Useimmat verkkosovelluksiin kohdistuvat tietomurrot eivät ala eksoottisesta hyödyntämistekniikasta. Ne alkavat pyynnöstä, joka sovelluksen olisi pitänyt hylätä: toisen asiakkaan lasku, matkalla muutettu hinta, salasanan palautus, joka luottaa väärään otsakkeeseen. Haavoittuvuusskannerit eivät löydä näitä puutteita, koska ne eivät tiedä, mihin sovellusta käytetään.
Testaamme kirjautuneina käyttäjinä kaikissa rooleissa, kartoitamme, mihin kukin rooli pääsee, ja yritämme sitten ylittää jokaisen roolien välisen rajan. Automaattiset työkalut kattavat tunnetut haavoittuvuusluokat. Asiantuntijoiden aika käytetään logiikkaan, pääsynhallintaan ja pienten heikkouksien ketjuihin, jotka yhdessä johtavat järjestelmän vaarantumiseen.
01Laajuus
Mitä testaamme
Tunnistautuminen, istunnot, salasanan palautus ja monivaiheinen tunnistautuminen
Vaaka- ja pystysuuntainen pääsynhallinta, asiakasympäristöjen eristys
Kertakirjautuminen: SAML-, OAuth 2.0- ja OpenID Connect -työnkulut
Tunnisteet ja allekirjoitetut URL-osoitteet: JWT-tunnisteiden käsittely, vanheneminen, mitätöinti
Konfiguraatio: tietoturvaotsakkeet, TLS, virheiden käsittely, näkyvillä olevat rajapinnat
02Toimintatapa
Miten työ tehdään
01
Kartoitus
Laadimme kartan rooleista, toiminnoista, tietovirroista ja syötekohdista, myös niistä sovelluksen osista, joihin käyttöliittymästä ei ole linkkiä.
02
Automaattinen perustaso
Skannerit ja omat työkalumme kattavat tunnetut haavoittuvuusluokat, jotta käsin tehtävän työn aikaa ei kulu siihen, minkä kone löytää.
03
Testaus käsin
Jokainen toiminto testataan käsin asiaankuuluvien OWASP WSTG -testitapausten mukaan, ja painopisteenä ovat pääsynhallinta ja liiketoimintalogiikka.
04
Hyödyntäminen ja ketjutus
Heikkoutta hyödynnetään sovittuun syvyyteen asti, jotta todellinen vaikutus voidaan osoittaa, ja se yhdistetään muihin heikkouksiin, jos sillä päästään pidemmälle.
Jokaisen havainnon taustalla olevan heikkouden luokka.
The MITRE Corporation
06Kysymykset
Kysymyksiä tästä palvelusta
Black box, grey box vai white box?
Oletuksena grey box: työskentelemme käyttäjätunnusten ja dokumentaation avulla, koska näin käytettävissä olevassa ajassa löytyy eniten. Black box sopii, kun haluat mitata, mihin ulkopuolinen pystyy ilman mitään tietoja. White box ottaa mukaan lähdekoodin, ja sitä kuvataan palvelussa ”Lähdekoodin tietoturvakatselmointi”.
Testaatteko tuotannossa?
Suosimme tuotantoa vastaavaa ympäristöä. Jos on olemassa vain tuotantoympäristö, sovimme testausikkunat, vältämme tuhoavia toimenpiteitä ja käytämme omia testitietojamme.
Eikö haavoittuvuusskanneri riitä?
Skanneri löytää tunnettuja kaavoja yksittäisistä pyynnöistä. Se ei tiedä, ettei asiakas saa nähdä toisen asiakkaan tilauksia tai ettei alennusta saa käyttää kahdesti. Nämä puutteet löytävät ihmiset, jotka ymmärtävät sovelluksen.
REST-, GraphQL-, gRPC- ja WebSocket-rajapintojen testaus: puutteelliset käyttöoikeustarkistukset, tietojen paljastuminen ja liiketoimintaprosessien väärinkäyttö.