Mapování
Funkce, role, vstupní body a toky dat. Ujasníme si, co je pro vás nejcitlivější.
Kde má test webové aplikace těžiště
Orientační pohled, nikoli měření: 3 hlavní oblast testu, 2 běžná součást, 1 kontext nebo podle rozsahu, 0 mimo běžný rozsah.
| Oblast | Úroveň |
|---|---|
| Autentizace a relace | hlavní zaměření |
| Autorizace a oprávnění | hlavní zaměření |
| Vstupy a injekce | hlavní zaměření |
| Obchodní logika | hlavní zaměření |
| Konfigurace a expozice | součást testu |
| Data a tajemství | součást testu |
Test ověřuje místa, kde aplikace rozhoduje o přístupu
Zaměřujeme se na to, kdo smí vidět jaká data a spouštět jaké funkce. Pracujeme ručně a s účty v rolích, které vaše aplikace skutečně používá. Nástroje nám pomáhají s mapováním, závažnost a zneužitelnost ale posuzujeme sami v kontextu vaší aplikace.
- Přihlášení, obnova hesla, vícefaktorové ověření a správa relací.
- Oddělení rolí, uživatelů a případně tenantů u každé relevantní operace.
- Zpracování vstupů: injekce, cross-site scripting, nahrávání souborů a přesměrování.
- Obchodní procesy, jejich pořadí, limity a souběžné požadavky.
- Konfigurace aplikace a serveru, bezpečnostní hlavičky, chybová hlášení a vystavené komponenty.
Průběh je předem dohodnutý a kdykoli zastavitelný
Před začátkem potvrdíme písemnou autorizaci a pravidla testu (Rules of Engagement): adresy a prostředí v rozsahu, testovací účty, časová okna, zakázané techniky a kontakty pro eskalaci. Doporučujeme testovací prostředí, které produkci věrně odpovídá. Produkci testujeme jen po výslovné dohodě.
Postup vychází z testovacích postupů OWASP WSTG. Pokud potřebujete pokrytí vztáhnout ke kontrolním požadavkům, můžeme ho dohodnout podle OWASP ASVS. Oba dokumenty používáme jako metodický rámec, nikoli jako certifikaci nebo záruku úplného pokrytí.
Ruční testování
Ověření slabin a jejich možného řetězení s minimálním zásahem do dat a provozu.
Průběžná eskalace
Kritické zjištění oznámíme podle dohodnutého postupu, nečeká na závěrečný report.
Typické kategorie nálezů
Kategorie odpovídají běžně známým třídám slabin, jak je shrnuje například OWASP Top 10. Seznam neříká, co u vás najdeme, ale kam se při testu díváme.
Řízení přístupu
Přístup k cizím záznamům změnou identifikátoru, chybějící kontrola role na serveru, eskalace oprávnění.
Autentizace a relace
Slabá obnova hesla, obejitelné vícefaktorové ověření, relace platné i po odhlášení.
Injekce a vstupy
SQL a jiné injekce, cross-site scripting, nebezpečné nahrávání souborů, server-side request forgery.
Obchodní logika
Přeskočení kroku procesu, opakované uplatnění výhody, souběh požadavků, obejití limitů.
Konfigurace
Podrobná chybová hlášení, chybějící bezpečnostní hlavičky, vystavená správa nebo zastaralé komponenty.
Report, podle kterého lze rovnou opravovat
Výsledky můžeme po předání projít s vašimi vývojáři. Retest opravených nálezů je součástí jen tehdy, pokud ho uvádí nabídka.
- Shrnutí pro vedení: hlavní rizika, jejich dopad a doporučené priority.
- Technický popis každého nálezu s kroky reprodukce a důkazy bez zbytečných citlivých údajů.
- Zdůvodněnou závažnost v kontextu vaší aplikace, ne jen automatické skóre.
- Doporučenou opravu a odkaz na související třídu slabiny, například podle CWE.
- Rozsah, předpoklady a omezení testu, aby bylo jasné, co ověřeno nebylo.
Co od vás potřebujeme a kde test končí
Pro návrh rozsahu stačí popis aplikace, počet rolí, hlavní procesy, technologie a termín. Pro samotný test potřebujeme přístup do dohodnutého prostředí, testovací účty pro každou roli a kontakt na technickou osobu.
Test je omezený časem, rozsahem a dodanými podklady. Snižuje nejistotu a pomáhá stanovit priority, ale nemůže prokázat, že aplikace neobsahuje žádné další chyby.
