Keda aitame läbistustestimisega
C-YBER pakub sellel lehel loetletud ettevõtetele veebirakenduste, mobiilirakenduste ja API-de läbistustestimist ning haavatavuste hindamist. Kui olete CTO, CISO või muu tehnilise taustaga ostuotsustaja, tutvuge allpool oma ettevõttele sobiva testimise ulatusega.
Testime veebirakendusi, mobiilirakendusi ja API-sid. Me ei auditeeri ega sertifitseeri vastavust ühelegi õigusaktile ega standardile.
Haavatavuste hindamisel skannitakse teie süsteeme Burp Suite’iga ning ekspert kontrollib skannimise leide ja seab need tähtsuse järjekorda. Läbistustest läheb kaugemale: läbistustestijad püüavad leitud haavatavusi ära kasutada ja näitavad teile nende mõju.
Läbistustestimine
Teie ettevõtte läbistustest (penetration test) ehk pentest algab testimise ulatuse ja testimise reeglite kokkuleppimisest. Sellele järgnevad eelluure ja katsed tuvastatud haavatavusi ära kasutada. Test hõlmab aruannet ja tuge haavatavuste parandamisel.
Haavatavuste hindamine
Haavatavuste hindamine hõlmab eksperdi käsitsi tehtavat skannimistulemuste analüüsi, aruannet ja abi haavatavuste parandamisel, ilma haavatavusi aktiivselt ära kasutamata.
Mida testimine hõlmab
Rakendused ja liidesed
- Veebilahendused: veebilehed, veebirakendused, e-poed, internetipangarakendused ja kõik veebiliidesega süsteemid
- Mobiilirakendused: iOS ja Android
- API-d: andmevahetusliidesed ja süsteemidevahelised liidesed
Mida kontrollime
- Autentimine ja autoriseerimine
- Sisendi valideerimine
- Krüpteerimine ja andmeterviklus
- Päringusageduse ja päringuvoo piiramine
- Veakäsitlus ja logimine
- Serveri seadistus ja andmebaasi turvalisus
- Loogikavead
- Haavatavuste ahelad
Testimine teie ettevõttele
Valige oma ettevõttele vastav leht, et tutvuda teile asjakohase testimise ulatuse ja küsimustega.
Fintech’i läbistustestimine
Kui juhite fintech’i toodet või maksetoodet, võite olla lisamas raha liigutamise funktsiooni või vastamas panga palvele läbistustest teha.
- Klientidele mõeldud veebi- ja internetipangarakendused
- iOS-i ja Androidi mobiilirakendused
- KYC ja maksevoogude API-d
SaaS-i läbistustestimine
SaaS-i tehnilise juhina võib teil olla vaja testi suurkliendi turvalisuse ülevaatuseks või autentimise või arvelduse ümberarenduse tõttu.
- Mitme kliendikeskkonnaga veebirakendused
- Avalikud API-d
- Mobiilirakendused, kui need on olemas
Läbistustestimine tarkvaraarendusettevõtetele
Kui teie tarkvaraarendusettevõte valmistab kliendile arendatud tarkvara ette kasutuselevõtuks või üleandmiseks, võib klient soovida läbistustesti. Seda võidakse nõuda ka hankes.
- Eritellimusel loodud veebirakendused ja veebilehed
- Mobiilirakendused iOS-ile ja Androidile
- Andmevahetuse ja süsteemide liidestamise API-d
E-kaubanduse läbistustestimine
Jaekaubanduse ja turuplatside tehnoloogiajuhtidele võib testimise ajendiks olla e-poe avamine, platvormivahetus või kõrghooaeg. Ajendiks võib olla ka e-poe ost või müük.
- E-poodide veebirakendused ja erilahendusena loodud ostu vormistamine
- Laoseisu API-d
- Halduskonsoolid
Läbistustestimine avaliku sektori tarkvaratarnijatele
Teie ettevõte tarnib avaliku sektori asutustele tarkvara või digiteenuseid, sealhulgas EdTech-platvorme. Läbistustesti ajendiks võib olla hange, lepingu turvaklausel või kliendi soov.
- Kodanikuportaalid ja veebivormid
- Identiteediteenuste liidestused teenustesse sisselogimiseks
- Avalike digiteenuste API-d
Tervishoiu läbistustestimine
Haigla või tervisekindlustusandja turvakontrollnimekiri võib ajendada teie tervisetehnoloogiaettevõtet testimist korraldama. Haigla või muu tervishoiuvaldkonna klient võib samuti soovida teie platvormi testimist.
- Patsiendiportaalid ja telemeditsiinirakendused
- FHIR-i ja HL7 API-d
- Patsientide ja klinitsistide mobiilirakendused
Logistika läbistustestimine
Suurkliendi API liidestamine võib ajendada teie logistika-, transpordi-, sõidukipargi haldusplatvormi või võrku ühendatud seadmete platvormi testimist. Muud põhjused on internetist ligipääsetavad partnerite API-d või suurettevõttest käitaja soov.
