Web & App Security Review

Applikasjonsomfang for denne gjennomgangen

Desse applikasjonsretta arbeidsomfanga kan vurderast innanfor denne tenesta når dei er avtalte for det valde nivået og stadfesta skriftleg før arbeidet tek til.

• Tryggleikstesting av vevprogram — Undersøkjer kundevende nettapplikasjonar for svakheiter i autentisering, økter, skjema, tilgangskontrollar, datahandtering og vanlege angrepsvegar i applikasjonar.
• Tryggleikstesting av API — Innanfor det stadfesta API-fokuserte omfanget kan gjennomgangen undersøkje REST, GraphQL, WebSocket og grensesnitt mellom tenester der desse finst, inkludert autentisering, autorisering, måtar å misbruke forretningslogikken på, avgrensing av førespurnadsfrekvens, token- og øktgrenser, isolasjon mellom leigetakarar, dataeksponering, åtferda til endepunkt og integrasjonsrisiko. Funn underbygde av bevis blir prioriterte etter alvorsgrad og følgde av rettleiing om utbetring; eventuell inkludert ny testing er avgrensa til avtalte funn som er utbetra, og implementering har framleis eit separat avtalt omfang.
• Tryggleikstesting av mobile program — Undersøkjer avtalte programflater på iOS eller Android, handtering av programdata, autentiseringsflytar, samhandling med API og tryggleiksrelevant programåtferd.

Utvida testalternativ — med separat avgrensa omfang

Desse områda er berre tilgjengelege etter separat stadfesting av omfang, skriftleg løyve og pristilbod. Dei er ikkje automatisk inkluderte i den gjeldande prisinga for Starter, Standard eller Premium for denne tenesta.

• Tryggleikstesting av skrivebordsprogram — Gjennomgang av eit avtalt skrivebordsprogram – korleis det handterer brukarinndata, lagrar data på eininga, kommuniserer med backend-tenester og vernar sensitive arbeidsflytar når programmet er installert på ein arbeidsstasjon.
• Test av tryggleiken til det eksterne nettverket — Gjennomgang av system som er tilgjengelege frå internett, sett utanfrå, for å identifisera eksponerte tenester, svake konfigurasjonar og vegar som ein ekstern part kan prøva å bruka mot organisasjonen.
• Test av intern nettverkstryggleik — Sjå gjennom det interne nettverksmiljøet frå ein autorisert plass i organisasjonen, og sjå på korleis system, kontoar og tenester kan misbrukast dersom ein angripar nådde det interne nettverket.
• Tryggleikstest for trådlaust nettverk — Gjennomgang av avtalte trådlause nettverk og tilgangspunkt — korleis brukarar koplar seg til, korleis det trådlause miljøet er segmentert frå sensitive system, og kvar svake konfigurasjonar kan misbrukast.
• Tryggleikstesting av VoIP — Gjennomgang av avtalte komponentar for telefoni over IP — samtaleruting, autentisering, eksponerte tenester og misbruksvegar som kan påverke integriteten til kommunikasjonen eller samtalekostnadene.

Berre etter godkjenning frå ein spesialist

• Tryggleikstesting for OT / SCADA / ICS — Krev teknisk godkjenning frå ein spesialist, skriftleg autorisasjon, avtalte tryggleiksavgrensingar og eit separat pristilbod før noko arbeid kan stadfestast. Vert ikkje framstilt som automatisk tilgjengeleg for direkte nettkjøp.