Тестування на проникнення: проводимо аудит безпеки вашого продукту методами справжнього зловмисника, з вашого письмового дозволу. Потім показуємо, куди дістались і наскільки це серйозно, та даємо рекомендації щодо усунення кожної вразливості.
Звіт, за яким можуть працювати розробники і який зрозуміє керівництво. Нижче вигаданий приклад.
billing.example.com
Вебзастосунок і API, дві ролі
Сторінка простою мовою для керівництва. Далі технічні деталі для розробників.
Як ми туди дістались
Що це означає
Будь-хто з акаунтом бачить імена, адреси й суми всіх клієнтів і може їх редагувати.
Рекомендація
Додати на сервері перевірку авторизації: рахунок має належати цьому акаунту, при кожному читанні й записі.
Фіксована ціна після безкоштовної розмови про обсяг. Один ретест виправлень входить у вартість.
Ми заздалегідь домовляємось, чого не чіпаємо, і не робимо тестів на відмову в обслуговуванні. Де можливо, тестуємо на копії. Якщо під час тесту щось виглядає небезпечно, зупиняємось і телефонуємо вам.
Ні. Зазвичай просимо тестовий акаунт на кожну роль: це ближче до того, що має справжній клієнт чи зловмисник. З доступом до коду за той самий час заходимо глибше.
Сам тест ні. PCI DSS прямо вимагає пентестів, а аудитори SOC 2 чи ISO 27001 і великі клієнти часто їх очікують. Наш звіт для них доказ. Ми нічого не сертифікуємо.
Так, як перевірку перед релізом. Якщо аудитор чи клієнт вимагає незалежного тесту, ми про це скажемо, і для нього варто взяти іншу компанію.
Так. Ми щодня пишемо софт, тож звіт може взяти ваша команда, або виправлення зробимо ми окремою роботою. Ретест входить у будь-якому разі.
Підписаний дозвіл від власника системи, список того, що тестуємо, і тестові акаунти. Ми тестуємо лише системи, які належать вам або які вам дозволено перевіряти.