Mapovanie
Funkcie, roly, vstupné body a toky údajov. Ujasníme si, čo je pre vás najcitlivejšie.
Kde má test webovej aplikácie ťažisko
Orientačný pohľad, nie meranie: 3 hlavná oblasť testu, 2 bežná súčasť, 1 kontext alebo podľa rozsahu, 0 mimo bežného rozsahu.
| Oblasť | Úroveň |
|---|---|
| Autentifikácia a relácie | hlavné zameranie |
| Autorizácia a oprávnenia | hlavné zameranie |
| Vstupy a injekcie | hlavné zameranie |
| Obchodná logika | hlavné zameranie |
| Konfigurácia a expozícia | súčasť testu |
| Údaje a tajomstvá | súčasť testu |
Test overuje miesta, kde aplikácia rozhoduje o prístupe
Zameriavame sa na to, kto smie vidieť aké údaje a spúšťať aké funkcie. Pracujeme manuálne a s účtami v rolách, ktoré vaša aplikácia skutočne používa. Nástroje nám pomáhajú s mapovaním, závažnosť a zneužiteľnosť však posudzujeme sami v kontexte vašej aplikácie.
- Prihlásenie, obnova hesla, viacfaktorové overenie a správa relácií.
- Oddelenie rolí, používateľov a prípadne tenantov pri každej relevantnej operácii.
- Spracovanie vstupov: injekcie, cross-site scripting, nahrávanie súborov a presmerovania.
- Obchodné procesy, ich poradie, limity a súbežné požiadavky.
- Konfigurácia aplikácie a servera, bezpečnostné hlavičky, chybové hlásenia a vystavené komponenty.
Priebeh je vopred dohodnutý a kedykoľvek zastaviteľný
Pred začiatkom potvrdíme písomnú autorizáciu a pravidlá testu (Rules of Engagement): adresy a prostredia v rozsahu, testovacie účty, časové okná, zakázané techniky a kontakty na eskaláciu. Odporúčame testovacie prostredie, ktoré verne zodpovedá produkcii. Produkciu testujeme iba po výslovnej dohode.
Postup vychádza z testovacích postupov OWASP WSTG. Ak potrebujete pokrytie vzťahovať ku kontrolným požiadavkám, môžeme ho dohodnúť podľa OWASP ASVS. Oba dokumenty používame ako metodický rámec, nie ako certifikáciu ani záruku úplného pokrytia.
Manuálne testovanie
Overenie slabín a ich možného reťazenia s minimálnym zásahom do údajov a prevádzky.
Priebežná eskalácia
Kritické zistenie oznámime podľa dohodnutého postupu, nečaká na záverečný report.
Typické kategórie zistení
Kategórie zodpovedajú bežne známym triedam slabín, ako ich zhŕňa napríklad OWASP Top 10. Zoznam nehovorí, čo u vás nájdeme, ale kam sa pri teste pozeráme.
Riadenie prístupu
Prístup k cudzím záznamom zmenou identifikátora, chýbajúca kontrola roly na serveri, eskalácia oprávnení.
Autentifikácia a relácie
Slabá obnova hesla, obíditeľné viacfaktorové overenie, relácie platné aj po odhlásení.
Injekcie a vstupy
SQL a iné injekcie, cross-site scripting, nebezpečné nahrávanie súborov, server-side request forgery.
Obchodná logika
Preskočenie kroku procesu, opakované uplatnenie výhody, súbeh požiadaviek, obídenie limitov.
Konfigurácia
Podrobné chybové hlásenia, chýbajúce bezpečnostné hlavičky, vystavená správa alebo zastarané komponenty.
Report, podľa ktorého sa dá rovno opravovať
Výsledky môžeme po odovzdaní prejsť s vašimi vývojármi. Retest opravených zistení je súčasťou iba vtedy, ak ho uvádza ponuka.
- Zhrnutie pre vedenie: hlavné riziká, ich dopad a odporúčané priority.
- Technický opis každého zistenia s krokmi reprodukcie a dôkazmi bez zbytočných citlivých údajov.
- Zdôvodnenú závažnosť v kontexte vašej aplikácie, nie len automatické skóre.
- Odporúčanú opravu a odkaz na súvisiacu triedu slabiny, napríklad podľa CWE.
- Rozsah, predpoklady a obmedzenia testu, aby bolo jasné, čo sa neoverovalo.
Čo od vás potrebujeme a kde test končí
Na návrh rozsahu stačí opis aplikácie, počet rolí, hlavné procesy, technológie a termín. Na samotný test potrebujeme prístup do dohodnutého prostredia, testovacie účty pre každú rolu a kontakt na technickú osobu.
Test je obmedzený časom, rozsahom a dodanými podkladmi. Znižuje neistotu a pomáha stanoviť priority, ale nemôže preukázať, že aplikácia neobsahuje žiadne ďalšie chyby.
