Cyberbezpieczeństwo

Usługi cyberbezpieczeństwa

Badamy podatności infrastruktury oraz testujemy aplikacje webowe, API i aplikacje mobilne. Pracujemy według metodyk OWASP. Każdy wynik sprawdzamy ręcznie, oceniamy ryzyko i piszemy, jak usunąć problem.

Poproś o wycenę Umów rozmowę

Co obejmują usługi

Badanie podatności

Szeroki przegląd infrastruktury i aplikacji pod kątem znanych podatności. Narzędzia znajdują kandydatów, a my ręcznie sprawdzamy każdy wynik, żeby w raporcie zostały tylko prawdziwe problemy.

Adresy i usługi widoczne z internetu oraz sieć wewnętrzna.
Skanowanie z kontem i bez konta, gdy chcesz zobaczyć brakujące poprawki na serwerach.
Ręczna weryfikacja każdego wyniku i usunięcie fałszywych alarmów.
Ocena według CVSS 4.0, wykorzystania podatności w atakach i znaczenia systemu.
Badanie jednorazowe albo cykliczne, na przykład co kwartał, z porównaniem do poprzedniego wyniku.

Poproś o wycenę tej usługi

Test aplikacji webowej

Test aplikacji i panelu administracyjnego według OWASP WSTG, z wymaganiami OWASP ASVS. Testujemy z kontami dla każdej roli użytkownika, bo najpoważniejsze błędy kryją się za logowaniem.

Logowanie, sesje, reset hasła i uwierzytelnianie wieloskładnikowe.
Uprawnienia: dostęp do danych innych użytkowników (IDOR) i do funkcji innych ról.
Wstrzyknięcia: SQL, polecenia systemowe, XSS, SSRF i inne.
Logika biznesowa: obejście kroków procesu, płatności i limitów.
Przesyłanie plików, konfiguracja serwera i nagłówki bezpieczeństwa.
Ujawnianie danych w komunikatach błędów, plikach i kodzie strony.

Poproś o wycenę tej usługi

Test API

Testy interfejsów REST, GraphQL i SOAP według OWASP API Security Top 10. Interfejs testujemy bezpośrednio, z pominięciem aplikacji, która normalnie z niego korzysta.

Uprawnienia do obiektów i do funkcji, w tym dostęp do cudzych rekordów.
Uwierzytelnianie oraz obsługa tokenów i kluczy.
Nadmiar danych w odpowiedziach i masowe przypisanie pól.
Limity zapytań i odporność na nadużycia.
Zapomniane i stare wersje interfejsu.

Poproś o wycenę tej usługi

Test aplikacji mobilnej

Testy aplikacji na iOS i Androida według OWASP MASVS i MASTG, razem z serwerem, z którym aplikacja się łączy.

Przechowywanie danych na urządzeniu i w kopiach zapasowych telefonu.
Komunikacja z serwerem: szyfrowanie i przypinanie certyfikatu.
Logowanie, sesje i uprawnienia po stronie serwera.
Klucze i hasła zaszyte w kodzie aplikacji.
Odporność na modyfikację aplikacji i działanie na telefonie z rootem albo jailbreakiem.

Poproś o wycenę tej usługi

Metodyki i normy

Testy opieramy na publicznych metodykach, więc wiesz, co dokładnie zostało sprawdzone. Model testu wybierasz Ty. Black box to test bez wiedzy o systemie. Grey box to test z kontami i podstawową dokumentacją. White box to test z pełnym dostępem do dokumentacji i kodu. Najczęściej polecamy grey box, bo w tym samym czasie sprawdza najwięcej.

OWASP WSTG
OWASP ASVS
OWASP API Security Top 10
OWASP MASVS
OWASP MASTG
CVSS 4.0
CWE

Jak pracujemy

Zakres i zasady

Ustalamy na piśmie cele, adresy, konta testowe, okno czasowe i osoby kontaktowe. Podpisujemy zobowiązanie poufności.

Rozpoznanie

Mapujemy aplikację albo infrastrukturę: funkcje, role, interfejsy, technologie i punkty wejścia.

Testy

Łączymy narzędzia z pracą ręczną. O krytycznej podatności informujemy od razu, bez czekania na raport.

Raport i omówienie

Przekazujemy raport i omawiamy go z zespołem technicznym, a podsumowanie z zarządem.

Ponowne sprawdzenie

Po wprowadzeniu poprawek sprawdzamy je jeszcze raz i potwierdzamy, które podatności zostały usunięte. Zakres ustalamy w wycenie.

Co dostajesz

Raport techniczny z listą podatności uszeregowaną według ryzyka.
Podsumowanie dla zarządu prostym językiem.
Omówienie wyników z zespołem technicznym.
Potwierdzenie usunięcia podatności po ponownym sprawdzeniu.

Co zawiera raport

Zakres, metodyka, model testu i terminy.
Dla każdej podatności: opis, miejsce, kroki odtworzenia i dowód w postaci zrzutów albo zapytań.
Ocena CVSS 4.0 i odniesienie do OWASP i CWE.
Skutek dla firmy i zalecenie naprawy z proponowanym terminem.
Przyczyny powtarzających się błędów, żeby nie wracały w kolejnych wersjach.

Czego potrzebujemy od Ciebie

Lista adresów, aplikacji albo interfejsów objętych testem.
Konta testowe dla każdej roli użytkownika.
Dokumentacja interfejsu, na przykład plik OpenAPI albo kolekcja zapytań.
Okno czasowe testu i osoba kontaktowa po Twojej stronie.
Zgoda dostawcy hostingu albo chmury, gdy jego zasady jej wymagają.

Pytania i odpowiedzi

Czym różni się badanie podatności od testu penetracyjnego?

Badanie podatności szeroko szuka znanych błędów i porządkuje je według ryzyka. Test penetracyjny idzie w głąb: sprawdza, czy błędy da się wykorzystać i łączyć, i co atakujący osiągnąłby w praktyce.

Czy testy mogą zakłócić działanie systemów?

Ryzyko jest małe, a ograniczamy je w zasadach testu: okno czasowe, wyłączone testy przeciążeniowe i stały kontakt z Twoim zespołem.

Czy testujecie na produkcji?

Najlepiej na środowisku testowym, które odpowiada produkcji. Gdy jest tylko produkcja, ustalamy dodatkowe ograniczenia, na przykład bez operacji, które zmieniają dane.

Jak często testować?

Po każdej dużej zmianie aplikacji albo infrastruktury i co najmniej raz w roku. NIS2 wymaga oceny skuteczności zabezpieczeń, a regularne testy są jej najprostszym dowodem.

Zacznijmy od zakresu

Wypełnij krótką ankietę o zakresie prac. Przygotujemy wycenę z terminem i sposobem realizacji. Dane chronimy zobowiązaniem poufności.

Poproś o wycenę Umów rozmowę

Pozostałe usługi

vCISO: wsparcie przy wdrożeniu i certyfikacji Testy penetracyjne i audyty Wszystkie usługi