Logistika läbistustestimine sõidukipargi haldusplatvormidele ja võrku ühendatud seadmete platvormidele
Pakume logistika läbistustesti (penetration test) ehk pentesti sõidukipargi haldusplatvormidele ja transpordiplatvormidele.
CTO-na või CISO-na juhite logistika-, transpordi-, sõidukipargi haldus- või liikuvusplatvormide või võrku ühendatud seadmete platvormide tehnoloogiat või turvalisust.
Võite korraldada testimist suurkliendi API liidestamise jaoks, internetist ligipääsetavate partnerite API-de tõttu või pärast seda, kui suurettevõttest käitaja küsib testi.
Testime veebirakendusi, mobiilirakendusi ja API-sid. Me ei auditeeri ega sertifitseeri vastavust ühelegi õigusaktile ega standardile.
Sõidukipargi rakenduste ja partnerite API-de kontrollid
Võrku ühendatud seadmete puhul testime platvormi: veebipõhiseid töölaudu, mobiilirakendusi ning API-sid, mille poole teie seadmed ja partnerid pöörduvad. Seadmete riistvara ja püsivara ei kuulu testimise ulatusse.
Sõidukipargi haldustarkvaras või sõidukipargi telemaatikaplatvormil võib testimine hõlmata alltoodud liideseid ja kontrolle.
Sõidukipargi ja partnerite liidesed
Õigused, allkirjastatud päringud ja sõidukipargi kirjed
- Autentimine ja autoriseerimine, sealhulgas partnerite API-de autentimine: kas partneri API-võtmega saab pärida teise partneri saadetisi või käitaja rakenduse kontoga pääseda ligi teise sõidukipargi sõidukikirjetele
- Sisendi valideerimine: kas tarne viiteväli aktsepteerib sisendit, mis muudab API andmebaasipäringut
- Krüpteerimine ja andmeterviklus: kas käitaja rakenduse tarneuuenduse vaheltvõtmine paljastab kättetoimetamistõendi üksikasju või võimaldab tarneseisundit märkamatult muuta
- Päringute allkirjastamine: kas API aktsepteerib taasesitatud saadetise uuendamise päringut või muudetud sisuosaga allkirjastatud päringut
- Päringusageduse piirangud ja käideldavus, sealhulgas päringuvoo piiramine: kas partner saab saadetiste otsingu piirangust mööda minna, muutes päringu parameetreid
- Veakäsitlus ja logimine: kas tagasilükatud tarneuuendus paljastab rakenduse üksikasju või jääb selle kohta logikirje tegemata
- Serveri seadistus ja andmebaasi turvalisus: kas sõidukipargi töölaud paljastab andmebaasi ühendusandmeid valesti seadistatud veebiotspunkti kaudu
- Loogikavead ja haavatavuste ahelad: kas ümbermääramise päringu ja tarneuuenduse kombineerimine võimaldab käitajal märkida määramata saadetise kättetoimetatuks
Üks testimisprojekt võib hõlmata käitaja mobiilirakendust koos API-dega, mis käsitlevad selle sõidukipargi- ja tarnepäringuid, ning kaasatava ulatuse lepime kokku testimise ulatuse määratlemisel.
Võrku ühendatud seadmete platvormide ja IoT-platvormide taustsüsteemid
Teie võrku ühendatud seadmete platvorm võib vajada testi, kui see võtab partnerite päringute kõrval vastu seadmete päringuid avalikule API-le.
Võrku ühendatud seadmete puhul testime platvormi: veebipõhiseid töölaudu, mobiilirakendusi ning API-sid, mille poole teie seadmed ja partnerid pöörduvad. Seadmete riistvara ja püsivara ei kuulu testimise ulatusse.
Meie testid hõlmavad seadmeid teenindavaid taustsüsteeme, mis võtavad need päringud vastu. Lugege töölauafunktsioonide ja käitajate kasutatavate mobiilirakenduste kontrollide kohta.
Seadmete taustsüsteemile tehtavate päringute kontrollid
- Kas seade saab oma autentimisandmetega esitada taustsüsteemile mõõteandmeid teise seadme registreeringu all
- Kas taustsüsteem lükkab tagasi seadme sõnumi, mille HMAC on arvutatud teise seadme võtmega
- Kas avalik API rakendab oma päringusageduse piirangut ühe seadme või partneri autentimisandmetega tehtud registreerimispäringutele
Kui suurklient liidestub teie API-ga
Suurklient, kes liidestab teie platvormi API kaudu saadetiste või sõidukipargi töövooge, võib küsida nende API-de ja töölaudade testi, mida ta kasutama hakkab.
