Application Security Review forklart

Hva det er

Gjennomgangen undersøker den avtalte applikasjonsavgrensningen og kontrollerer hvordan den reagerer på bevisst misbruk, grensetilfeller og vanlige sikkerhetsproblemer som omgåelse av autentisering, rettighetseskalering, injeksjonsfeil, usikker datahåndtering og svakheter i sesjonshåndtering. Omfanget bekreftes skriftlig før arbeidet starter. Avhengig av valgt tjeneste kan arbeidet omfatte gjennomgang av brukervendte endepunkter, administrasjonsgrensesnitt, API-oppførsel, kontroller på klientsiden, tredjepartsavhengigheter og dokumentasjon på sikre designvalg under utviklingen. Fagpersonen bruker en kombinasjon av manuell testing, dokumentgjennomgang og, der det er hensiktsmessig, begrenset automatisert skanning for å forstå applikasjonens sikkerhetsnivå innenfor den avtalte avgrensningen. Dere mottar en strukturert funnrapport som forklarer hva som ble observert, hvordan det kan være relevant i et praktisk angrepsscenario, og hvilken utbedringstilnærming som er forholdsmessig. Gjennomgangen skal gi grunnlag for deres interne prioritering, ikke forstyrre produksjonsmiljøet eller gi unødvendig tilgang til sensitive kundedata.

Hvem det er for

En Application Security Review passer for virksomheter som:

• Driver en kundevendt applikasjon, et SaaS-produkt eller en digital tjeneste og ennå ikke har fått en formell sikkerhetsgjennomgang av oppførselen på applikasjonsnivå
• Forbereder en større utgivelse, en funksjonslansering eller en markedsutvidelse og trenger et tydeligere bilde av applikasjonssikkerheten før endringen går live
• Har mottatt et sikkerhetsspørreskjema eller en rimelig due diligence-forespørsel fra en bedriftskunde, partner eller investor som krever dokumentasjon på en gjennomgang på applikasjonsnivå
• Må skille mellom konfigurasjonsproblemer, eksponering i infrastrukturen og feil i applikasjonslaget før de velger neste utbedringssteg

Hva det hjelper med å klarlegge

En sikkerhetsgjennomgang av applikasjonen bidrar til å avklare:

• Hvilke brukervendte og administrative funksjoner som oppfører seg som tiltenkt ved bevisst misbruk, og hvilke som kan gi uautorisert tilgang eller eksponere data
• Hvor applikasjonen er avhengig av validering på klientsiden, forutsigbare identifikatorer, manglende autorisasjonskontroller eller svak sesjonshåndtering som kan utnyttes i et praktisk scenario
• Hvilke tredjepartsbiblioteker, API-integrasjoner eller avhengigheter som gir eksponering, og om tiltak er på plass, mangler eller er ufullstendige
• Hva som bør håndteres før neste utgivelse, hva som krever en designdiskusjon, og hva som bør eskaleres eller avgrenses separat

Hva er inkludert

• Skriftlig bekreftelse av omfanget som dekker applikasjonen, brukerrollene, endepunktene og funksjonaliteten som skal gjennomgås
• Manuell og, der det er hensiktsmessig, begrenset automatisert testing av avtalte brukervendte og administrative funksjoner i applikasjonen
• En strukturert funnrapport med rangerte observasjoner, praktiske angrepsscenarioer og tydelige råd om utbedring
• En forklaring på klart språk av hvordan hvert funn kan ha betydning i praksis, ikke bare verktøyutdata eller en alvorlighetsscore
• Et ledersammendrag som egner seg for intern drøfting med ikke-tekniske interessenter
• Én oppfølgingssamtale for å gå gjennom funn, prioritering og fornuftige neste steg

Hva er ikke inkludert

• Full penetrasjonstesting av alle kontroller i infrastruktur, nettverk eller hostinglag, med mindre det avgrenses separat
• Samsvarssertifisering, revisjonsgodkjenning eller en erklæring om at applikasjonen oppfyller alle gjeldende sikkerhetskrav
• Utbedringsarbeid, kodeendringer eller konfigurasjonsendringer i applikasjonen under selve gjennomgangen
• Løpende overvåking, hendelseshåndtering eller kontinuerlig ny testing etter at oppdraget er avsluttet
• Gjennomgang av applikasjonsfunksjoner, brukerroller, API-er eller integrasjoner som ikke inngår i det skriftlige omfanget

Når skal den velges

Velg en Application Security Review når dere trenger et gjennomtenkt, dokumentasjonsbasert bilde av hvordan applikasjonen håndterer sikkerhetsspørsmål før en utgivelse, et kundespørsmål eller en intern planleggingssyklus. Det er et fornuftig steg når applikasjonen er stabil nok til å vurderes, brukerrollene og de viktigste arbeidsflytene er forstått, og det finnes en tydelig intern eier som kan motta og følge opp funnene. Hvis hovedspørsmålet gjelder konfigurasjon, tilgangsrettigheter eller hostinginnstillinger snarere enn applikasjonens oppførsel, kan en Security Baseline Review være mer hensiktsmessig. Hvis bekymringen gjelder utviklingspraksis, utgivelsesdisiplin eller sikkerhetsprosesser i teamet, bør dere vurdere en Secure SDLC Review. En applikasjonsgjennomgang er mest effektiv når virksomheten kan navngi applikasjonseieren, den tekniske kontaktpersonen, en akseptabel testtilnærming og ønsket resultat før arbeidet starter.

Vår tilnærming

Vi begynner med å bekrefte applikasjonsavgrensningen, brukerrollene og testmetoden skriftlig. Beskrivelsen angir applikasjonens URL eller miljø, brukertypene som skal testes, akseptert risiko for testmiljøet, tilgangsbehov og hva som er utenfor omfanget. Testingen starter når denne bekreftelsen foreligger. Testingen er utformet for å undersøke avtalt funksjonalitet, ikke for å forsøke å forårsake bevisst tjenesteavbrudd eller få tilgang til kundedata i produksjon, med mindre dette er spesifikt avtalt og kontrollert. Der et funn krever dypere undersøkelser som går utover det avtalte omfanget, dokumenterer vi observasjonen og drøfter passende neste steg i stedet for å utvide arbeidet uten avtale. Funnene skrives med praktisk sammenheng: hva som ble observert, hvordan det kan utnyttes, og hva et forholdsmessig utbedringssteg vil være. Rapporten skal støtte en rolig og gjennomtenkt samtale mellom utvikling, produkt og ledelse om hvilke endringer som skal planlegges, og når. Ved overleveringen går vi gjennom funnene sammen med dere, slik at rapporten kan danne grunnlag for en realistisk leveranseplan i stedet for å bli en liste som blir liggende uten oppfølging.

Ofte stilte spørsmål

Beslektede artikler