Cloud, QA & siguria

Testim depërtimi: gjeni dobësitë para se t'i gjejnë sulmuesit

Gjethe kryen teste depërtimi të autorizuara në faqe interneti, aplikacione web, API, aplikacione mobile dhe rrjete. Dakordësojmë shtrirjen me shkrim, testojmë manualisht me metoda të njohura dhe dorëzojmë një raport që e rendit çdo gjetje sipas rrezikut, shpjegon si rregullohet dhe i konfirmon rregullimet në një ritestim.

Rezervoni një konsultim falasKërkoni një ofertë
  • Konsultim i parë falas
  • Ofertë me shkrim për projektin tuaj
  • Faza pagese fleksibile

Me një shikim

Objektivat
Aplikacione uebi, API, aplikacione mobile, rrjete, cloud
Qasja
Black, grey ose white box, të rënë dakord me ju
Metoda
OWASP, PTES dhe NIST SP 800-115
Rezultati
Raport i renditur sipas rrezikut, rregullime e një ritestim

Përkufizim

Çfarë është testimi i penetrimit?

Penetration test është një sulm i simuluar e i autorizuar ndaj një sistemi për të gjetur dobësi sigurie, për të matur ndikimin e tyre real e për të rekomanduar si rregullohen, i kryer me lejen me shkrim të pronarit e brenda një fushe të rënë dakord.

Skanerët automatikë gjejnë modele të njohura. Sulmuesit realë kombinojnë dobësi të vogla, hetojnë logjikën e biznesit dhe vazhdojnë kur ideja e parë dështon. Një penetration test bën të njëjtën gjë, me lejen tuaj e brenda kufijve të rënë dakord, që të mësoni çfarë ka rëndësi: nëse dikush mund të arrijë te të dhënat e klientëve, qasja e administratorit, rrjedhat e pagesave ose sistemet e brendshme. Rezultati është një listë e prioritizuar problemesh reale mbi të cilat mund të veproni, jo një grumbull zhurme skaneri, plus sigurinë që vjen nga kontrolli.

Për kë është?

  • Ekipe SaaS dhe aplikacionesh uebi

    Para një nisjeje, një publikimi të madh ose një shqyrtimi sigurie nga klienti, ju duhet provë që produkti qëndron.

  • Kompani që përgjigjen pyetësorëve të sigurisë

    Klientët e mëdhenj e partnerët kërkojnë gjithnjë e më shpesh një raport të fundit penetration testing para se të nënshkruajnë.

  • Biznese që trajtojnë të dhëna të ndjeshme

    Të dhënat shëndetësore, financiare, ligjore e personale e rrisin rrezikun; testimi i rregullt tregon ku mbrojtja është e hollë.

  • Startup-e që përgatiten për t'u shkallëzuar

    Rregullimi i problemeve strukturore të sigurisë herët është shumë më i lirë se rregullimi pasi klientët varen nga produkti.

Çfarë përfshihet dhe çfarë mbani ju

Çfarë përfshihet

  • Thirrje përcaktimi fushe dhe rregulla angazhimi me shkrim
  • Autorizim i nënshkruar para se të nisë çdo testim
  • Hartëzim i sipërfaqes së sulmit të objektivave të rëna dakord
  • Skanim automatik për bazat e njohura
  • Testim manual i autentikimit e sesioneve
  • Testim i kontrollit të qasjes e lejeve
  • Testim i trajtimit të hyrjeve e injektimit
  • Testim i abuzimit të logjikës së biznesit e rrjedhave të punës
  • Verifikim i kujdesshëm për të konfirmuar ndikimin real
  • Përmbledhje ekzekutive për menaxhmentin
  • Gjetje teknike me prova e rregullime
  • Ritestim i gjetjeve të rregulluara dhe raport i përditësuar

Çfarë merrni

Dorëzohet në fund. Mbetet e juaja.

  • Raport testi depërtimi me vlerësime rreziku
  • Përmbledhje ekzekutive në gjuhë të thjeshtë
  • Përshkrim i qartë i çdo gjetjeje të konfirmuar
  • Rekomandim rregullimi për çdo gjetje
  • Rezultatet e ritestimit dhe raporti përfundimtar

Black box, grey box apo white box?