Aruanne on tõendusmaterjal, mille saate esitada oma audiitoritele, järelevalveasutustele ja klientidele. Nemad otsustavad, mida aktsepteerivad.
Meie aruanded sisaldavad juhtkokkuvõtet, töö ulatust, testi liiki ja meetodeid, metoodikat, riski arvutamise viisi, leidude kokkuvõtet, iga leiu üksikasjalikke tulemusi ja lõppjäreldust.
Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.
Testimise tõendusmaterjal suurettevõttest käitajale
Suurettevõttest käitaja NIS2-ga seotud soov
Kui teie platvormi kasutav suurettevõttest käitaja küsib testi ja kuulub direktiivi NIS2 kohaldamisalasse, ütleb NIS2 testimise kohta järgmist:
EL-is nõuab direktiivi NIS2 artikkel 21(2)(f), et elutähtsate ja oluliste üksuste küberturvalisuse riskijuhtimismeetmed hõlmaksid põhimõtteid ja menetlusi nende tõhususe hindamiseks. Direktiivis NIS2 ei ole läbistustesti eraldi nimetatud nõutava testina. Test on üks võimalus sellise tõendusmaterjali esitamiseks.
Pakume testimise tõendusmaterjali. Me ei auditeeri ega sertifitseeri vastavust ühelegi õigusaktile ega standardile.
Sõidukipargi haldusplatvormi testi ulatuse määratlemine ja ajastamine
- Kaardistage testimise ulatusse kuuluvad sõidukipargi liidesed
Iga test algab planeerimisest: lepime kokku testimise ulatuse, testitavad süsteemid ja reeglid häirete vältimiseks.
Määratleme iga testi ulatuse koos teiega kas testimise ulatuse küsimustiku abil või testimise ulatuse määratlemise kohtumisel, kus esitame samad küsimused.
Testimise ulatuse määratlemisel lepime kokku, kas kasutada teie valitud sõidukipargi rakenduste ja partnerite API-de puhul musta kasti, halli kasti või valge kasti testimist. - Sõidukipargi rakenduste töös olevad keskkonnad ja eeltoodangukeskkonnad
Testime nii töös olevaid süsteeme kui ka eeltoodangukeskkondi. Ligikaudu 70% meie testidest toimub töös olevates süsteemides ja 30% eeltoodangukeskkondades. - Arutage lähetuste ja liidestuste ajastust
Kirjeldage, kuidas sõidukipargi jooksev töö ja partnerite liidestused sobituvad teie lähetusgraafikutega.
Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades. - Hinnake testimiseks kuluvat aega
Testimine kestab olenevalt projektist mõnest päevast mõne nädalani. Keskmine testimisperiood on 1–2 nädalat. - Kinnitage, millal testimine saab alata
Testimise algus sõltub meie praegusest ajakavast. Kui vajate testimist varem, võtke meiega ühendust ja teeme oma parima, et teie soovile vastu tulla.
Aruanne ja järeltest
Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.
20–100+ lehekülje pikkune aruanne dokumenteerib testitud sõidukipargi rakendused ja API-d ning igale leiule määratakse raskusaste.
Kui olete leidudega seotud haavatavused parandanud, testime neid uuesti.
Järeltest hõlmab ainult leide, mitte kogu rakendust. Järeltesti hind esitatakse tavaliselt testiga samas pakkumises. Järeltesti ajavahemik on umbes 4 nädalat. Kui olete leidudega seotud haavatavused varem parandanud ja meie ajakavas on vaba aeg, saab järeltesti teha varem.
Kogemus ja metoodika
Üle 7 aasta kogemust testimises on andnud meile ulatuslikud teadmised veebirakendustest ja veebilehtedest, e-kaubanduse platvormidest, mobiilirakendustest, API-dest ning SaaS-i lahendustest.
Meie läbistustestid võivad teie soovil või meie soovitusel järgida OWASP-i, ISSAF-i, PTES-i või OSSTMM-i. Selle, mida järgime ja kui suures ulatuses seda rakendame, lepime kokku testimise ulatuse määratlemisel.
Testimisel kasutame Burp Suite’i, käsitsi testimist ja oma tööriistu.
Meie läbistustestijatel on muu hulgas sertifikaadid PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+ ning nende avaldatud uurimistöö hõlmab viit CVE-d.
Korduvad küsimused
Millised sõidukipargi rakendused ja API-d saate meie logistikatesti kaasata?
