De fleste innbrudd i webapplikasjoner starter ikke med en eksotisk utnyttelse. De starter med en forespørsel som applikasjonen burde ha avvist: fakturaen til en annen kunde, en pris som er endret underveis, en tilbakestilling av passord som stoler på feil header. Skannere overser slike svakheter fordi de ikke vet hva applikasjonen skal brukes til.
Vi tester som innloggede brukere i hver rolle, kartlegger hva hver rolle har tilgang til, og prøver deretter å krysse hver grense mellom rollene. Automatiserte verktøy dekker de kjente klassene. Spesialistenes tid går til logikk, tilgangskontroll og kjeder av små svakheter som til sammen gir en kompromittering.
01Omfang
Hva vi tester
Autentisering, økter, gjenoppretting av passord og flerfaktorautentisering
Horisontal og vertikal tilgangskontroll, isolasjon mellom leietakere
Grey box som standard: Vi arbeider med kontoer og dokumentasjon, fordi vi da finner mest på den tiden som er tilgjengelig. Black box passer når du vil måle hva en utenforstående oppnår uten informasjon. White box legger til kildekoden og er beskrevet under «Sikkerhetsgjennomgang av kildekode».
Tester dere i produksjon?
Vi foretrekker et miljø som tilsvarer produksjonsmiljøet. Der det bare finnes produksjon, avtaler vi testvinduer, unngår destruktive handlinger og arbeider med egne testdata.
Er ikke en sårbarhetsskanner nok?
En skanner finner kjente mønstre i enkeltforespørsler. Den vet ikke at én kunde ikke skal se bestillingene til en annen, eller at en rabatt ikke skal kunne brukes to ganger. Slike svakheter finnes av mennesker som forstår applikasjonen.