Useimmat omistajat eivät tiedä, voiko heidän verkkosivustolleen murtautua, ennen kuin niin tapahtuu. Penetraatiotesti vastaa tähän kysymykseen perusteellisesti, mutta se on projekti, joka vaatii budjetin. Maksuton tarkastus on ensimmäinen askel: se näyttää, löytääkö tien sisään hyökkääjä, joka ei tiedä sinusta mitään.
Tarkastelemme verkkosivustoa ulkopuolelta, ilman käyttäjätunnuksia ja ilman pääsyä palvelimellesi, ja tarkastamme, mitä internetistä näkyy ja mihin sieltä pääsee. Jos emme löydä mitään, saat maksutta raportin, jossa se todetaan. Jos löydämme haavoittuvuuksia, kerromme, kuinka monta niitä on ja kuinka vakavia ne ovat, ja sinä päätät, ostatko raportin, jossa ovat yksityiskohdat ja korjaukset.
01Laajuus
Mitä testaamme
HTTPS ja TLS: protokollaversiot, varmenteet, uudelleenohjaukset
Tietoturvaotsakkeet ja evästeiden määritteet
Näkyvillä olevat tiedostot ja rajapinnat: varmuuskopiot, asetustiedostot, versionhallinnan kansiot, hallintapaneelit, vianetsintäsivut
Sisällönhallintajärjestelmä, lisäosat, sovelluskehykset ja palvelinohjelmistot, joissa on tunnettuja haavoittuvuuksia
Julkiset lomakkeet ja parametrit: injektiot ja XSS-haavoittuvuudet, testattuina vaarattomilla testisyötteillä
Kirjautumis-, rekisteröitymis- ja salasanan palautussivut: suojaus arvaamista ja käyttäjätunnusten kartoittamista vastaan
Tiedot, joita virheilmoitukset, lähdekoodikartat ja metatiedot paljastavat
Verkkotunnuksen tietueet, jotka suojaavat väärennetyiltä sähköposteilta: SPF, DKIM, DMARC
02Toimintatapa
Miten työ tehdään
01
Pyyntö ja lupa
Ilmoitat verkkosivuston ja vahvistat, että omistat sen tai toimit sen omistajan puolesta. Ennen tarkastuksen alkua omistaja tai omistajan valtuuttama henkilö allekirjoittaa luvan, jossa mainitaan verkkosivuston osoite ja tarkastuksen päivämäärät.
02
Tarkastus
Työkalut kartoittavat verkkosivuston, ja asiantuntijat varmistavat jokaisen epäilyn käsin ja karsivat väärät hälytykset. Emme tee tuhoavia toimenpiteitä tai kuormitustestejä emmekä yritä lukea kävijöidesi tietoja.
03
Tulos
Saat tuloksen 1–5 työpäivän kuluessa luvan allekirjoittamisesta. Jos haavoittuvuuksia ei ole, raportti on maksuton. Jos haavoittuvuuksia löytyy, saat ilmoituksen, jossa on niiden määrä, niiden vakavuus CVSS 4.0 -asteikolla ja raportin hinta.
04
Raportti ja uusintatestaus
Saat raportin heti maksun jälkeen: jokainen havainto todisteineen, toistamisen vaiheineen ja korjauksineen. Kun korjaukset on tehty, testaamme jokaisen havainnon uudelleen maksutta.
Jokaisen havainnon taustalla olevan heikkouden luokka.
The MITRE Corporation
06Kysymykset
Kysymyksiä tästä palvelusta
Miksi tarkastus on maksuton?
Koska meille maksetaan tuloksesta. Verkkosivusto, jossa ei ole haavoittuvuuksia, ei maksa omistajalleen mitään; verkkosivusto, jossa on haavoittuvuuksia, antaa meille raportin, joka kannattaa ostaa. Se on bug bounty -ohjelmien periaate sovellettuna verkkosivustoosi sinun luvallasi.
Entä jos päätämme olla ostamatta raporttia?
Silloin et ole velkaa mitään. Löytämämme pysyy luottamuksellisena: emme luovuta sitä kenellekään emmekä julkaise mitään.
Miten raportin hinta määräytyy?
Havaintojen määrän ja niiden CVSS 4.0 -asteikon mukaisen vakavuuden perusteella. Hinta kerrotaan ilmoituksessa, ennen kuin teet päätöksen, ja se on voimassa 30 päivää.
Tarvitsetteko pääsyn palvelimellemme?
Emme. Tarkastus tehdään ulkopuolelta, sellaisena kuin kävijä näkee verkkosivuston. Testaus käyttäjätunnuksilla ja rooleilla on erillinen palvelu, ”Verkkosovellusten penetraatiotestaus”.
Voiko tarkastus vahingoittaa verkkosivustoa?
Tarkastukseen ei kuulu tuhoavia toimenpiteitä eikä kuormitustestejä. Jos verkkosivuston toiminta muuttuu epävakaaksi, keskeytämme työn ja otamme sinuun yhteyttä.
Julkinen kanava ja toimiva prosessi ulkopuolelta tuleville haavoittuvuusraporteille: käytäntö, security.txt, vastaanotto, käsittely ja koordinoitu julkistaminen.
Ohjelmat ja varmennus
08Pyyntö
Kerro, mitä pitää testata
Verkkosivuston tarkastus maksutta
Vastaus 1 työpäivän kuluessa
NDA ennen teknisiä yksityiskohtia
Kiinteä hinta maksullisissa toimeksiannoissa
Ei sitoumuksia
Pyyntö vastaanotettu
Viite
Säilytä viite: mainitsemme sen kaikessa myöhemmässä viestinnässä kanssasi.
Mitä seuraavaksi tapahtuu
Asiakaspäällikkö käy pyynnön läpi ja vastaa 1 työpäivän kuluessa.
Sovimme laajuudesta, testauksen säännöistä ja arkaluonteisen aineiston suojatusta kanavasta.
Saat tarjouksen, jossa on menetelmä, aikataulu ja kiinteä hinta. Maksutonta verkkosivuston tarkastusta varten saat allekirjoitettavaksi luvan.
Emme koskaan pyydä ensimmäisessä vastauksessa maksua, salasanoja tai etäyhteyttä.