Enamik veebirakendustesse sissemurdmisi ei alga eksootilisest ründekoodist. Need algavad päringust, mille rakendus oleks pidanud tagasi lükkama: teise kliendi arve, teel muudetud hind, parooli lähtestamine, mis usaldab vale päist. Skannerid jätavad sellised vead märkamata, sest nad ei tea, milleks rakendus on mõeldud.
Testime iga rolli sisselogitud kasutajana, kaardistame, millele iga roll ligi pääseb, ja püüame seejärel ületada kõik piirid nende vahel. Automaatsed tööriistad katavad teadaolevad turvanõrkuste klassid. Spetsialistide aeg läheb loogikale, juurdepääsukontrollile ja väikeste nõrkuste ahelatele, mis kokku viivad süsteemi ülevõtmiseni.
01Ulatus
Mida me testime
Autentimine, seansid, parooli taastamine ja mitmeastmeline autentimine
Horisontaalne ja vertikaalne juurdepääsukontroll, kliendikeskkondade eraldatus
Ühekordse sisselogimise vood: SAML, OAuth 2.0 ja OpenID Connect
Tokenid ja allkirjastatud URL-id: JWT käsitlemine, aegumine, tühistamine
Seadistus: turvapäised, TLS, vigade käsitlemine, avatud liidesed
02Lähenemisviis
Kuidas töö käib
01
Kaardistamine
Koostame rollide, funktsioonide, andmevoogude ja sisendpunktide kaardi, sealhulgas nende rakenduse osade kohta, millele kasutajaliidesest ei ole linki.
02
Automaatne eelkontroll
Skannerid ja meie oma tööriistad katavad teadaolevad turvanõrkuste klassid, et käsitsi testimise aega ei kuluks sellele, mida masin leiab.
03
Käsitsi testimine
Iga funktsiooni testitakse käsitsi asjakohaste OWASP WSTG testjuhtumite järgi, rõhuasetusega juurdepääsukontrollil ja äriloogikal.
04
Ärakasutamine ja aheldamine
Nõrkust kasutatakse ära kokkulepitud sügavuseni, et tõendada tegelikku mõju, ja see ühendatakse teistega, kui nii jõuab kaugemale.
Vaikimisi halli kasti meetod: töötame kontode ja dokumentatsiooniga, sest nii leiame olemasoleva aja jooksul kõige rohkem. Musta kasti meetod sobib, kui soovite mõõta, mida saavutab kõrvaline isik ilma igasuguse teabeta. Valge kasti meetod lisab lähtekoodi ja seda kirjeldab teenus „Lähtekoodi turvaülevaatus“.
Kas testite toodangukeskkonnas?
Eelistame keskkonda, mis vastab toodangukeskkonnale. Kui on olemas ainult toodangukeskkond, lepime kokku testimisaknad, väldime hävitavaid toiminguid ja kasutame oma testandmeid.
Kas turvanõrkuste skannerist ei piisa?
Skanner leiab üksikutest päringutest teadaolevaid mustreid. See ei tea, et üks klient ei tohi näha teise kliendi tellimusi või et allahindlust ei tohi rakendada kaks korda. Selliseid vigu leiavad inimesed, kes rakendust mõistavad.