Giải thích Application Security Review

Đây là gì

Đánh giá xem xét ranh giới ứng dụng đã thống nhất và kiểm tra cách ứng dụng phản ứng trước hành vi lạm dụng có chủ đích, các trường hợp biên và các mối lo ngại bảo mật phổ biến như vượt qua xác thực, leo thang đặc quyền, lỗi injection, xử lý dữ liệu không an toàn và điểm yếu trong quản lý phiên. Phạm vi được xác nhận bằng văn bản trước khi bắt đầu công việc. Tùy theo dịch vụ được chọn, công việc có thể bao gồm xem xét các endpoint hướng đến người dùng, giao diện quản trị, hành vi API, các kiểm soát phía client, phụ thuộc bên thứ ba và bằng chứng về các lựa chọn thiết kế an toàn trong quá trình phát triển. Chuyên gia kết hợp kiểm thử thủ công, xem xét tài liệu và, khi phù hợp, quét tự động có giới hạn để hiểu tình trạng bảo mật của ứng dụng trong ranh giới đã thống nhất. Bạn nhận được một báo cáo phát hiện có cấu trúc giải thích những gì đã được quan sát, điều đó có thể liên quan thế nào trong một kịch bản tấn công thực tế, và cách khắc phục nào là tương xứng. Đánh giá được thiết kế để hỗ trợ việc xác định ưu tiên nội bộ của bạn, không nhằm làm gián đoạn môi trường production hay truy cập dữ liệu khách hàng nhạy cảm khi không cần thiết.

Dành cho ai

Application Security Review phù hợp với các doanh nghiệp:

• Vận hành ứng dụng dành cho khách hàng, sản phẩm SaaS hoặc dịch vụ số và chưa từng có một đánh giá bảo mật chính thức về hành vi ở cấp ứng dụng
• Đang chuẩn bị cho một bản phát hành lớn, ra mắt tính năng hoặc mở rộng thị trường và cần cái nhìn rõ ràng hơn về bảo mật ứng dụng trước khi thay đổi được đưa vào hoạt động
• Đã nhận được bảng câu hỏi bảo mật hoặc yêu cầu thẩm định hợp lý từ khách hàng doanh nghiệp, đối tác hoặc nhà đầu tư đòi hỏi bằng chứng đánh giá ở cấp ứng dụng
• Cần phân biệt giữa vấn đề cấu hình, phơi nhiễm hạ tầng và lỗi ở tầng ứng dụng trước khi chọn bước khắc phục tiếp theo

Giúp làm rõ điều gì

Một đánh giá bảo mật ứng dụng giúp làm rõ:

• Những chức năng dành cho người dùng và quản trị nào hoạt động như dự kiến trước hành vi lạm dụng có chủ đích, và chức năng nào có thể cho phép truy cập trái phép hoặc làm lộ dữ liệu
• Ở đâu ứng dụng dựa vào xác thực phía client, định danh dễ đoán, thiếu kiểm tra phân quyền hoặc xử lý phiên yếu có thể bị khai thác trong một kịch bản thực tế
• Những thư viện bên thứ ba, tích hợp API hoặc phụ thuộc nào gây ra phơi nhiễm, và liệu biện pháp giảm thiểu đã có, còn thiếu hay chưa đầy đủ
• Điều gì cần xử lý trước bản phát hành tiếp theo, điều gì cần thảo luận về thiết kế, và điều gì nên được chuyển lên cấp trên hoặc xác định phạm vi riêng

Những gì được bao gồm

• Xác nhận phạm vi bằng văn bản, bao gồm ứng dụng, vai trò người dùng, endpoint và chức năng sẽ được xem xét
• Kiểm thử thủ công và, khi phù hợp, kiểm thử tự động có giới hạn đối với các tính năng ứng dụng dành cho người dùng và quản trị đã thống nhất
• Báo cáo phát hiện có cấu trúc với các quan sát được xếp hạng, kịch bản tấn công thực tế và hướng dẫn khắc phục rõ ràng
• Giải thích bằng ngôn ngữ dễ hiểu về việc mỗi phát hiện có thể quan trọng thế nào trong bối cảnh thực tế, không chỉ đơn thuần là kết quả công cụ hay điểm mức độ nghiêm trọng
• Bản tóm tắt dành cho ban quản lý, phù hợp để thảo luận nội bộ với các bên liên quan không chuyên kỹ thuật
• Một buổi trao đổi tiếp theo để xem lại các phát hiện, thứ tự ưu tiên và các bước tiếp theo hợp lý

