APPSEC
CZ SK EN
TESTOVANIE A ANALÝZY / POHĽAD ÚTOČNÍKA

Testovanie a analýzy

Nájdite slabé miesta skôr, ako ich zneužije niekto iný. Autorizovaný test nahradí domnienky o bezpečnosti overenými faktami a jasnými prioritami.

OD TESTU K NÁPRAVE

Overiť slabinu. Ukázať dopad. Odporučiť nápravu.

Aplikácia Rozhranie API Firemné dáta Výsledok testu Overená cesta k dátam Dôkaz: prístup cez API Dopad: dostupné dáta Náprava: kontrola oprávnení
  1. Preveriť prostredie
  2. Preukázať dopad
  3. Odporučiť nápravu
Overená cesta → dopad na dáta → konkrétne odporúčanie.

V ukážke chyba oprávnení v API sprístupní dáta. Test doloží postup a dopad; analýza kódu pomôže určiť príčinu a vhodnú opravu. Rozsah metód dohodneme vopred.

Cieľ
Overiť skutočné riziká aplikácií, softvéru a infraštruktúry.
Princíp
Písomná autorizácia, dohodnutý rozsah a bezpečné pravidlá testu.
Čo dostanete
Dôkaz, dopad, priorita a odporúčaná náprava pri každom zistení.
Služby

Tri služby podľa toho, čo potrebujete overiť.

Blackhat test

Celkový obraz hlavných technických aj organizačných slabín z pohľadu útočníka.

Typická situáciaPotrebujeme celkový obraz

Detail služby

Penetračné testy

Hĺbkové overenie, čo sa dá zneužiť v konkrétnej aplikácii, API alebo infraštruktúre.

Typická situáciaMáme konkrétny cieľ

Detail služby

Bezpečnostná analýza softvéru

Architektúra, zdrojový kód, závislosti a správanie aplikácie. Výstupy pre vývojárov.

Typická situáciaVyvíjame vlastný softvér

Detail služby
UKÁŽKA VÝSTUPU

Zistenie, s ktorým môže váš tím hneď pracovať

Každé zistenie opisuje dopad, dôkaz a odporúčanú nápravu tak, aby mu rozumel vývojár aj vedenie.

UKÁŽKOVÉ ZISTENIE Závažnosť: vysoká

Prístup k objednávkam iných zákazníkov cez API

Dotknuté aktívum
API objednávok, endpoint /api/orders/{id}
Dopad
Prihlásený používateľ zmenou čísla objednávky číta údaje iných zákazníkov.
Dôkaz
Reprodukčné kroky a skrátená požiadavka a odpoveď bez citlivých údajov.
Odporúčanie
Na serveri overovať vlastníctvo záznamu pri každej požiadavke.
Overenie
Retest opravy podľa dohodnutého rozsahu ponuky.
# prihlásený ako účet A
GET /api/orders/1044 HTTP/1.1
Authorization: Bearer ••••••••

HTTP/1.1 200 OK
{ "order": 1044, "owner": "účet B" }

OD ZISTENIA K OCHRANE

Jedna aplikácia. Dve perspektívy.

Test preukáže, kadiaľ možno obísť pravidlá. Obranný pohľad určí, kde túto cestu zastaviť a ako overiť účinok opravy.

Zistenie: prístup k cudzím dátam Náprava: kontrola oprávnení

  1. Vstupy a API

    Požiadavka prichádza z aplikácie alebo integrácie.

  2. Identita a oprávnenia

    Server overuje používateľa a jeho prístup k dátam.

  3. Služby a logika

    Pravidlá určujú, ktoré operácie môžu prebehnúť.

  4. Dáta a integrácie

    Úložisko vracia dáta v povolenom rozsahu.

Autorizovaný test

Preukázať cestu k slabine

V ukážke používateľ získa dáta, ktoré mu nepatria. Test doloží postup, miesto chýbajúcej kontroly aj skutočný dopad.

Cielená ochrana

Zastaviť nepovolenú požiadavku

Server overí oprávnenia skôr, než požiadavka dôjde k dátam. Účinok nápravy možno overiť retestom v dohodnutom rozsahu.

Postup

Od prvej otázky k použiteľnému výsledku.

  1. 01

    Pochopíme situáciu

    Čo chcete zistiť alebo vyriešiť, aké máte prostredie a aké obmedzenia.

  2. 02

    Vymedzíme zadanie

    Rozsah, pravidlá, zodpovednosti a výstupy. Pri teste písomnú autorizáciu, pri technológii pilot.

  3. 03

    Pustíme sa do práce

    Vykonáme test, analýzu alebo nasadenie. Kritické zistenia hlásime hneď podľa dohody.

  4. 04

    Odovzdáme výstupy

    Zhrnutie pre vedenie, technické podrobnosti pre tím a odporúčané ďalšie kroky.

Časté otázky

Čo je dobré vedieť vopred.

Je testovanie legálne a bezpečné?

Testujeme iba s písomnou autorizáciou a vo vopred dohodnutom rozsahu. Pravidlá určujú povolené ciele, techniky, čas, kontakty a postup okamžitého zastavenia.

Dostaneme len zoznam chýb?

Nie. Pri každom zistení dostanete dôkaz, dopad, prioritu a odporúčanú nápravu. Vedenie navyše zhrnutie, technický tím podrobnosti.

Musíme potom kúpiť technológiu?

Nie. Výsledky testu nie sú viazané na nákup produktu. Ak budete chcieť pomoc s nápravou alebo obranou, dohodneme ju samostatne.

NEZÁVÄZNÝ PRVÝ ROZHOVOR

Neviete, kde začať? Opíšte nám situáciu.

Nemusíte vedieť, či potrebujete test, technológiu alebo konzultáciu. Podľa opisu situácie navrhneme vhodný ďalší krok.

Dohodnúť konzultáciu