Fintech’i läbistustestimine makse- ja pangarakendustele

Ründepinnad ja riskid

Määratlege fintech’i läbistustestimise ulatus nende rakenduste, liideste ja raha liigutamise voogude järgi, mida on vaja testida.

Testime, kuidas teie süsteem kasutab oma liidestusi – KYC-, makse-, panga- ja eID-teenuseid.

Maksed

Fintech-pentest võib hõlmata maksevooge, makseteenusepakkujate liidestusi ja väljamakseid. Testime, kas dubleeritud või taasesitatud päringud või veebihaagid võivad raha kaks korda liigutada ning kas päringusageduse piirangud peavad vastu, kui päringuid kiiresti korratakse.

Testime autoriseerimist: kas kasutaja saab algatada, muuta või kinnitada makset, tagasimakset või väljamakset, milleks tal puudub õigus. Uurime tagasimaksete, sooduspakkumiste ja kaardimaksete tagasinõuete kuritarvitamist loogikavigadena.

Makseteenusepakkujate liidestuste puhul testime, kuidas teie süsteem käsitleb vastuseid ja tagasikutseid. Ostu vormistamise kohta vaadake e-kaubanduse läbistustestimist.

Laenu- ja pangarakendused

Laenu- ja pangarakenduste testimise ulatus võib hõlmata internetipanga veebirakendust, mobiilipanga rakendust ja kliendi veebirakendust, kus taotlejad esitavad taotlusi. Testime nende rakenduste taga olevaid API-sid, sealhulgas kliendiks saamise ja KYC päringuid ning konto- ja tagasimaksevaateid teenindavaid otspunkte.

Testime autentimist ja kahefaktorilise autentimise vooge ning seda, kas klient pääseb teise kliendi andmetele ligi ilma vastava õiguseta. Testime ka sisselogimise ja kliendiks saamise päringusageduse piiranguid ning raha liigutamise loogikavigu.

Testimise ulatusse võivad kuuluda nii mobiilirakendus kui ka selle API-d. Makseteenuste kohta vaadake direktiivi PSD2 jaotist.

Kindlustustehnoloogia

Kindlustustehnoloogia testimine võib hõlmata kliendiportaale, kus kindlustusvõtjad vaatavad poliise ja esitavad kahjunõudeid, iOS-i ja Androidi mobiilirakendusi ning partnerite või maaklerite API-sid.

Nendes portaalides, rakendustes ja API-des testime autentimist ja autoriseerimist, sisendi valideerimist, krüpteerimist ja andmeterviklust, päringusageduse piiramist ning veakäsitlust.

Kuidas test kulgeb

1. Testimise ulatus ja liik
   Iga test algab planeerimisest: lepime kokku testimise ulatuse, testitavad süsteemid ja reeglid häirete vältimiseks.
   
   Määratleme iga testi ulatuse koos teiega kas testimise ulatuse küsimustiku abil või testimise ulatuse määratlemise kohtumisel, kus esitame samad küsimused.
   
   Testimine võib olla musta kasti, halli kasti või valge kasti testimine ning selles lepitakse kokku testimise ulatuse määratlemisel. Valge kasti testimine tähendab täielikku juurdepääsu süsteemidele ja dokumentatsioonile.
2. Töös olev süsteem või eeltoodangukeskkond
   Testime nii töös olevaid süsteeme kui ka eeltoodangukeskkondi. Ligikaudu 70% meie testidest toimub töös olevates süsteemides ja 30% eeltoodangukeskkondades.
3. Töös olevad makse- ja pangateenused
   Öelge meile testimise ulatuse määratlemisel, millised töös olevad makse- või pangateenused ja ajavahemikud on teie tegevuse jaoks kõige olulisemad.
   
   Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades.
4. Testimise kestus
   Testimine kestab olenevalt projektist mõnest päevast mõne nädalani. Keskmine testimisperiood on 1–2 nädalat.
5. Alguskuupäev
   Testimise algus sõltub meie praegusest ajakavast. Kui vajate testimist varem, võtke meiega ühendust ja teeme oma parima, et teie soovile vastu tulla.

Aruanne ja järeltest

Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.

Meie aruanded sisaldavad juhtkokkuvõtet, töö ulatust, testi liiki ja meetodeid, metoodikat, riski arvutamise viisi, leidude kokkuvõtet, iga leiu üksikasjalikke tulemusi ja lõppjäreldust.

Teie makse- või pangarakenduse aruandes määratakse igale leiule raskusaste.

Aruannete maht on 20–100+ lehekülge.

Kui olete leidudega seotud haavatavused parandanud, testime neid uuesti.

Järeltest hõlmab ainult leide, mitte kogu rakendust. Järeltesti hind esitatakse tavaliselt testiga samas pakkumises. Järeltesti ajavahemik on umbes 4 nädalat. Kui olete leidudega seotud haavatavused varem parandanud ja meie ajakavas on vaba aeg, saab järeltesti teha varem.

Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.

