Turvaaudit

Turvaaudit tähendab teie veebilehe uurimist nii, nagu teeks seda pahatahtlik inimene, ning teile nimekirja üleandmist sellest, mida ta võiks ära kasutada. FastSolve otsib turvanõrkused üles enne, kui ründaja need leiab, ja annab teile vahendid nende sulgemiseks.

See teenus eeldab teie kirjalikku volitust ja tõendit, et veebileht kuulub teile. Just see eristab õiguspärast testi sissetungist ning kaitseb teid vaidluse korral.

Selle teenuse eest esitatakse arve aktsepteeritud hinnapakkumise alusel. Audit annab tulemuseks hinnangu, mitte tööriista: tavapärane reegel, kõigepealt testite ja siis maksate, siin rakenduda ei saa. Hinnapakkumises on ette kirjas, mida see sisaldab ja kui põhjalik on analüüs.

Mida ründaja kõigepealt vaatab

Sissetung algab harva millestki silmatorkavast. See algab uksest, mis jäi kogemata lahti.

• Kogemata avalikult kättesaadavaks jäetud failid: varukoopia, seadistusfail, tehniline kaust, mida miski ei kaitse.
• Vormid, mis usaldavad kõike, mis neile saadetakse, ja mida kasutatakse ära selleks, et lugeda või kirjutada seda, mida ei tohiks.
• Kaitstud keskkond, kus pääseb teise kasutaja sisule ligi, muutes lihtsalt aadressis üht numbrit.
• Teenus, mis vastab piiranguteta kõigile ja mida koormatakse tsüklis, et arvet suurendada või veebilehte üle koormata.

Ükski neist ustest ei paista avalehelt välja. Need leitakse, otsides süstemaatiliselt seda, mida tavaline külastaja kunagi ei vaata.

Mida audit hõlmab

Test järgib sama teed nagu päris ründaja, kuid midagi rikkumata ja teie andmeid puudutamata.

1. Luure

Turvapäised, krüpteerimise seadistus, avalikud failid, unustatud alamdomeenid: esimene läbivaatus kaardistab kõik, mis on väljastpoolt nähtav.

Tüüpolukord. Pealtnäha tavaline veebileht jättis vana varukoopia äraarvatava aadressi kaudu allalaaditavaks. See sisaldas kogu andmebaasi. Audit leidis selle mõne minutiga.

2. Süstimis- ja sisuhaavatavused

Kontrollime, kas mõni väli, aadress või parameeter võimaldab koodi sisestada, kuva kaaperdada või panna veebilehte tegema seda, mida see ei tohiks.

Tüüpolukord. Kontaktivorm kuvas sisestatu muutmata kujul tagasi. Hästi valitud reast piisas, et näidata järgmistele külastajatele võltsitud sisselogimisteadet.

3. Juurdepääsukontroll ja andmed

See on kõige tundlikum punkt kohe, kui on olemas kasutajakontod: tuleb tagada, et kasutaja ei pääse kunagi teise kasutaja andmetele ning et seansse ei ole võimalik varastada.

Tüüpolukord. Kliendiportaalis kuvas aadressis numbri asendamine teise kliendi arve. Keegi ei olnud seda märganud, sest miski sellest märku ei andnud.

4. Kuritarvitamine ja kulud

Mõõdame, mida võõras saab piiranguteta käivitada: masssaatmised, korduvad päringud tasulisele teenusele, automatiseeritavad toimingud, mis maksavad raha või vähendavad kättesaadavust.

Tüüpolukord. Veebiassistent vastas kõigile ilma igasuguse piiranguta. Lihtsast tsüklist oleks piisanud, et tasulise teenuse arve ühe ööga suureks ajada.

Mida audit ei tee

See näitab teile, kus on avatud uksed. See ei väida, et on midagi enamat.

• See ei asenda ametlikku sertifitseerimist. Kui teie valdkond või kindlustusandja seda nõuab, on vaja akrediteeritud teenusepakkujat, kes võtab vastutuse. Audit annab teile tõsise tehnilise ülevaate olukorrast, mitte regulatiivset templit.
• See ei riku midagi tõestamiseks. Ei mingeid purustavaid rünnakuid ega ülekoormamist: turvanõrkused näidatakse ära kahjutul viisil, ilma teie tegelikke andmeid kunagi puudutamata.
• See ei paranda iseenesest. Leitud turvanõrkuste sulgemine kuulub turvamise alla, mis on eraldi teenus ja mida FastSolve samuti pakub.
• See kehtib konkreetsel hetkel. Veebileht areneb: audit tuvastab tänase seisu, kuid ei jälgi teie eest tulevikku.

Aus audit on parem kui rahustav audit. Eelistame teatada teile ühest turvanõrkusest rohkem kui ühest vähem.

Korduma kippuvad küsimused

Öelge meile, millist veebilehte soovite proovile panna

Vaata, kuidas projekt kulgeb kaardistamisest üleandmiseni
Vaata kõiki FastSolve'i teenuseid