QasjaNga çfarë nisimMë i mirë për
Black boxVetëm adresa e objektivit, si një sulmues i jashtëmShohim çfarë është i ekspozuar në internet
Grey boxLlogari përdoruesish për çdo rol dhe dokumentim bazëShumica e aplikacioneve të uebit e API-ve: realiste e efikase
White boxLlogari, dokumentim dhe qasje te kodi burimorMbulim i thellë i sistemeve kritike

Si zhvillohet një penetration test

  1. 01

    Fusha e punës

    Bien dakord për objektivat, llogaritë e testimit, teknikat e lejuara, dritaret e testimit e kontaktet emergjente.

  2. 02

    Autorizoni

    Nënshkruani lejen me shkrim; për sistemet e hostuara kontrollojmë edhe politikën e testimit të ofruesit.

  3. 03

    Hartë

    Hartëzojmë aplikacionin, endpoint-et, rolet dhe çdo gjë të ekspozuar që mund të mos e dini.

  4. 04

    Testoni

    Testim manual i udhëhequr nga OWASP e PTES, me automatizim vetëm ku shton mbulim.

  5. 05

    Raportoni

    Gjetje të renditura sipas rrezikut, me prova, ndikim biznesi e udhëzime të qarta për t'i rregulluar.

  6. 06

    Ritestoni

    Kur t'i keni rregulluar problemet, e konfirmojmë çdo rregullim e përditësojmë raportin.

Çfarë e bën një penetration test të dobishëm

Një test i dobishëm përcaktohet rreth asaj që ka rëndësi për biznesin. Kontrolli i çdo nëndomeni të harruar duke anashkaluar rrjedhën e pagesës prodhon një raport të gjatë e pak siguri. Fillojmë duke pyetur cilat të dhëna e veprime do të dëmtonin më shumë nëse i arrinte një sulmues, pastaj sigurojmë që ato shtigje të marrin më shumë vëmendje.

Një raport i dobishëm është gjithashtu i lexueshëm. Çdo gjetje shpjegon çfarë ishte e mundur, çfarë mund të fitonte një sulmues, sa e mundshme është e si rregullohet saktësisht, me referenca që zhvilluesit tuaj mund t'i ndjekin. Menaxhmenti merr një përmbledhje të shkurtër të rrezikut të përgjithshëm e vendimeve që duhen marrë.

Së fundi, një test vlen vetëm kur gjetjet rregullohen. Prandaj ritestimi është pjesë e çdo angazhimi, e prandaj, si ekip zhvillimi, mund të ndihmojmë edhe njerëzit tuaj t'i rregullojnë problemet, në vend që t'ju lëmë me një listë.

Si funksionon testimi i depërtimit, hap pas hapi

Çdo hap ka një rezultat të qartë që mund ta shqyrtoni. Afatet dakordësohen në ofertën tuaj.

  1. 1

    Thirrja e përcaktimit të shtrirjes

    Objektivat, qëllimet, kufizimet dhe qasja e duhur e testimit dakordësohen së bashku.

  2. 2

    Rregullat e angazhimit

    Shtrirja, dritaret kohore, llogaritë dhe kontaktet emergjente shkruhen dhe nënshkruhen.

  3. 3

    Testimi

    Hartëzim, skanim dhe testim manual vetëm kundër objektivave të dakordësuar.

  4. 4

    Raportimi

    Gjetjet renditen sipas rrezikut, me prova dhe udhëzime për rregullim.

  5. 5

    Debrifimi

    Një thirrje për ta përshkuar ekipin tuaj nëpër gjetjet dhe përparësitë.

  6. 6

    Ritestoni

    Rregullimet verifikohen dhe lëshohet raporti përfundimtar.

Mjetet dhe çfarë e formëson ofertën tuaj

Çmimi bazohet në projektin tuaj dhe bihet dakord në ofertën tuaj. Këto janë gjërat që e lëvizin atë.

Penetration testing: faktorët e çmimit
FaktoriPse ka rëndësi
Numri e madhësia e objektivaveNjë faqe e vetme marketingu testohet më shpejt se disa aplikacione, API e rrjete.
Numri i roleve të përdoruesveÇdo rol duhet testuar për atë që sheh e bën, ndaj më shumë role nënkuptojnë më shumë raste testimi.
Qasja e testimitTestimi white box me kod burimor shkon më thellë e kërkon më shumë përpjekje se black box.
Kompleksiteti i logjikës së biznesitPagesat, miratimet dhe rrjedhat shumëhapëshe kërkojnë testim manual të kujdesshëm.
Kufizime e dritare kohoreTestimi jashtë orarit ose sistemet e prodhimit të brishta kërkojnë më shumë koordinim.

