Coroczny test penetracyjny opisuje system taki, jaki był przez dwa tygodnie w roku. Produkt, którego nowe wersje wychodzą co tydzień, jest już innym systemem, zanim ktoś przeczyta raport. Podatności wprowadzone w kolejnym wydaniu czekają na następny test albo na to, aż znajdzie je ktoś inny.
Testy ciągłe podążają za cyklem wydań. Ci sami specjaliści zostają przy Twoim produkcie, poznają jego budowę i testują to, co się zmieniło, wtedy, gdy się zmienia. Znaleziska trafiają do Twojego systemu zadań, gdy tylko zostaną potwierdzone, a nie na koniec okresu raportowego. Między wydaniami styk z internetem obserwuje automatyzacja; każdy jej wynik weryfikuje człowiek, zanim trafi on do Ciebie.
01Zakres
Co testujemy
Testy wydań i istotnych zmian w aplikacjach i API
Regularne ponowne badanie styku z internetem
Weryfikacja nowo opublikowanych podatności pod kątem Twojego stosu technologicznego
Retest poprawek na żądanie
Okresowa pogłębiona ocena bezpieczeństwa wybranego komponentu
Modelowanie zagrożeń dla planowanych funkcji, zanim powstaną
Kwartalne podsumowanie z trendami i powtarzającymi się przyczynami źródłowymi
02Podejście
Jak przebiega praca
01
Punkt wyjścia
Projekt zaczyna się od pełnej oceny bezpieczeństwa całego zakresu. Ustala ona stan systemu i daje zespołowi wiedzę o nim.
02
Przyjmowanie zmian
Informujesz nas o wydaniach albo dajesz dostęp do odczytu dziennika zmian. Wybieramy zmiany, które wpływają na bezpieczeństwo, i planujemy testy.
03
Testy
Zmiany testujemy ręcznie. Między wydaniami automatyczne wyszukiwanie obserwuje styk z internetem, a specjalista weryfikuje to, co ono wykryje.
04
Przekazanie wyników
Potwierdzone znalezisko staje się ticketem w Twoim systemie zadań, z dowodami i sposobem naprawy. Retest uruchamia się na podstawie statusu ticketu.
Prawdopodobieństwo wykorzystania znanej podatności; służy do ustalania priorytetów.
FIRST
06Pytania
Pytania o tę usługę
Czy to automatyczny skaner w abonamencie?
Nie. Automatyzacji używamy do wyszukiwania zasobów i testów regresji. Zmiany testujemy ręcznie i nie przekazujemy Ci niczego, czego nie zweryfikował specjalista.
Czy testy ciągłe zastępują coroczny test penetracyjny?
Obejmują go. Ocena na starcie i okresowe pogłębione oceny bezpieczeństwa dają raport, którego wymagają standardy takie jak PCI DSS, a poświadczenie podaje objęty nim okres.
Jak określa się ilość pracy?
Jako miesięczną liczbę dni testowych, uzgodnioną z góry. Dni niewykorzystane w spokojniejszym miesiącu przechodzą na kolejne miesiące w ramach kwartału.