Die meisten Einbrüche in Webanwendungen beginnen nicht mit einem exotischen Exploit, sondern mit einer Anfrage, die die Anwendung hätte ablehnen müssen: die Rechnung eines anderen Kunden, ein unterwegs geänderter Preis, ein Zurücksetzen des Passworts, das dem falschen Header vertraut. Scanner übersehen diese Fehler, weil sie nicht wissen, wozu die Anwendung da ist.
Wir testen als angemeldete Benutzer jeder Rolle, erfassen, was jede Rolle erreichen kann, und versuchen dann, jede Grenze zwischen den Rollen zu überschreiten. Automatisierte Werkzeuge decken die bekannten Klassen ab. Die Zeit der Spezialisten fließt in Logik, Zugriffskontrolle und Ketten kleiner Schwächen, die zusammen zu einer Kompromittierung führen.
01Umfang
Was wir testen
Authentifizierung, Sitzungen, Passwort-Wiederherstellung und Multi-Faktor-Authentifizierung
Horizontale und vertikale Zugriffskontrolle, Mandantentrennung
Wir erstellen eine Karte der Rollen, Funktionen, Datenflüsse und Einstiegspunkte, einschließlich der Teile der Anwendung, auf die die Oberfläche nicht verlinkt.
02
Automatisierte Grundabdeckung
Scanner und unsere eigenen Werkzeuge decken bekannte Schwachstellenklassen ab, damit keine manuelle Zeit auf das entfällt, was eine Maschine finden kann.
03
Manuelle Tests
Jede Funktion wird von Hand gegen die einschlägigen Testfälle des OWASP WSTG getestet, mit dem Schwerpunkt auf Zugriffskontrolle und Geschäftslogik.
04
Ausnutzung und Verkettung
Eine Schwäche wird bis zur vereinbarten Tiefe ausgenutzt, um die tatsächliche Auswirkung nachzuweisen, und mit anderen kombiniert, wo das weiterführt.
Klasse der Schwäche, die jedem Befund zugrunde liegt.
The MITRE Corporation
06Fragen
Fragen zu dieser Leistung
Black Box, Grey Box oder White Box?
Standardmäßig Grey Box: Wir arbeiten mit Konten und Dokumentation, weil sich so in der verfügbaren Zeit am meisten finden lässt. Black Box ist angebracht, wenn Sie messen wollen, was ein Außenstehender ohne jede Information erreicht. White Box nimmt den Quellcode hinzu und ist unter „Quellcode-Review“ beschrieben.
Testen Sie in der Produktivumgebung?
Wir bevorzugen eine Umgebung, die der Produktivumgebung entspricht. Gibt es nur die Produktivumgebung, vereinbaren wir Testzeitfenster, vermeiden zerstörerische Aktionen und arbeiten mit eigenen Testdaten.
Reicht ein Schwachstellenscanner nicht aus?
Ein Scanner findet bekannte Muster in einzelnen Anfragen. Er weiß nicht, dass ein Kunde die Bestellungen eines anderen nicht sehen darf oder dass ein Rabatt nicht zweimal angewendet werden darf. Solche Fehler finden Menschen, die die Anwendung verstehen.