Gabime të zakonshme që duhen shmangur

Çfarë shohim që shkon keq më shpesh dhe si e shmang një projekt i mirë.

  • Trajtimi i një skanimi si test depërtimi

    Skanimet e automatizuara humbasin gabime logjike dhe probleme të kontrollit të aksesit, që shpesh janë gjetjet më serioze.

  • Lënia jashtë e pjesëve të rëndësishme

    Përjashtimi i hyrjes, pagesave ose zonës së administrimit për të shmangur rrezikun i lë të patestuara objektivat më të vlefshme.

  • Testim një herë dhe asnjëherë më

    Çdo publikim e ndryshon sipërfaqen e sulmit. Testoni pas ndryshimeve të mëdha dhe në intervale të rregullta.

  • Arkivimi i raportit

    Një raport me gjetje kritike të parregulluara është një regjistër i rrezikut të njohur, jo mbrojtje.

Pyetje të shpeshta

A është ligjor penetration testing?

Po, kur pronari i sistemit jep leje me shkrim e fusha bihet dakord. Nuk nisim kurrë testimin pa autorizim të nënshkruar dhe testojmë vetëm atë që është brenda fushës.

A do ta prishë testimi sistemin tonë live?

Testojmë me kujdes, shmangim veprimet shkatërruese përveç nëse bihet dakord posaçërisht dhe mund të punojmë kundër një mjedisi staging që pasqyron prodhimin. Biem dakord për kontakte emergjente në rast se ndodh diçka e papritur.

Cili është ndryshimi mes një skanimi vulnerabiliteti dhe një penetration test?

Skanimi është automatik e liston probleme të njohura. Penetration test shton punë manuale nga një testues që verifikon gjetjet, kombinon dobësitë dhe kontrollon logjikën e biznesit që skanerët nuk e kuptojnë.

Sa shpesh duhet të testojmë?

Të paktën një herë në vit e pas ndryshimeve të mëdha, si produkt i ri, publikim i madh, konfigurim i ri hostimi ose bashkim sistemesh.

A përfshihet ritestimi?

Po. Pasi të rregulloni gjetjet, i ritestojmë e lëshojmë raport të përditësuar që tregon çfarë është zgjidhur.

A mund të na ndihmoni ta rregullojmë atë që gjeni?

Po. Zhvilluesit tanë mund t'i zbatojnë rregullimet në kodin e konfigurimin tuaj, ose ta mbështesin ekipin tuaj me udhëzime e rishikim.

A do t'i plotësojë raporti pyetësorët e sigurisë të klientëve tanë?

Raporti dokumenton fushën, metodën, gjetjet e rregullimet, që është ajo që kërkojnë zakonisht klientët. Nëse një klient kërkon testues me akreditim të veçantë, konfirmojeni atë kërkesë me të para se të nisim.

A nënshkruani NDA?

Po. Gjetjet janë konfidenciale, raporti ndahet vetëm me kontaktet që emëroni dhe të dhënat e testimit hiqen në fund të angazhimit.

A mund ta testoni edhe konfigurimin tonë cloud?

Po, brenda rregullave të ofruesit të cloud-it. Vlerësimi ynë i sigurisë cloud shqyrton konfigurimin e AWS, Azure dhe Google Cloud.

Çfarë na duhet nga ju për të filluar?

Objektivat, llogaritë e testimit për çdo rol, çdo dokumentim që keni, dritaret e preferuara të testimit e një kontakt të emëruar gjatë testimit.

A mund të testoni një aplikacion mobil e backend-in e tij?

Po. Shikojmë si i ruan aplikacioni të dhënat në pajisje, si komunikon me backend-in e nëse backend-i mbrohet nga kërkesa që aplikacioni nuk do t'i dërgonte kurrë normalisht.

Shërbime të ngjashme

Të gjitha shërbimet e cloud-it, QA & sigurisë

Lexim i mëtejshëm

Të gjithë udhëzuesit

Testimi i depërtimit sipas industrisë

Testoni sigurinë tuaj para se ta bëjnë sulmuesit.

Na tregoni çfarë ju duhet. Merrni një vlerësim të sinqertë, një plan të qartë dhe një ofertë me shkrim. Konsultimi i parë është gjithmonë falas.

Rezervoni një konsultim falasKërkoni një ofertë
  1. Çfarë ndodh më pas
  2. 1Na tregoni çfarë ju nevojitet
  3. 2Synojmë t'ju përgjigjemi brenda 24 orëve me pyetje
  4. 3Merrni një ofertë me shkrim për projektin tuaj