Тестването на сигурността на уеб, API и мобилни приложения изследва как атакуващ би могъл да злоупотреби с логиката на приложението, интерфейсите, идентичностите, потоците от данни и контролите от страна на клиента. Услугата е предназначена за организации, които се нуждаят от експертна проверка преди пускането в експлоатация на приложенията, след голяма промяна или като част от текуща програма за увереност в приложенията.
Целта е реалистичните вериги за атака да бъдат проверени безопасно, а техническите слабости да се превърнат в приоритети за корекция.
Съгласуваме точния обхват предварително. В зависимост от целта, средата и разрешения достъп ангажиментът може да включва:
Потвърждаване на ролите, работните процеси, данните, интерфейсите, средите и ценните сценарии за злоупотреба.
Съотнасяне на относимите OWASP проверки и тестове на бизнес логиката към реалната архитектура.
Валидиране на слабостите в сървъра, клиента, API и работните процеси при контролирани условия.
Потвърждаване на експлоатируемостта, засегнатите потребители, данните и оперативните последствия.
Предоставяне на констатации, готови за разработчиците, и валидиране на коригираното поведение, където е включено.
Резултатите се изготвят както за ръководството, така и за техническите екипи, които извършват корекциите. В зависимост от обхвата те могат да включват:
Тестването се управлява чрез писмено разрешение, изрични изключения, граници за безопасност и аварийни контакти. Съществените констатации се валидират ръчно, подкрепят се с възпроизводими доказателства и се обясняват чрез реалистично въздействие, а не само чрез оценката за тежест от скенера.
Ангажиментът може да се основава на OWASP Web Security Testing Guide, OWASP API Security Top 10, OWASP ASVS, OWASP MASVS и MASTG. Когато посочваме стандарт, това обяснява единствено нашия метод — то не е сертификация, акредитация или официално решение.
Потвърждаваме графика при определянето на обхвата; той отразява сложността на средата, наличните доказателства и достъпа до подходящите хора.
Тестът покрива одобрените среди, потребителски роли и интерфейси, налични по време на оценката. Прегледът на изходния код, тестването на натоварване, работата по програма за сигурна разработка и наблюдението в продукция са отделни, освен ако не са изрично включени.
Обсъдете услугата „Тестване на сигурността на уеб, API и мобилни приложения“ с нас. В целенасочен разговор за обхвата съгласуваме целта, обхвата, доказателствата, модела на предоставяне и резултатите, след което изпращаме предложение.
Съгласуваме точния обхват предварително. Типичните области включват уеб приложения, портали и административни интерфейси, REST, GraphQL, SOAP и други разрешени API, пакети на Android и iOS приложения и поведение по време на работа, и автентикация, управление на сесиите и логика за контрол на достъпа. Предложението документира какво е извън обхвата, какъв достъп ни е нужен, какво осигурявате вие и как се измерва успехът.
Резултатите зависят от договорената цел и могат да включват обхват на теста на приложението и API, управленско обобщение на риска, подробни констатации със заявки, отговори и доказателства, и наблюдения за бизнес логиката и сценариите за злоупотреба. Свързваме всеки ключов извод с неговите доказателства, въздействие, приоритет и отговорно действие.
Разрешеното тестване може да създаде риск, ако не е добре контролирано. CTG съгласува времевите прозорци за тестване, забранените техники, условията за прекратяване и аварийните контакти преди началото на работата и използва по-рискови техники само с изрично одобрение.
Повторното тестване може да бъде включено в първоначалния обхват или възложено след корекциите. То валидира вече потвърдените констатации и тясно свързаните възможности за заобикаляне; то не представлява автоматично пълна нова оценка.
Потвърждаваме графика при определянето на обхвата; той отразява сложността на средата, наличните доказателства и достъпа до подходящите хора.
Двете услуги покриват съседни, но отделни нужди. Определянето на обхвата показва дали услугата „Тестване на сигурността на уеб, API и мобилни приложения“, „Преглед на изходен код и сигурен дизайн“ или координирана програма е най-малкият полезен подход без дублиране на работата.
Тестът покрива одобрените среди, потребителски роли и интерфейси, налични по време на оценката. Прегледът на изходния код, тестването на натоварване, работата по програма за сигурна разработка и наблюдението в продукция са отделни, освен ако не са изрично включени.
