Větší nebo citlivější aplikaci nedává smysl tlačit do pevně omezené bezpečnostní kontroly. Penetrační test na míru se skládá podle konkrétního systému, uživatelských rolí, API, prostředí a rizik, která potřebujete ověřit.
Nejdřív vymezíme cíl, oprávněníRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více a hranice testu. Díky tomu je předem jasné, co se bude testovat, jaký výstup dostanete a co už je mimo domluvený rozsah.
Kdy dává penetrační test na míru smysl
- aplikace se nevejde do pevného rozsahu Bezpečnostní kontroly webu;
- má více uživatelských rolí, prostředí, aplikačních toků nebo integračních bodů;
- pracuje s citlivějšími daty, administrací nebo důležitými firemními procesy;
- obsahuje rozsáhlejší API nebo složitější práci s oprávněními;
- potřebujete ověřit konkrétní rizikový scénář, ne jen obecný seznam kontrol;
- je potřeba posoudit aplikaci společně s vybranými částmi serveru, deploymentu nebo přístupů.
Co může být součástí testu
Konkrétní rozsah vždy vzniká podle cíle zakázky. Následující oblasti proto nejsou automaticky součástí každého testu.
- webová aplikace a její veřejné i přihlášené části;
- API a integrační body;
- přihlašování, sessions a obnova přístupu;
- autorizaceRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více, uživatelské role a oddělení dat;
- administrace a aplikační logika;
- formuláře, vstupy, uploady a práce se soubory;
- server, deployment a vybrané části infrastruktury;
- účty, přístupyÚdaje, kterými se přihlašujete ke službě. Typicky jméno, e-mail, heslo, kód nebo bezpečnost... Více a interní bezpečnostní postupy tam, kde souvisejí s testovaným systémem.
Jak se určuje rozsah
Před zahájením testu si ujasníme:
- co má test ověřit a jaké rozhodnutí má výstup podpořit;
- které systémy, doményLidsky čitelný název internetové služby, například adresa webu. Více a prostředí jsou součástí;
- jaké účty, role a oprávněníRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více budou k dispozici;
- které aplikační toky a rizikové scénáře mají prioritu;
- jaká data a provozní omezení je potřeba respektovat;
- jak podrobný má být výstup;
- časový rámec a cenu.
Testování mimo potvrzený rozsah není automatickou součástí zakázky.
Co dostanete
- stručné shrnutí hlavních rizik a jejich praktického dopadu;
- prioritizovaný seznam nálezů;
- technický popis a důkazy potřebné k pochopení problému;
- konkrétní doporučení k nápravě;
- rozlišení mezi zásadními problémy a méně důležitými zlepšeními;
- technickou přílohu, pokud ji domluvený rozsah vyžaduje.
Cílem není dodat dlouhý automatický výpis. Výstup má ukázat, co je skutečně důležité a co má vývojář nebo správce řešit jako první.
Jak spolupráce probíhá
- Pošlete stručný popis systému. Stačí základní informace o aplikaci, rolích, prostředích a tom, co potřebujete ověřit.
- Domluvíme rozsah. Vyjasníme cíl, oprávněníRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více, testované části, hranice a požadovaný výstup.
- Dostanete konkrétní nabídku. Bude obsahovat domluvený rozsah, cenu a termín.
- Proběhne testování. Test se drží potvrzených hranic a oprávněníRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více.
- Dostanete výstup. Nálezy budou seřazené podle priority, dopadu a doporučeného dalšího postupu.
Co není automaticky součástí
- oprava nalezených problémů;
- retest po provedení oprav;
- testování systémů nebo funkcí mimo potvrzený rozsah;
- dlouhodobá odpovědnost za bezpečnost aplikace;
- compliance nebo certifikační audit;
- garance, že aplikace neobsahuje žádnou další zranitelnostSlabina v aplikaci, zařízení nebo nastavení, kterou lze zneužít k útoku. Více;
- práce bez jasného oprávněníRozhodnutí, co smí přihlášený uživatel vidět nebo dělat. Více vlastníka systému.
Opravy, hardening nebo retest je možné domluvit jako samostatnou navazující práci.
Kdy stačí Bezpečnostní kontrola webu
Pro jednu menší webovou aplikaci, jednu doménu nebo prostředí, nejvýše tři uživatelské role a pět hlavních aplikačních toků může být vhodnější Bezpečnostní kontrola webu.
Má pevně omezený rozsah, cenu 35 000 Kč a typické dodání do sedmi pracovních dnů od potvrzení rozsahu a předání potřebných přístupů. Pokud aplikace tento rámec překračuje, dává smysl Penetrační test na míru.
Cena penetračního testu
Cena se určuje podle rozsahu po krátkém scopu.
Ovlivňuje ji zejména velikost a složitost systému, počet rolí a prostředí, rozsah API, požadovaná hloubka testu, provozní omezení a podoba výstupu.
Po potvrzení rozsahu dostanete konkrétní nabídku. Ne neurčitý hodinový odhad bez jasných hranic.
Domluvit rozsah testu
Pošlete stručný popis aplikace, uživatelských rolí, prostředí a toho, co potřebujete testem ověřit. Pokud bude pro váš systém vhodnější pevná Bezpečnostní kontrola webu, řeknu to.