Application Security Review forklaret

Hvad det er

Gennemgangen undersøger den aftalte applikationsafgrænsning og kontrollerer, hvordan den reagerer på bevidst misbrug, grænsetilfælde og almindelige sikkerhedsproblemer som omgåelse af godkendelse, eskalering af rettigheder, injektionsfejl, usikker datahåndtering og svagheder i sessionsstyring. Omfanget bekræftes skriftligt, før arbejdet begynder. Afhængigt af den valgte ydelse kan arbejdet omfatte gennemgang af brugerrettede endpoints, administrative grænseflader, API-adfærd, kontroller på klientsiden, tredjepartsafhængigheder og dokumentation for sikre designvalg under udviklingen. Konsulenten anvender en kombination af manuel test, dokumentgennemgang og, hvor det er relevant, begrænset automatiseret scanning for at forstå applikationens sikkerhedsniveau inden for den aftalte afgrænsning. I modtager en struktureret rapport over fund, der forklarer, hvad der blev observeret, hvordan det kan være relevant i et praktisk angrebsscenarie, og hvilken udbedringstilgang der er proportional. Gennemgangen skal understøtte jeres interne prioritering, ikke forstyrre jeres produktionsmiljø eller unødigt tilgå følsomme kundedata.

Hvem er det for?

En Application Security Review passer til virksomheder, der:

• Driver en kunderettet applikation, et SaaS-produkt eller en digital tjeneste og endnu ikke har fået foretaget en formel sikkerhedsgennemgang af adfærden på applikationsniveau
• Forbereder en større release, en funktionslancering eller en markedsudvidelse og har brug for et klarere billede af applikationssikkerheden, før ændringen går live
• Har modtaget et sikkerhedsspørgeskema eller en rimelig due diligence-anmodning fra en erhvervskunde, partner eller investor, der kræver dokumentation for en gennemgang på applikationsniveau
• Har brug for at skelne mellem konfigurationsproblemer, infrastruktureksponering og fejl i applikationslaget, før næste udbedringsskridt vælges

Hvad det hjælper med at afklare

En applikationssikkerhedsgennemgang hjælper med at afklare:

• Hvilke brugerrettede og administrative funktioner der opfører sig som tilsigtet ved bevidst misbrug, og hvilke der kan give uautoriseret adgang eller eksponering af data
• Hvor applikationen er afhængig af validering på klientsiden, forudsigelige identifikatorer, manglende autorisationskontroller eller svag sessionshåndtering, der kan udnyttes i et praktisk scenarie
• Hvilke tredjepartsbiblioteker, API-integrationer eller afhængigheder der skaber eksponering, og om afhjælpende foranstaltninger er på plads, mangler eller er ufuldstændige
• Hvad der skal håndteres før næste release, hvad der kræver en designdrøftelse, og hvad der bør eskaleres eller afgrænses separat

Hvad er inkluderet

• Skriftlig bekræftelse af omfanget, der dækker applikationen, brugerroller, endpoints og den funktionalitet, der skal gennemgås
• Manuel og, hvor det er relevant, begrænset automatiseret test af aftalte brugerrettede og administrative applikationsfunktioner
• En struktureret rapport over fund med prioriterede observationer, praktiske angrebsscenarier og tydelig vejledning til udbedring
• Forklaring i et klart sprog af, hvordan hvert fund kan have betydning i en virkelig sammenhæng – ikke blot et værktøjsoutput eller en alvorlighedsscore
• Et ledelsesresumé, der egner sig til intern drøftelse med ikke-tekniske interessenter
• En opfølgende samtale om fund, prioritering og fornuftige næste skridt

Hvad er ikke inkluderet?

• Fuld penetrationstest af alle kontroller i infrastruktur-, netværks- eller hostinglaget, medmindre det afgrænses separat
• Compliance-certificering, revisionsgodkendelse eller en erklæring om, at applikationen opfylder alle gældende sikkerhedskrav
• Udbedringsarbejde, kodeændringer eller konfigurationsændringer i jeres applikation under selve gennemgangen
• Løbende overvågning, hændelseshåndtering eller kontinuerlig gentest efter opgavens afslutning
• Gennemgang af applikationsfunktioner, brugerroller, API'er eller integrationer, der ikke indgår i det skriftlige omfang

Hvornår du skal vælge det

Vælg en Application Security Review, når I har brug for et velovervejet, dokumentationsbaseret billede af, hvordan jeres applikation håndterer sikkerhedsproblemer før en release, et kundespørgsmål eller en intern planlægningscyklus. Det er et fornuftigt skridt, når applikationen er stabil nok til at blive vurderet, brugerroller og centrale arbejdsgange er forstået, og der er en tydelig intern ejer, som kan modtage og handle på fundene. Hvis det centrale spørgsmål handler om konfiguration, adgangsrettigheder eller hostingindstillinger frem for applikationens adfærd, kan en Security Baseline Review være mere passende. Hvis bekymringen vedrører udviklingspraksis, disciplin omkring releases eller sikkerhedsprocesser på teamniveau, så overvej en Secure SDLC Review. En applikationsgennemgang er mest effektiv, når virksomheden kan udpege applikationens ejer, den tekniske kontaktperson, en acceptabel testtilgang og det tilsigtede resultat, før arbejdet begynder.

Vores tilgang

Vi begynder med at bekræfte applikationens afgrænsning, brugerroller og testmetode skriftligt. Briefen fastlægger applikationens URL eller miljø, de brugertyper, der skal testes, den accepterede risiko for testmiljøet, adgangskrav og hvad der er udelukket fra omfanget. Testen begynder, når denne bekræftelse foreligger. Testen er tilrettelagt til at undersøge aftalt funktionalitet frem for at forsøge at forårsage bevidste driftsforstyrrelser eller tilgå kunders produktionsdata, medmindre det er specifikt aftalt og kontrolleret. Hvor et fund kræver en dybere undersøgelse, der går ud over det aftalte omfang, dokumenterer vi observationen og drøfter passende næste skridt i stedet for at udvide arbejdet uden aftale. Fundene skrives med praktisk kontekst: hvad der blev observeret, hvordan det kan udnyttes, og hvad et proportionalt udbedringsskridt vil være. Rapporten skal understøtte en rolig og velovervejet samtale mellem udvikling, produkt og ledelse om, hvilke ændringer der skal planlægges, og hvornår. Ved overdragelsen gennemgår vi fundene med jer, så rapporten kan danne grundlag for en realistisk leveranceplan i stedet for at blive en liste, der ikke bliver fulgt op.

Ofte stillede spørgsmål

Relaterede artikler