Sigurnosne provjere web aplikacija i webshopova
Provjeravamo dogovorene korisničke pristupe i funkcije, dokumentiramo potvrđene propuste i pripremamo jasan plan ispravka. Testiranje se provodi uz vaše prethodno odobrenje i u dogovorenom opsegu.
Što možemo provjeriti
Ciljane sigurnosne provjere i pregled koda obuhvaćaju područja koja dogovorimo prema vašoj aplikaciji i konkretnom pitanju.
- Korisničke uloge i ovlasti
- Provjeravamo dogovorene korisničke pristupe i administratorske ovlasti: može li svaka uloga vidjeti i raditi samo ono što joj pripada.
- Zapisi i zaštićene funkcije
- Provjeravamo može li korisnik pristupiti tuđim zapisima ili funkcijama za koje nema ovlaštenje.
- Izvorni kod i postavke
- Pregledavamo konkretne sumnjive obrasce u javnom ili dostavljenom kodu i osnovne sigurnosne postavke, prema dogovorenom opsegu.
- Ispravak i ponovna provjera
- Po dogovoru ispravljamo potvrđene nalaze ili neovisno provjeravamo sanaciju koju je napravio vaš postojeći izvođač.
Nalazi s dokazima i planom ispravka
Dobivate izvještaj koji jasno navodi što je provjereno i što pojedini nalaz znači za vašu aplikaciju.
- Status svakog nalaza: što je utvrđeno u kodu, potvrđeno testom ili nije potvrđeno.
- Dokaz ograničen na dogovoreni test, uz navedeno okruženje i uvjete provjere.
- Objašnjenje uzroka, prioritete i konkretne preporuke za ispravak.
Pregled javnog ili dostavljenog koda
Nalaz iz koda opisuje problem ili sumnjivi obrazac u pregledanoj verziji. Sam pregled koda ne potvrđuje da je propust prisutan i iskoristiv na aktivnoj aplikaciji.
Potvrda ponašanja aplikacije
Odobrenim testom provjeravamo ponašanje u dogovorenom okruženju. Potvrdu na kopiji ili testnom okruženju razlikujemo od potvrde na aktivnoj aplikaciji.
Popravak se može posebno ugovoriti ili ga može napraviti vaš postojeći izvođač.
Kako radimo
Opseg i ovlaštenja
Dogovaramo funkcije, okruženje, potrebne pristupe i vaše odobrenje za testiranje.
Provjera
Pregledavamo kod i provodimo odobrene testove u dogovorenom opsegu.
Izvještaj
Navodimo što je provjereno, status svakog nalaza, dokaze, uzrok i prioritete ispravka.
Sanacija i ponovna provjera
Po posebnom dogovoru ispravljamo nalaze ili provjeravamo je li tuđi popravak djelovao.
Provjera pokriva dogovorene funkcije i ne jamči odsutnost svih ranjivosti. Riječ je o ciljanoj provjeri, bez certifikacije ili stalnog nadzora.
Česta pitanja
Trebaju li vam pristupi i kako ih dogovaramo?
Ovisi o opsegu. Za pregled javnog ili dostavljenog koda ne mora biti potreban pristup serveru. Za provjeru korisničkih ovlasti možemo trebati testne račune s različitim ulogama. Potrebne pristupe i siguran način njihove predaje dogovaramo prije rada. Lozinke i pristupne ključeve nemojte slati u početnom upitu.
Provjeravate li kopiju ili aktivnu aplikaciju?
Možemo provjeravati kopiju ili testno okruženje, a uz vaše prethodno odobrenje i aktivnu aplikaciju. Provjera aktivne aplikacije može utjecati na njezin rad, pa postupak, vrijeme i granice testa dogovaramo unaprijed. U izvještaju navodimo u kojem je okruženju nalaz potvrđen.
Može li ispravke napraviti naš postojeći izvođač?
Da. Izvještaj s uzrokom i preporukama može poslužiti vašem izvođaču za ispravak. Po dogovoru možemo neovisno provjeriti sanaciju. Ako želite da ispravak napravimo mi, taj posao ugovaramo zasebno.
Što ako ciljani propust nije potvrđen?
U izvještaju navodimo da propust nije potvrđen u dogovorenom testu i uvjetima te što je provjereno i koja su ograničenja. To ne znači da u aplikaciji nema drugih ranjivosti. Cijenu i uvjete provjere dogovaramo prije početka rada.
Dogovorimo što želite provjeriti
Za početak su dovoljni domena i kratak opis upita. Opseg, cijenu i uvjete provjere dogovaramo prije početka rada.
Pošaljite domenu i kratak opis
Navedite aplikaciju ili webshop i što želite provjeriti. Javit ćemo se s pitanjima za dogovor opsega.