Usługi wdrożeniowe
Cyberbezpieczeństwo: testy i audyty
Test bezpieczeństwa ma sens wtedy, gdy jego wynik da się naprawić. Dlatego pracujemy w ustalonym z góry zakresie, na podstawie pisemnej zgody właściciela systemu, a raport piszemy tak, żeby programista albo administrator mógł z niego pracować bez tłumacza. Nie prowadzimy działań wobec systemów, do których nie mamy udokumentowanej autoryzacji.
Co realnie testujemy
Zakres ustalamy przed rozpoczęciem prac i zapisujemy w umowie. Najczęściej obejmuje jeden lub kilka z poniższych obszarów:
- Aplikacje webowe i sklepy: uwierzytelnianie, kontrola dostępu, obsługa danych wejściowych, logika biznesowa procesu zakupu.
- Interfejsy API: autoryzacja na poziomie obiektu, limitowanie żądań, ujawnianie danych w odpowiedziach.
- Infrastruktura wystawiona do internetu: usługi widoczne z zewnątrz, wersje oprogramowania, konfiguracja szyfrowania.
- Konfiguracja usług chmurowych i poczty: uprawnienia, kopie zapasowe, rekordy SPF, DKIM i DMARC.
- Stacje robocze i sieć wewnętrzna: segmentacja, uprawnienia lokalne, aktualizacje.
Jak pracujemy
Opieramy się na publicznych, sprawdzalnych metodykach zamiast na własnej, nieopisanej procedurze: OWASP Web Security Testing Guide i OWASP Application Security Verification Standard dla aplikacji, OWASP API Security Top 10 dla interfejsów, wytyczne CIS Benchmarks dla konfiguracji. Dzięki temu każde ustalenie w raporcie da się przypisać do konkretnego, publicznie opisanego wymagania, a Twój zespół albo zewnętrzny wykonawca może zweryfikować je niezależnie od nas.
Trzy tryby, trzy różne pytania
Wybór trybu zmienia to, na jakie pytanie odpowiada test, i powinien wynikać z celu, nie z ceny:
- Bez wiedzy o systemie: pokazuje, co widzi napastnik z zewnątrz. Najbliżej realnego scenariusza, ale najmniej dokładny.
- Z częściową wiedzą, na przykład z kontem użytkownika: najczęściej wybierany, bo większość realnych nadużyć zaczyna się od zwykłego konta.
- Z pełnym dostępem do kodu i konfiguracji: najdokładniejszy, najlepszy przed wdrożeniem albo po istotnej zmianie architektury.
Czego nie robimy
Nie testujemy systemów bez pisemnej autoryzacji od podmiotu, który nimi dysponuje, nawet jeśli klient twierdzi, że „to i tak nasze”. Nie prowadzimy testów odmowy usługi na środowiskach produkcyjnych, bo ich wynik jest z góry znany, a koszt ponosi klient. Nie sprzedajemy skanu automatycznego jako testu penetracyjnego: skaner jest u nas narzędziem na jednym z etapów, a nie produktem końcowym, i w raporcie zawsze widać, co pochodzi z automatu, a co z pracy ręcznej.
Związek z obowiązkami prawnymi
Test bezpieczeństwa bywa potrzebny nie tylko dla samego bezpieczeństwa. Podmioty kluczowe w rozumieniu ustawy o KSC mają obowiązek pierwszego audytu w terminie ustawowym. Producenci objęci CRA muszą wykazać, że obsługują podatności w swoich produktach. Kontrahenci coraz częściej pytają o wynik testu w postępowaniu zakupowym. Jeśli test ma pełnić którąś z tych ról, mówimy o tym na etapie ustalania zakresu, bo zmienia to sposób dokumentowania prac.
Co dostajesz
- Uzgodniony i zapisany zakres testu wraz z autoryzacją, oknem czasowym i osobami kontaktowymi po obu stronach.
- Raport techniczny: każde ustalenie z opisem, sposobem odtworzenia, oceną ryzyka i konkretną rekomendacją naprawy.
- Streszczenie dla zarządu w języku nietechnicznym, w formie, którą da się dołączyć do dokumentacji.
- Uszeregowanie ustaleń według realnego ryzyka, nie według surowej oceny ze skanera.
- Zgłoszenie krytycznych ustaleń natychmiast, bez czekania na koniec testu i raport.
- Retest naprawionych ustaleń w uzgodnionym terminie po zakończeniu prac.
Przebieg współpracy
Etap 1
Zakres i autoryzacja
Ustalamy, co jest w zakresie, a co poza nim, w jakim oknie czasowym pracujemy i kto po Waszej stronie odbiera zgłoszenia krytyczne. Bez pisemnej autoryzacji nie zaczynamy.
Etap 2
Rozpoznanie
Mapowanie powierzchni ataku, identyfikacja technologii i punktów wejścia. Na tym etapie korzystamy również z narzędzi automatycznych, ale traktujemy je jako źródło tropów.
Etap 3
Testy właściwe
Praca ręczna według przyjętej metodyki. Ustalenia krytyczne zgłaszamy od razu, nie czekamy z nimi do raportu.
Etap 4
Raport i retest
Raport techniczny, streszczenie dla zarządu i omówienie wyników z zespołem. Po naprawie sprawdzamy poprawki i aktualizujemy status ustaleń.
Zapytaj o wycenę
Wycena jest indywidualna i zależy od zakresu. Po wypełnieniu formularza odzywamy się z pytaniami uzupełniającymi albo od razu z propozycją zakresu.
Zapytaj o test bezpieczeństwa
Zakres i wycena zależą od tego, co ma być sprawdzone. Im więcej wiemy na starcie, tym mniej pytań w pierwszej rozmowie.
Zgłoszenie przyjęte.
Odezwiemy się z pytaniami o zakres albo z propozycją trybu i terminu testu.
Najczęściej zadawane pytania
Czy test może zepsuć nasz system produkcyjny?
Ryzyko istnieje zawsze i nie zamierzamy go ukrywać. Ograniczamy je przez uzgodnione okno czasowe, wyłączenie z zakresu działań destrukcyjnych, kontakt awaryjny po obu stronach i, gdy to możliwe, pracę na środowisku testowym odzwierciedlającym produkcję. Warunki zapisujemy w umowie przed rozpoczęciem prac.
Czym test penetracyjny różni się od skanu podatności?
Skan wykrywa znane podatności na podstawie sygnatur i wersji oprogramowania. Test penetracyjny sprawdza, czy da się je faktycznie wykorzystać w Waszym kontekście, i znajduje błędy, których skaner nie zobaczy: nieprawidłową kontrolę dostępu, błędy w logice procesu, obejścia płatności. Skan jest u nas jednym z etapów, nie produktem.
Jak często powtarzać testy?
Nie ma jednej dobrej odpowiedzi i nieuczciwe byłoby podanie tu liczby jako reguły. Sensowne punkty odniesienia to: przed uruchomieniem nowego serwisu, po istotnej zmianie architektury lub uwierzytelniania, po zmianie dostawcy oraz w cyklu wynikającym z wymogów, którym podlega firma. Proponujemy cykl przy ustalaniu zakresu, na podstawie tego, jak często zmienia się Wasz system.
Czy raport możemy pokazać kontrahentowi?
Tak, i dlatego raport ma dwie części. Część techniczna zawiera szczegóły potrzebne do naprawy i zwykle zostaje wewnątrz firmy. Streszczenie dla zarządu opisuje zakres, metodykę i stan po naprawie bez ujawniania szczegółów, których nie chcecie przekazywać na zewnątrz.