Opis projektu
PrzetłumaczonePrzygotowujemy się do uruchomienia aplikacji internetowej, która będzie przetwarzać wrażliwe dane użytkowników, a przed przejściem do produkcji potrzebujemy niezależnej oceny bezpieczeństwa od zewnętrznego specjalisty. Nie chodzi tutaj o ogólne wzmocnienie serwera czy konfigurację zapory — potrzebujemy ukierunkowanego testu penetracyjnego samej aplikacji z pokryciem pełnej listy OWASP Top 10: wstrzyknięcia, złamana autoryzacja i zarządzanie sesjami, złamana kontrola dostępu, skrypty między witrynami, niebezpieczne bezpośrednie odniesienia do obiektów, błędna konfiguracja zabezpieczeń, ujawnienie wrażliwych danych i inne kategorie. Ważne jest dla nas, aby tester myślał jak prawdziwy atakujący i sprawdzał aplikację w sposób, w jaki zrobiłby to przeciwnik.
Praca powinna łączyć testowanie manualne i skanery, ponieważ sama automatyzacja pomija błędy logiczne i wady autoryzacji. Zapewnimy środowisko testowe, dwa lub trzy konta o różnych poziomach uprawnień oraz krótki przegląd głównych scenariuszy. W zamian oczekujemy jasnego pisemnego raportu: każde odkrycie jest opisane z krokami reprodukcji, poziomem powagi (na przykład, według CVSS), rzeczywistym wpływem i praktycznymi poradami dotyczącymi usunięcia, z którymi nasi deweloperzy mogą pracować. Prosimy o oddzielenie potwierdzonych luk w zabezpieczeniach od obserwacji o niskim poziomie pewności, abyśmy mogli prawidłowo ustalić priorytety.
Po omówieniu ustaleń, będziemy potrzebować ponownego testu: aby potwierdzić, że każdy element jest rzeczywiście naprawiony i że nie pojawiły się żadne nowe problemy. Poufność jest obowiązkowa — wszystko, co zostanie znalezione, pozostaje ściśle między nami, dane z naszych systemów nie są kopiowane nigdzie. Proszę opisać swoją metodologię, standardy, którymi się kierujesz, oraz szacowany harmonogram audytu, w tym ponowny test.
Co jest dla nas najważniejsze:
— Pełne pokrycie OWASP Top 10, praca ręczna plus automatyzacja
— Raport z poziomami powagi i zaleceniami dotyczącymi naprawy
— Obowiązkowy ponowny test w celu potwierdzenia poprawek
Praca powinna łączyć testowanie manualne i skanery, ponieważ sama automatyzacja pomija błędy logiczne i wady autoryzacji. Zapewnimy środowisko testowe, dwa lub trzy konta o różnych poziomach uprawnień oraz krótki przegląd głównych scenariuszy. W zamian oczekujemy jasnego pisemnego raportu: każde odkrycie jest opisane z krokami reprodukcji, poziomem powagi (na przykład, według CVSS), rzeczywistym wpływem i praktycznymi poradami dotyczącymi usunięcia, z którymi nasi deweloperzy mogą pracować. Prosimy o oddzielenie potwierdzonych luk w zabezpieczeniach od obserwacji o niskim poziomie pewności, abyśmy mogli prawidłowo ustalić priorytety.
Po omówieniu ustaleń, będziemy potrzebować ponownego testu: aby potwierdzić, że każdy element jest rzeczywiście naprawiony i że nie pojawiły się żadne nowe problemy. Poufność jest obowiązkowa — wszystko, co zostanie znalezione, pozostaje ściśle między nami, dane z naszych systemów nie są kopiowane nigdzie. Proszę opisać swoją metodologię, standardy, którymi się kierujesz, oraz szacowany harmonogram audytu, w tym ponowny test.
Co jest dla nas najważniejsze:
— Pełne pokrycie OWASP Top 10, praca ręczna plus automatyzacja
— Raport z poziomami powagi i zaleceniami dotyczącymi naprawy
— Obowiązkowy ponowny test w celu potwierdzenia poprawek
Programowanie stron internetowych Gotówka, Przelew bankowy