Logistikaplatvormi test võib hõlmata sõidukipargi ja telemaatika API-sid, partneriportaale, veebipõhiseid töölaudu ning käitajate mobiilirakendusi, sealhulgas partnerite API-de autentimise, päringute allkirjastamise, päringusageduse piirangute ja andmetervikluse kontrolle.
Üks näide on saadetise otsing: kontrollime, kas selle viite muutmine võimaldab partneri API-võtmega pärida teise partneri saadetist.
Kas testite seadmeid, püsivara või telemaatikaseadmeid?
Võrku ühendatud seadmete puhul testime platvormi: veebipõhiseid töölaudu, mobiilirakendusi ning API-sid, mille poole teie seadmed ja partnerid pöörduvad. Seadmete riistvara ja püsivara ei kuulu testimise ulatusse.
Näiteks kontrollime, kas taustsüsteem aktsepteerib endiselt mõõteandmeid, mis on esitatud sellise seadme autentimisandmetega, mille registreering on tühistatud.
Miks testida platvormi, kui meie mure puudutab võrku ühendatud seadmeid?
Platvormi test uurib, kuidas seadmeid teenindavad taustsüsteemid ja avalikud API-d käsitlevad teie võrku ühendatud seadmete ja partnerite saadetud päringuid. Kontrollid hõlmavad autentimist, HMAC-allkirja kontrollimist ja päringusageduse piiranguid.
Kas saate kontrollida meie partnerite ja avalike API-de autentimist, päringute allkirjastamist ja päringusageduse piiranguid?
Partnerite ja avalike API-de testimine hõlmab autentimist, päringute allkirjastamist ning päringusageduse piiranguid teie logistikaplatvormi pakutavates otspunktides.
Saadetise seisundi päringute puhul hõlmab see kontrolli, kas API lükkab tagasi muudetud sisuosaga allkirjastatud päringu ja rakendab oma päringusageduse piirangut.
Mida saab aruandest suurklient, kes liidestub meie API kaudu?
Aruanne on tõendusmaterjal, mille saate esitada oma audiitoritele, järelevalveasutustele ja klientidele. Nemad otsustavad, mida aktsepteerivad.
Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.
Meie platvormi kasutav suurettevõttest käitaja küsib NIS2 kohta. Kas NIS2 nõuab läbistustesti?
Kui teie platvormi kasutav suurettevõttest käitaja kuulub direktiivi NIS2 kohaldamisalasse, ütleb NIS2 läbistustestimise kohta järgmist:
EL-is nõuab direktiivi NIS2 artikkel 21(2)(f), et elutähtsate ja oluliste üksuste küberturvalisuse riskijuhtimismeetmed hõlmaksid põhimõtteid ja menetlusi nende tõhususe hindamiseks. Direktiivis NIS2 ei ole läbistustesti eraldi nimetatud nõutava testina. Test on üks võimalus sellise tõendusmaterjali esitamiseks.
Kas testimine häirib meie sõidukipargi jooksvat tööd või partnerite liidestusi?
Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades.
Testi arutades tooge välja olulised lähetusperioodid ja partnerite saadetiste uuendused.
Mis mõjutab meie sõidukipargi haldusplatvormi ja partnerite API-de pentesti hinda?
Sõidukipargi haldusplatvormi läbistustesti hinda mõjutavad ajakava ja testimise liik koos testimise ulatusse kuuluvate süsteemide või rakenduste arvu ja keskkonna keerukusega.
Sõidukipargi haldusplatvormi testi hinna ja planeerimise kohta lisateabe saamiseks lugege korduvaid küsimusi testimise kohta.
Kas meie sõidukipargi haldusplatvormi haavatavuste hindamine on sama mis läbistustest?
Haavatavuste hindamisel skannitakse teie süsteeme Burp Suite’iga ning ekspert kontrollib skannimise leide ja seab need tähtsuse järjekorda. Läbistustest läheb kaugemale: läbistustestijad püüavad leitud haavatavusi ära kasutada ja näitavad teile nende mõju.
Sõidukipargi rakendustele ja API-dele testimisviisi valimiseks kasutage järgmiste teenuste kirjeldusi: läbistustestimine ja haavatavuste hindamine.
Arutame teie testimisvajadusi
Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.
Või kirjutage meile aadressil info@c-yber.com
Mida lisada
Kirjeldage, mida on vaja testida (veebirakendus, mobiilirakendus või API), testimise ligikaudset ulatust, miks ja millal testi vajate ning kas soovite näidisaruannet.
Mida mitte lisada
Ärge saatke paroole, API-võtmeid, pääsutõendeid ega muid juurdepääsuandmeid, lähtekoodi, parandamata haavatavuste üksikasju ega oma klientide isikuandmeid.