Phân tích bảo mật ứng dụng là gì?
Đó là việc rà soát kỹ lưỡng phần mềm của bạn để tìm các điểm yếu bảo mật: mã không an toàn, phụ thuộc dễ tổn thương, lỗ hổng xác thực và truy cập, điểm tiêm nhiễm và phơi nhiễm API. Bạn nhận được báo cáo xếp loại theo rủi ro kèm ví dụ bằng chứng khái niệm và các bản sửa rõ ràng.
SAST và DAST khác nhau thế nào?
SAST (phân tích tĩnh) xem xét mã nguồn của bạn mà không chạy nó; DAST (phân tích động) kiểm thử ứng dụng đang chạy để bắt các vấn đề chỉ xuất hiện lúc chạy. Chúng tôi dùng cả hai, cộng với rà soát thủ công, vì mỗi phương pháp tìm ra vấn đề mà các phương pháp khác bỏ sót.
Bạn chỉ báo cáo vấn đề, hay có thể khắc phục chúng?
Cả hai lựa chọn đều có. Gói phân tích cung cấp báo cáo; gói đầy đủ nghĩa là chúng tôi khắc phục các lỗ hổng, cải thiện kiến trúc bảo mật, tăng cường cấu hình, thêm kiểm thử bảo mật vào CI/CD và kiểm tra lại sau đó.
Đây có phải là kiểm thử xâm nhập không?
Có chồng lấn nhưng sâu hơn. Một bài kiểm thử xâm nhập tập trung khai thác ứng dụng đang chạy từ bên ngoài; chúng tôi còn xem xét mã nguồn, phụ thuộc và thiết kế từ bên trong, giúp tìm nguyên nhân gốc mà một bài kiểm thử hộp đen đơn thuần sẽ bỏ lỡ. Chúng tôi có thể tư vấn liệu một bài kiểm thử xâm nhập chính thức có hữu ích hay không.
Bạn có kiểm tra thư viện và phụ thuộc bên thứ ba của chúng tôi không?
Có. Rủi ro chuỗi cung ứng là nguồn vi phạm lớn, nên chúng tôi kiểm toán thư viện và gói bên thứ ba của bạn để tìm lỗ hổng đã biết cùng các thành phần rủi ro hoặc bị bỏ rơi, và đề xuất nâng cấp an toàn.
Bạn bao quát những nền tảng và ngôn ngữ nào?
Chúng tôi đánh giá ứng dụng trên Windows, Linux và macOS, cùng nhiều ngôn ngữ và framework, gồm web, desktop, máy chủ và back-end API. Hãy cho chúng tôi biết stack của bạn và chúng tôi sẽ xác nhận sự phù hợp trước khi bắt đầu.
Việc kiểm thử có làm gián đoạn ứng dụng đang chạy hoặc người dùng của chúng tôi không?
Phân tích tĩnh hoàn toàn không gây gián đoạn. Đối với kiểm thử động, chúng tôi ưu tiên môi trường staging, và nếu phải kiểm thử trên production, chúng tôi thống nhất trước với bạn về cách tiếp cận và thời điểm để tránh ảnh hưởng đến người dùng.
Bạn giữ bí mật mã và dữ liệu của chúng tôi ra sao?
Chúng tôi làm việc qua quyền truy cập an toàn với đặc quyền tối thiểu, xử lý mã và thông tin đăng nhập của bạn cẩn thận, và có thể ký NDA trước khi chia sẻ bất kỳ điều gì. Phát hiện được bàn giao riêng cho bạn và không bao giờ tiết lộ ở nơi khác.
Mất bao lâu?
Tùy vào quy mô và độ phức tạp của ứng dụng. Sau cuộc trao đổi xác định phạm vi ban đầu, chúng tôi đưa ra lịch trình rõ ràng, với việc khắc phục được lên kế hoạch riêng dựa trên các phát hiện.
Bạn có thể tích hợp kiểm thử bảo mật vào pipeline của chúng tôi không?
Có. Trong gói đầy đủ, chúng tôi có thể kết nối SAST, quét phụ thuộc và các kiểm tra khác vào pipeline CI/CD của bạn để mã mới được kiểm thử tự động và vấn đề được bắt trước khi phát hành.
Chúng tôi có nhận được thứ gì để trình cho kiểm toán viên hoặc khách hàng không?
Có. Báo cáo ghi lại những gì đã kiểm thử, mức xếp loại rủi ro, bằng chứng khái niệm và biện pháp khắc phục, là bằng chứng hữu ích cho bảng câu hỏi bảo mật, thẩm định và chính khách hàng của bạn.
Quy trình báo giá diễn ra thế nào?
Hãy cho chúng tôi biết về ứng dụng của bạn và chọn phương án phù hợp. Chúng tôi xem xét và gửi bạn báo giá tùy chỉnh với phạm vi cố định, thường trong vòng một ngày làm việc. Miễn phí và không ràng buộc.