Опис проєкту
ПерекладМи готуємо до запуску веб-застосунок, який буде обробляти чутливі користувальницькі дані, і перед виходом у продакшн нам потрібна незалежна оцінка безпеки силами зовнішнього фахівця. Річ іде не про загальне укріплення сервера й не про налаштування файрвола — нам потрібен цілеспрямований пентест самого застосунку з покриттям повного списку OWASP Top 10: інʲекції, некоректна аутентифікація й робота з сеансами, порушення контролю доступу, міжсайтовий скриптинг, небезпечні прямі посилання на об'єкти, помилки конфігурації, утечка чутливих даних і решта категорій. Нам важливо, щоб виконавець мислив як реальний атакуючий і перевіряв застосунок саме так, як це робив би зловмисник.
Роботу потрібно вести у зв'язці ручного тестування й сканерів, тому що автоматика самостійно пропускає логічні помилки й дефекти авторизації. Ми надамо тестовий стенд, дві-три облікові записи з різними рівнями прав і короткий розбір основних сценаріїв. Взамін очікуємо зрозумілий письмовий звіт: кожна знахідка описана з кроків відтворення, рівня критичності (наприклад, за CVSS), реального впливу й практичної рекомендації по усуненню, з якою зможуть працювати наші розробники. Просимо відділяти підтверджені уразливості від спостережень із низькою впевненістю, щоб ми могли верно розставити пріоритети.
Після того як ми закриємо зауваження, потребуватиме повторна перевірка (ретест): потрібно переконатися, що кожен пункт справді усунений і що не з'явилося нових проблем. Конфіденційність обов'язкова — все знайдене залишається суворо між нами, дані з наших систем нікуди не копіюються. Будь ласка, опишіть вашу методологію, стандарти, яких ви дотримуєтеся, і орієнтовний строк аудиту разом із ретестом.
Що для нас найважливіше:
— Повне покриття OWASP Top 10, ручна робота плюс автоматика
— Звіт з рівнями критичності й рекомендаціями по виправленню
— Обов'язковий ретест для підтвердження усунення
Роботу потрібно вести у зв'язці ручного тестування й сканерів, тому що автоматика самостійно пропускає логічні помилки й дефекти авторизації. Ми надамо тестовий стенд, дві-три облікові записи з різними рівнями прав і короткий розбір основних сценаріїв. Взамін очікуємо зрозумілий письмовий звіт: кожна знахідка описана з кроків відтворення, рівня критичності (наприклад, за CVSS), реального впливу й практичної рекомендації по усуненню, з якою зможуть працювати наші розробники. Просимо відділяти підтверджені уразливості від спостережень із низькою впевненістю, щоб ми могли верно розставити пріоритети.
Після того як ми закриємо зауваження, потребуватиме повторна перевірка (ретест): потрібно переконатися, що кожен пункт справді усунений і що не з'явилося нових проблем. Конфіденційність обов'язкова — все знайдене залишається суворо між нами, дані з наших систем нікуди не копіюються. Будь ласка, опишіть вашу методологію, стандарти, яких ви дотримуєтеся, і орієнтовний строк аудиту разом із ретестом.
Що для нас найважливіше:
— Повне покриття OWASP Top 10, ручна робота плюс автоматика
— Звіт з рівнями критичності й рекомендаціями по виправленню
— Обов'язковий ретест для підтвердження усунення
Веб програмування Готівка, Банківський переказ
