VAPT: posouzení zranitelností a penetrační testování

Co to je?

Část posouzení zranitelností (VA) je široká. Kombinuje automatizované skenování s revizí, aby napříč dohodnutými aktivy identifikovala chybějící záplaty, zastaralé komponenty, vystavené služby, slabou konfiguraci a běžné webové problémy. Část penetračního testování (PT) jde do hloubky. Tester pracuje ručně na vybraných cílech, typicky webových aplikacích, API a mobilních aplikacích, ověřuje nálezy a testuje autentizaci, správu relací, řízení přístupu mezi rolemi, únik dat a obchodní logiku. VA tak dohromady poskytuje pokrytí a PT jistotu ohledně toho, co je skutečně zneužitelné. Zakázka VAPT by měla končit písemnou zprávou, která zaznamenává rozsah, metodu, nálezy s hodnocením závažnosti a důkazy, doporučení k nápravě a tam, kde je to dohodnuto, výsledek opakovaného testu po opravách. Požadavky někdy odkazují na rámce jako OWASP Top 10 nebo doporučení OWASP Mobile Application Security; jde o užitečné referenční body pro to, na co se testeři zaměřují.

Pro koho to je?

VAPT obvykle požadují nebo potřebují:

• Týmy SaaS, fintech a e-commerce, jejichž firemní zákazníci při výběrovém řízení žádají aktuální zprávu VAPT
• Firmy připojující se k partnerovi, bance nebo poskytovateli plateb, který před integrací vyžaduje doklad o bezpečnostním testování
• Produktové týmy připravující veřejné spuštění webové nebo mobilní aplikace
• Organizace, které změnily hosting, autentizaci nebo platební toky a chtějí nezávislou kontrolu

Co to pomůže objasnit

Dobře vymezený VAPT pomáhá ujasnit:

• Které aplikace, API a prostředí žadatel skutečně očekává, že budou otestovány
• Zda požadavek uvádí konkrétní typ auditora nebo akreditaci, kterou je třeba ověřit před výběrem poskytovatele
• Které nálezy jsou ověřená rizika a které jsou postřehy skeneru
• Jaká náprava musí proběhnout, než bude možné zprávu s důvěrou sdílet

Co je zahrnuto

• Získejte od žadatele přesný požadavek písemně: aktiva, hloubku, formát zprávy a případná kritéria pro poskytovatele
• Sepište cíle: domény, URL aplikací, základní cesty API, sestavení mobilních aplikací a prostředí (staging nebo produkce)
• Připravte testovací účty pro každou uživatelskou roli, aby testování řízení přístupu mělo smysl
• Potvrďte písemné oprávnění, časové okno testu, jmenované kontaktní osoby a podmínky pro zastavení
• Informujte poskytovatele hostingu, CDN nebo WAF, pokud to jejich podmínky vyžadují
• Dohodněte hodnocení závažnosti, formát zprávy a způsob sdílení důkazů
• Vyhraďte si čas na opravu nálezů a vyžádejte si opakovaný test dohodnutých problémů

Co není součástí

• Prohlášení, že VAPT činí aplikaci bezpečnou nebo vyhovující předpisům
• Tvrzení, že některý poskytovatel splňuje konkrétní požadavek na akreditaci nebo zařazení do seznamu, aniž by to bylo ověřeno vůči tomuto požadavku
• Testování systémů třetích stran bez svolení jejich vlastníka
• Právní nebo regulatorní poradenství k tomu, co konkrétní pravidlo vyžaduje

Kdy si ji vybrat

Objednejte si VAPT, když jej požaduje konkrétní protistrana, před významným spuštěním nebo po větších změnách ve způsobu, jak se uživatelé přihlašují, platí nebo přistupují k datům. Pokud požadavek vychází z regulovaného vztahu, přečtěte si jej pozorně: některé požadavky stanovují akreditovaného nebo zařazeného auditora (v Indii někteří regulátoři a protistrany odkazují na auditory zařazené do seznamu CERT-In), konkrétní rozsah nebo pevný cyklus testování. Tyto podrobnosti si nejprve potvrďte u žadatele, protože zprávu, která požadavku neodpovídá, může být nutné vypracovat znovu. Tento článek je obecnou informací, nikoli právním ani regulatorním poradenstvím.

Náš přístup

Berte kontrolní seznam žadatele jako výchozí bod a poté doplňte systémy, které pro vaši firmu nesou největší riziko, i když se na ně nikdo neptal. Kde je to možné, testujte v prostředí staging, které odpovídá produkci, a předem dohodněte, jak bude probíhat testování produkce, pokud je vyžadováno. Naše služba Application Security Review pokrývá testování webových aplikací a API s písemnými nálezy odstupňovanými podle závažnosti a doporučeními k nápravě; širší rozsahy zahrnující více prostředí nebo sítě řešíme prostřednictvím naší služby Penetration Testing. V obou případech se rozsah, oprávnění a podoba zprávy písemně potvrdí před zahájením prací. Po předání nejprve opravte vysoce a kriticky závažné nálezy, zaznamenejte rozhodnutí o případně přijatých rizicích a vyžádejte si opakovaný test. Poté sdílejte manažerské shrnutí nebo dopis o stavu nápravy místo úplné technické zprávy, pokud žadatel konkrétně nepotřebuje tuto úroveň podrobností a nemá bezpečný způsob, jak ji převzít.

Application Security Review

Často kladené otázky

Související články