Описание проекта
Мы готовим к запуску веб-приложение, которое будет обрабатывать чувствительные пользовательские данные, и перед выходом в продакшн нам нужна независимая оценка безопасности силами внешнего специалиста. Речь идёт не про общее укрепление сервера и не про настройку файрвола — нам требуется целевой пентест самого приложения с покрытием полного списка OWASP Top 10: инъекции, некорректная аутентификация и работа с сессиями, нарушения контроля доступа, межсайтовый скриптинг, небезопасные прямые ссылки на объекты, ошибки конфигурации, утечка чувствительных данных и остальные категории. Нам важно, чтобы исполнитель мыслил как реальный атакующий и проверял приложение именно так, как это делал бы злоумышленник.
Работу нужно вести в связке ручного тестирования и сканеров, потому что автоматика в одиночку пропускает логические ошибки и дефекты авторизации. Мы предоставим тестовый стенд, две-три учётные записи с разными уровнями прав и короткий разбор основных сценариев. Взамен ждём понятный письменный отчёт: каждая находка описана с шагами воспроизведения, уровнем критичности (например, по CVSS), реальным влиянием и практической рекомендацией по устранению, с которой смогут работать наши разработчики. Просим отделять подтверждённые уязвимости от наблюдений с низкой уверенностью, чтобы мы могли верно расставить приоритеты.
После того как мы закроем замечания, потребуется повторная проверка (ретест): нужно убедиться, что каждый пункт действительно устранён и что не появилось новых проблем. Конфиденциальность обязательна — всё найденное остаётся строго между нами, данные с наших систем никуда не копируются. Пожалуйста, опишите вашу методологию, стандарты, которых вы придерживаетесь, и ориентировочный срок аудита вместе с ретестом.
Что для нас важнее всего:
— Полное покрытие OWASP Top 10, ручная работа плюс автоматика
— Отчёт с уровнями критичности и рекомендациями по исправлению
— Обязательный ретест для подтверждения устранения
Работу нужно вести в связке ручного тестирования и сканеров, потому что автоматика в одиночку пропускает логические ошибки и дефекты авторизации. Мы предоставим тестовый стенд, две-три учётные записи с разными уровнями прав и короткий разбор основных сценариев. Взамен ждём понятный письменный отчёт: каждая находка описана с шагами воспроизведения, уровнем критичности (например, по CVSS), реальным влиянием и практической рекомендацией по устранению, с которой смогут работать наши разработчики. Просим отделять подтверждённые уязвимости от наблюдений с низкой уверенностью, чтобы мы могли верно расставить приоритеты.
После того как мы закроем замечания, потребуется повторная проверка (ретест): нужно убедиться, что каждый пункт действительно устранён и что не появилось новых проблем. Конфиденциальность обязательна — всё найденное остаётся строго между нами, данные с наших систем никуда не копируются. Пожалуйста, опишите вашу методологию, стандарты, которых вы придерживаетесь, и ориентировочный срок аудита вместе с ретестом.
Что для нас важнее всего:
— Полное покрытие OWASP Top 10, ручная работа плюс автоматика
— Отчёт с уровнями критичности и рекомендациями по исправлению
— Обязательный ретест для подтверждения устранения
Веб программирование Наличные, Банковский перевод