Kogemus ja metoodika

Üle 7 aasta kogemust testimises on andnud meile ulatuslikud teadmised veebirakendustest ja veebilehtedest, e-kaubanduse platvormidest, mobiilirakendustest, API-dest ning SaaS-i lahendustest.

Meie läbistustestid võivad teie soovil või meie soovitusel järgida OWASP-i, ISSAF-i, PTES-i või OSSTMM-i. Selle, mida järgime ja kui suures ulatuses seda rakendame, lepime kokku testimise ulatuse määratlemisel.

Testimisel kasutame Burp Suite’i, käsitsi testimist ja oma tööriistu.

Meie läbistustestijatel on muu hulgas sertifikaadid PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+ ning nende avaldatud uurimistöö hõlmab viit CVE-d.

Korduvad küsimused

Kas DORA nõuab läbistustestimist ja mis on TLPT?

DORA kohaselt peavad EL-i finantssektori ettevõtjad, välja arvatud mikroettevõtjad, rakendama digitaalse tegevuskerksuse testimise programmi ja testima vähemalt kord aastas IKT-süsteeme ja -rakendusi, mis toetavad kriitilisi või olulisi funktsioone (artikkel 24). Läbistustestimine on üks artiklis 25 selle programmi jaoks loetletud testidest. Meie veebirakenduste, mobiilirakenduste ja API-de läbistustestid võivad olla selle programmi osa.

Me ei tee DORA artikli 26 kohast ohuteabel põhinevat läbistustestimist (TLPT).

Mida PCI DSS nõuab ja kui sageli?

PCI DSS v4.0.1 nõude 11.4 kohaselt tuleb teha sisemist ja välist läbistustestimist vähemalt kord iga 12 kuu jooksul ning pärast olulisi muudatusi, sealhulgas võrgukihi testimist ja segmenteerimise kasutamise korral ka segmenteerimise testimist. Testime teie PCI DSS-i ulatusse kuuluvaid veebirakendusi, API-sid ja mobiilirakendusi. Me ei testi võrgukihti ega segmenteerimist, seega katab meie test osa nõudest 11.4. Me ei ole QSA ega sertifitseeri vastavust PCI DSS-ile.

Kuidas testite tehinguloogikat, tagasimakseid, sooduspakkumisi, kaardimaksete tagasinõudeid ja päringusageduse piiranguid?

Testime tehinguloogikat, kontrollides, kuidas raha liigutamise ja tagasimaksete vood reageerivad korduvatele päringutele ning kasutaja õigusi ületavatele toimingutele. Kontrollid hõlmavad tagasimaksete, sooduspakkumiste ja kaardimaksete tagasinõuete kuritarvitamist, päringusageduse piiranguid, autentimist ja kahefaktorilise autentimise vooge, veebihaakide käsitlust ning idempotentsust.

Kas testite mobiilirakendust ja selle API-sid koos?

Jah, mobiilirakendust ja selle taga olevaid API-sid saab testida sama testimisprojekti raames.

Määratleme iga testi ulatuse koos teiega kas testimise ulatuse küsimustiku abil või testimise ulatuse määratlemise kohtumisel, kus esitame samad küsimused.

Kuidas testite liidestusi KYC-teenuste, makseteenusepakkujate ja pankade API-dega?

Testime, kuidas teie süsteem kasutab oma liidestusi – KYC-, makse-, panga- ja eID-teenuseid.

Kas testimine häirib meie töös olevaid finantsteenuseid?

Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades.

Partnerpank küsis meie läbistustesti aruannet. Mida see talle annab?

Aruanne on tõendusmaterjal, mille saate esitada oma audiitoritele, järelevalveasutustele ja klientidele. Nemad otsustavad, mida aktsepteerivad.

Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.

Kuidas järeltestid toimuvad?

Kui olete leidudega seotud haavatavused parandanud, testime neid uuesti.

Järeltest hõlmab ainult leide, mitte kogu rakendust. Järeltesti hind esitatakse tavaliselt testiga samas pakkumises. Järeltesti ajavahemik on umbes 4 nädalat. Kui olete leidudega seotud haavatavused varem parandanud ja meie ajakavas on vaba aeg, saab järeltesti teha varem.

Kui palju maksab fintech-pentest?

Fintech’i läbistustesti hind sõltub testimise ulatusse kuuluvate süsteemide või rakenduste arvust, testimise liigist, keskkonna keerukusest ja ajakavast.

Vaadake korduvaid küsimusi läbistustestimise hinna, kestuse ja sageduse kohta.

Mis vahe on läbistustestil ja haavatavuste hindamisel?

Haavatavuste hindamisel skannitakse teie süsteeme Burp Suite’iga ning ekspert kontrollib skannimise leide ja seab need tähtsuse järjekorda. Läbistustest läheb kaugemale: läbistustestijad püüavad leitud haavatavusi ära kasutada ja näitavad teile nende mõju.

Teenuste üksikasjad leiate lehtedelt läbistustestimine ja haavatavuste hindamine.

Seotud teenused

• Veebirakenduse turvalisuse testimine
• Mobiilirakenduse turvalisuse testimine
• API turvalisuse testimine
• Läbistustestimine
• Haavatavuste hindamine