Test penetracyjny aplikacji internetowej

Uruchamiamy aplikację internetową, która obsługuje konta użytkowników, płatności i przesyłane dokumenty, a przed jej udostępnieniem publicznie chcemy przeprowadzić niezależną kontrolę bezpieczeństwa. Nasi własni deweloperzy stosowali dobre praktyki, ale są blisko kodu i mogą mieć ślepe punkty. Potrzebujemy specjalisty, który spojrzy na aplikację tak, jakby był atakującym i szczerze powie nam, gdzie można ją złamać.

Zakres to podstawowy test penetracyjny warstwy internetowej: uwierzytelnianie i zarządzanie sesjami, kontrola dostępu między rolami użytkowników, walidacja danych wejściowych oraz typowe problemy, takie jak wstrzykiwanie, skrypty między witrynami, niebezpieczne bezpośrednie odniesienia do obiektów i słabości związane z przesyłaniem plików. Możemy zapewnić konta testowe na różnych poziomach uprawnień oraz kopię stagingową, aby nic nie dotykało danych klientów na żywo. Chcielibyśmy również szybko przyjrzeć się nagłówkom bezpieczeństwa, flagom ciasteczek i procesom resetowania haseł.

Najważniejszym rezultatem jest raport. Nie chcemy surowego zrzutu skanera; chcemy, aby każde odkrycie było opisane prostym językiem z jego powagą, konkretnym przykładem, jak jest wykorzystywane, potencjalnym wpływem oraz jasną rekomendacją, jak to naprawić. Krótkie streszczenie dla zarządu i sekcja techniczna dla deweloperów byłyby idealne. Proszę powiedz nam swoją metodologię, mniej więcej ile czasu zajmuje praca i jak odpowiedzialnie podchodzisz do wrażliwych odkryć.