Mi az az alkalmazás biztonsági elemzés?
A szoftvere alapos átvizsgálása biztonsági gyengeségek után: nem biztonságos kód, sebezhető függőségek, hitelesítési és hozzáférési hibák, injection-pontok és API-kitettség. Kockázat szerint értékelt jelentést kap proof-of-concept példákkal és világos javításokkal.
Mi a különbség a SAST és a DAST között?
A SAST (statikus elemzés) a forráskódot vizsgálja anélkül, hogy futtatná; a DAST (dinamikus elemzés) a futó alkalmazást teszteli, hogy elkapja a csak futásidőben jelentkező problémákat. Mindkettőt használjuk, plusz kézi átvizsgálást, mert mindegyik módszer talál olyan problémákat, amelyeket a többi nem.
Csak jelentik a problémákat, vagy ki is javítják?
Mindkét lehetőség elérhető. Az elemzés szint a jelentést adja; a teljes szint azt jelenti, hogy kijavítjuk a sebezhetőségeket, javítjuk a biztonsági architektúrát, megerősítjük a konfigurációt, biztonsági tesztelést adunk a CI/CD-hez, majd újraellenőrizzük.
Ez egy behatolásteszt?
Átfedésben van, de mélyebbre megy. Egy behatolásteszt a futó app kívülről történő kihasználására összpontosít; mi emellett belülről is megvizsgáljuk a forráskódot, a függőségeket és a tervet, ami olyan gyökérokokat tár fel, amelyeket egy önálló fekete dobozos teszt elszalasztana. Tanácsot adunk, ha emellett egy formális behatolásteszt is hasznos.
Ellenőrzik a harmadik féltől származó könyvtárainkat és függőségeinket?
Igen. A supply-chain kockázat a biztonsági incidensek egyik fő forrása, ezért auditáljuk a harmadik féltől származó könyvtárait és csomagjait ismert sebezhetőségek, valamint kockázatos vagy elhagyott komponensek után, és biztonságos frissítéseket ajánlunk.
Mely platformokat és nyelveket fedik le?
Windows, Linux és macOS alkalmazásokat értékelünk, valamint a nyelvek és keretrendszerek széles körét, beleértve a webes, asztali, szerver- és API-háttéreket. Adja meg a stackjét, és a munka megkezdése előtt megerősítjük az illeszkedést.
Megzavarja a tesztelés az éles alkalmazásunkat vagy a felhasználóinkat?
A statikus elemzés teljesen zavartalan. A dinamikus teszteléshez staging környezetet részesítünk előnyben, és ha éles környezetben kell tesztelnünk, előbb egyeztetjük Önnel a megközelítést és az időzítést, hogy elkerüljük a felhasználókat érő hatást.
Hogyan tartják bizalmasan a kódunkat és adatainkat?
Biztonságos, minimális jogosultságú hozzáférésen keresztül dolgozunk, gondosan kezeljük a kódját és a hitelesítő adatokat, és bármilyen megosztás előtt aláírhatunk egy NDA-t. A megállapításokat bizalmasan, csak Önnek adjuk át, és máshol soha nem hozzuk nyilvánosságra.
Mennyi ideig tart?
Az alkalmazás méretétől és összetettségétől függ. Egy első, a hatókört tisztázó beszélgetés után világos ütemtervet adunk, a javítást pedig a megállapítások alapján külön tervezzük.
Be tudják építeni a biztonsági tesztelést a pipeline-unkba?
Igen. A teljes szint részeként beépíthetjük a SAST-ot, a függőség-szkennelést és más ellenőrzéseket a CI/CD-pipeline-jába, így az új kód automatikusan tesztelődik, és a problémák kiadás előtt kiderülnek.
Kapunk valamit, amit auditoroknak vagy ügyfeleknek megmutathatunk?
Igen. A jelentés dokumentálja, mit teszteltünk, a kockázati besorolásokat, a proof of conceptet és a javítást, ami hasznos bizonyíték biztonsági kérdőívekhez, átvilágításhoz és a saját ügyfeleinek.
Hogyan zajlik az árajánlatkérés?
Meséljen az alkalmazásáról, és válassza ki a megfelelő opciót. Átnézzük, és testreszabott, fix terjedelmű árajánlatot küldünk, általában egy munkanapon belül. Ingyenes és kötelezettség nélküli.