- Sõidukipargi ja telemaatika API-d
- Partneriportaalid ja veebipõhised töölauad
- Käitajate mobiilirakendused
Kuidas testimisprojekt kulgeb
- Testimise ulatus ja liik
Iga test algab planeerimisest: lepime kokku testimise ulatuse, testitavad süsteemid ja reeglid häirete vältimiseks.
Määratleme iga testi ulatuse koos teiega kas testimise ulatuse küsimustiku abil või testimise ulatuse määratlemise kohtumisel, kus esitame samad küsimused.
Testimine võib olla musta kasti, halli kasti või valge kasti testimine ning selles lepitakse kokku testimise ulatuse määratlemisel. Valge kasti testimine tähendab täielikku juurdepääsu süsteemidele ja dokumentatsioonile. - Keskkond ja ajakava
Testime nii töös olevaid süsteeme kui ka eeltoodangukeskkondi. Ligikaudu 70% meie testidest toimub töös olevates süsteemides ja 30% eeltoodangukeskkondades.
Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades. - Aruanne ja keel
Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.
Meie aruanded sisaldavad juhtkokkuvõtet, töö ulatust, testi liiki ja meetodeid, metoodikat, riski arvutamise viisi, leidude kokkuvõtet, iga leiu üksikasjalikke tulemusi ja lõppjäreldust.
Aruannete maht on 20–100+ lehekülge.
Esitame aruande teie soovitud keeles: inglise, eesti või mõnes muus keeles või mitmes keeles. - Järeltestimine ja tugi
Kui olete leidudega seotud haavatavused parandanud, testime neid uuesti.
Järeltest hõlmab ainult leide, mitte kogu rakendust. Järeltesti hind esitatakse tavaliselt testiga samas pakkumises. Järeltesti ajavahemik on umbes 4 nädalat. Kui olete leidudega seotud haavatavused varem parandanud ja meie ajakavas on vaba aeg, saab järeltesti teha varem.
Pärast aruande esitamist korraldame leidude kohta konsultatsiooni ja aitame teil parandusi kontrollida.
Korduvad küsimused testimise kohta
Kui palju maksab läbistustestimine või haavatavuste hindamine?
Läbistustestimise ja haavatavuste hindamise hind määratakse projektipõhiselt, lähtudes testimise ulatusest.
Läbistustestimise hinda mõjutavad tegurid
- Testimise ulatusse kuuluvate süsteemide või rakenduste arv
- Testimise liik
- Keskkonna keerukus
- Ajakava
Haavatavuste hindamise hinda mõjutavad tegurid
- Testimise ulatusse kuuluvate süsteemide või rakenduste arv
- Keskkonna suurus ja keerukus
- Aruande põhjalikkus
Kui kaua testimine kestab?
Testimine kestab olenevalt projektist mõnest päevast mõne nädalani. Keskmine testimisperiood on 1–2 nädalat.
Kui kiiresti saate testimist alustada?
Testimise algus sõltub meie praegusest ajakavast. Kui vajate testimist varem, võtke meiega ühendust ja teeme oma parima, et teie soovile vastu tulla.
Kui sageli peaksime penteste korraldama?
Soovitame läbistustestimist 2–4 korda aastas ja pärast suuremaid muudatusi.
Kas saame näha läbistustesti näidisaruannet?
Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.
Kas GDPR nõuab läbistustesti?
Turvameetmete hulgas, mida GDPR-i artikli 32(1) kohaselt tuleb vastutavatel ja volitatud töötlejatel asjakohasel juhul rakendada, on nende meetmete tõhususe korrapärase testimise, analüüsimise ja hindamise protsess (punkt (d); UK GDPR sisaldab sama sõnastust). Läbistustest on üks võimalus esitada selle protsessi kohta tõendusmaterjali testiga hõlmatud süsteemide puhul.
Kogemus ja metoodika
Üle 7 aasta kogemust testimises on andnud meile ulatuslikud teadmised veebirakendustest ja veebilehtedest, e-kaubanduse platvormidest, mobiilirakendustest, API-dest ning SaaS-i lahendustest.
Meie läbistustestid võivad teie soovil või meie soovitusel järgida OWASP-i, ISSAF-i, PTES-i või OSSTMM-i. Selle, mida järgime ja kui suures ulatuses seda rakendame, lepime kokku testimise ulatuse määratlemisel.
Testimisel kasutame Burp Suite’i, käsitsi testimist ja oma tööriistu.
Meie läbistustestijatel on muu hulgas sertifikaadid PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+ ning nende avaldatud uurimistöö hõlmab viit CVE-d.
Arutame teie testimisvajadusi
Pakume testimise tõendusmaterjali. Me ei auditeeri ega sertifitseeri vastavust ühelegi õigusaktile ega standardile.
Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.
Või kirjutage meile aadressil info@c-yber.com
Mida lisada
Kirjeldage, mida on vaja testida (veebirakendus, mobiilirakendus või API), testimise ligikaudset ulatust, miks ja millal testi vajate ning kas soovite näidisaruannet.
Mida mitte lisada
Ärge saatke paroole, API-võtmeid, pääsutõendeid ega muid juurdepääsuandmeid, lähtekoodi, parandamata haavatavuste üksikasju ega oma klientide isikuandmeid.