Những gì không được bao gồm

• Kiểm thử xâm nhập đầy đủ trên toàn bộ các kiểm soát hạ tầng, mạng hoặc tầng hosting, trừ khi có phạm vi riêng
• Chứng nhận tuân thủ, xác nhận kiểm toán, hoặc tuyên bố rằng ứng dụng đáp ứng mọi yêu cầu bảo mật áp dụng
• Công việc khắc phục, thay đổi mã nguồn hoặc thay đổi cấu hình trong ứng dụng của bạn trong chính quá trình đánh giá
• Giám sát liên tục, ứng phó sự cố hoặc kiểm thử lại thường xuyên sau khi hợp đồng kết thúc
• Xem xét các tính năng ứng dụng, vai trò người dùng, API hoặc tích hợp không nằm trong phạm vi bằng văn bản

Khi nào nên chọn

Hãy chọn Application Security Review khi bạn cần một cái nhìn có chủ đích, dựa trên bằng chứng, về cách ứng dụng xử lý các mối lo ngại bảo mật trước một bản phát hành, một câu hỏi từ khách hàng hoặc một chu kỳ lập kế hoạch nội bộ. Đây là bước hợp lý khi ứng dụng đủ ổn định để đánh giá, vai trò người dùng và các quy trình chính đã được hiểu rõ, và có một người phụ trách nội bộ rõ ràng có thể tiếp nhận và xử lý các phát hiện. Nếu câu hỏi trọng tâm liên quan đến cấu hình, đặc quyền truy cập hoặc thiết lập hosting thay vì hành vi của ứng dụng, Security Baseline Review có thể phù hợp hơn. Nếu mối lo ngại liên quan đến thực hành phát triển, kỷ luật phát hành hoặc quy trình bảo mật ở cấp đội ngũ, hãy cân nhắc Secure SDLC Review. Một đánh giá ứng dụng hiệu quả nhất khi doanh nghiệp có thể chỉ định người phụ trách ứng dụng, đầu mối kỹ thuật, phương pháp kiểm thử chấp nhận được và kết quả mong muốn trước khi bắt đầu công việc.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác nhận ranh giới ứng dụng, vai trò người dùng và phương pháp kiểm thử bằng văn bản. Bản mô tả xác định URL hoặc môi trường của ứng dụng, các loại người dùng sẽ được kiểm thử, mức rủi ro chấp nhận được đối với môi trường kiểm thử, yêu cầu truy cập và những gì bị loại khỏi phạm vi. Kiểm thử bắt đầu sau khi đã có xác nhận đó. Kiểm thử được thiết kế để xem xét chức năng đã thống nhất, không nhằm cố ý gây gián đoạn dịch vụ hoặc truy cập dữ liệu khách hàng trong production, trừ khi được thống nhất cụ thể và có kiểm soát. Khi một phát hiện cần điều tra sâu hơn vượt quá phạm vi đã thống nhất, chúng tôi ghi nhận quan sát và thảo luận các bước tiếp theo phù hợp thay vì mở rộng công việc khi chưa có thỏa thuận. Các phát hiện được viết kèm bối cảnh thực tế: những gì đã được quan sát, nó có thể bị khai thác như thế nào, và bước khắc phục tương xứng là gì. Báo cáo nhằm hỗ trợ một cuộc trao đổi bình tĩnh, thấu đáo giữa các đội phát triển, sản phẩm và lãnh đạo về những thay đổi cần lên kế hoạch và thời điểm thực hiện. Khi bàn giao, chúng tôi cùng bạn xem lại các phát hiện để báo cáo có thể định hướng một kế hoạch triển khai thực tế thay vì trở thành một danh sách bị bỏ quên.

Câu hỏi thường gặp

Bài viết liên quan