrytí.
U webových aplikací můžeme pokrytí dohodnout podle kontrolního rámce OWASP ASVS a testovacích postupů OWASP WSTG. Skutečný rozsah, výjimky a omezení vždy uvedeme v zadání.
Příprava
Rozsah, technické předpoklady, autorizace, kontakty a pravidla testu (Rules of Engagement).
Realizace
Testování v dohodnutých hranicích, dokumentace důkazů a eskalace podle zadání.
Předání
Report, vysvětlení nálezů, priority a doporučené opravy pro technický tým.
Ověření
Volitelný retest původních nálezů v dohodnutém rozsahu a termínu.
Co obsahuje použitelný report
- Rozsah, termín, předpoklady a omezení testu.
- Shrnutí dopadů a priorit pro vedení.
- Dotčená aktiva, kroky reprodukce a důkazy bez zbytečných citlivých údajů.
- Zdůvodněnou závažnost v kontextu, ne jen automatické skóre.
- Doporučenou opravu a při retestu aktuální stav každého nálezu.
Co ovlivňuje rozsah a cenu
Rozhoduje počet a složitost cílů, uživatelských rolí, API operací, IP adres a obchodních procesů. Roli hraje i dostupné testovací prostředí, množství informací, které nám poskytnete, a požadovaná forma výstupu.
Cenu a termín proto stanovíme pro váš konkrétní scénář. Univerzální balíček bez popisu rozsahu nenabízíme.
