01 / Rozsah
Dohodneme ciele a bezpečný postup
Ciele, identity, časové okná a zakázané akcie určíme ešte pred začatím autorizovaného testu.
Autorizovaný penetračný test
Dôkaz vo vopred dohodnutom rozsahu
Test má jasné hranice a každé zistenie doložený dôkaz. Retest po oprave môže nadviazať, ak je súčasťou ponuky.
02 / Dôkaz
Zdokumentujeme overiteľný výsledok
Každé zistenie spája podmienky, kroky a minimálny dôkaz s dopadom. Nejde o nepretržitý útok.
03 / Retest
Po oprave môže nadviazať retest
Ak je retest súčasťou zadania, overí pôvodné podmienky a pomenuje prípadné zostávajúce riziko alebo nové obmedzenie.
Prístup k objednávkam iných zákazníkov cez API
- Dotknuté aktívum
- API objednávok, endpoint /api/orders/{id}
- Dopad
- Prihlásený používateľ zmenou čísla objednávky číta údaje iných zákazníkov.
- Dôkaz
- Reprodukčné kroky a skrátená požiadavka a odpoveď bez citlivých údajov.
- Odporúčanie
- Na serveri overovať vlastníctvo záznamu pri každej požiadavke.
- Overenie
- Retest opravy podľa dohodnutého rozsahu ponuky.
# prihlásený ako účet A
GET /api/orders/1044 HTTP/1.1
Authorization: Bearer ••••••••
HTTP/1.1 200 OK
{ "order": 1044, "owner": "účet B" }Manuálne overenie, nie len výstup skenera
Penetračný test je autorizovaná a riadená simulácia postupu útočníka. Nástroje nám pomáhajú s mapovaním, ale závažnosť a zneužiteľnosť každého zistenia posudzujeme manuálne v kontexte vášho prostredia.
Testovať môžeme webové aplikácie, API aj infraštruktúru. Pri aplikáciách sa zameriavame na prihlasovanie, oprávnenia, správu relácií a obchodnú logiku. Pri infraštruktúre najprv rozlíšime pohľad zvonka a zvnútra siete.
- Presne vymedzené ciele, roly, prostredie a výnimky.
- Manuálne overenie významných zistení a ich možného reťazenia.
- Bezpečné preukázanie dopadu s minimálnym zásahom do údajov a prevádzky.
- Výstup, podľa ktorého sa dá opravovať, nie len bodové skóre.
Metodika ako rámec, rozsah ako konkrétny záväzok
Pri návrhu testu vychádzame z OWASP, PTES a OSSTMM. Používame ich ako metodické rámce, nie ako certifikáciu ani sľub úplného pokrytia.
Pri webových aplikáciách môžeme pokrytie dohodnúť podľa kontrolného rámca OWASP ASVS a testovacích postupov OWASP WSTG. Skutočný rozsah, výnimky a obmedzenia vždy uvedieme v zadaní.
Príprava
Rozsah, technické predpoklady, autorizácia, kontakty a pravidlá testu (Rules of Engagement).
Realizácia
Testovanie v dohodnutých hraniciach, dokumentácia dôkazov a eskalácia podľa zadania.
Odovzdanie
Report, vysvetlenie zistení, priority a odporúčané opravy pre technický tím.
Overenie
Voliteľný retest pôvodných zistení v dohodnutom rozsahu a termíne.
Čo obsahuje použiteľný report
- Rozsah, termín, predpoklady a obmedzenia testu.
- Zhrnutie dopadov a priorít pre vedenie.
- Dotknuté aktíva, kroky reprodukcie a dôkazy bez zbytočných citlivých údajov.
- Zdôvodnenú závažnosť v kontexte, nie len automatické skóre.
- Odporúčanú opravu a pri reteste aktuálny stav každého zistenia.
Čo ovplyvňuje rozsah a cenu
Rozhoduje počet a zložitosť cieľov, používateľských rolí, API operácií, IP adries a obchodných procesov. Úlohu zohráva aj dostupné testovacie prostredie, množstvo informácií, ktoré nám poskytnete, a požadovaná forma výstupu.
Cenu a termín preto stanovíme pre váš konkrétny scenár. Univerzálny balík bez opisu rozsahu neponúkame.
