Bezpečnostní audit webové aplikace

Kdy má smysl začít auditem

Před spuštěním důležité funkce

Aplikace má získat nové přihlašování, platby, klientský portál, zaměstnanecké role, integraci nebo API. Chcete prověřit dohodnutou část dříve, než začne pracovat se skutečnými uživateli a daty.

Po změně dodavatele nebo při převzetí systému

Máte funkční aplikaci, ale nevíte, která rozhodnutí týkající se přístupů, konfigurace a ochrany dat už někdo ověřil. Audit pomůže oddělit naléhavé problémy od úkolů, které lze naplánovat později.

Před větším rozšířením

Plánujete nové role, moduly nebo integrace. Když nejprve poznáte současná omezení, snížíte riziko, že se problémy přenesou i do nových částí systému.

Když se aplikace chová podezřele

Uživatelé vidí data, ke kterým by neměli mít přístup, přihlašování se chová nejednotně, API vrací příliš mnoho informací nebo konfigurace vzbuzuje pochybnosti. Nejprve určíme, zda je vhodný plánovaný audit, nebo je nutné rychlé řešení incidentu.

Když potřebujete určit pořadí oprav

Seznam varování z automatického skeneru ještě neříká, co je v dané aplikaci skutečně reprodukovatelné a co má největší význam pro firmu. Potřebujete potvrzení, kontext a priority.

Audit, kontrola konfigurace, revize kódu a penetrační test nejsou totéž

Tyto názvy se někdy používají zaměnitelně, skutečný rozsah práce se však může výrazně lišit. Proto před zahájením v nabídce uvádíme, které činnosti jsou součástí zakázky.

Pojem "penetrační test" používáme jen tehdy, když konkrétní zakázka skutečně zahrnuje dohodnuté penetrační testování. Samotný audit není příslibem úplného pentestu.

Rozsah stanovíme před zahájením

Každá aplikace má jiné přihlašování, role, data, integrace a rizika. Před naceněním si ujasníme alespoň:

• zahrnuté domény, aplikace a prostředí;
• kontrolované funkce a procesy;
• role a testovací účty, které lze použít;
• vybrané endpointy API a související integrace;
• povolené druhy testů a jejich hranice;
• části výslovně vyloučené z rozsahu;
• podmínky bezpečné práce v testovacím nebo produkčním prostředí;
• podobu výsledku a osoby oprávněné jej převzít.

Pokud část aplikace, infrastruktury nebo kódu do zakázky nepatří, zapíšeme ji jako omezení. Výsledek pak nevytváří dojem, že jsme prověřili i oblasti, které kontrolou neprošly.

Jak může spolupráce probíhat

1. Krátce upřesníme potřebu

Bezplatný rozhovor do 20 minut slouží k pochopení cíle, důležitých oblastí a potřebných podkladů. Není to bezplatná diagnóza, audit ani zpráva.

2. Stanovíme rozsah a bezpečnostní pravidla

Před zahájením připravíme individuální nabídku. Uvedeme v ní prostředí, povolené činnosti, výluky, výstup, termín a cenu.

3. Potřebné materiály předáte bezpečně

Po dohodnutí zakázky vybereme vhodný kanál pro testovací účty, kód nebo dokumentaci. Hesla, API klíče, kopie databáze ani zákaznická data neposílejte běžným kontaktním formulářem.

4. Provedeme dohodnuté kontroly

Kombinujeme pouze metody, které odpovídají rozsahu a podmínkám konkrétní aplikace. Kde je to možné a bezpečné, nálezy potvrzujeme místo toho, abychom předali jen neověřený seznam automatických varování.

5. Předáme výsledek a projdeme priority

Výsledek ukazuje, co jsme prověřili, co se potvrdilo, jaká omezení platí a kde má náprava začít. Přesnou podobu výstupu si dohodneme předem.

Co po auditu získáte

Přesný výstup závisí na nabídce. Dohodnuté shrnutí může obsahovat:

• popis prověřeného rozsahu, prostředí a omezení;
• seznam potvrzených problémů s hodnocením závažnosti;
• podklady a postup reprodukce, pokud je lze bezpečně předat;
• možný technický a obchodní dopad;
• doporučení k nápravě nebo dalšímu prověření;
• navržené pořadí kroků;
• technické informace pro tým, který bude změny realizovat.

Podklady můžete využít při další spolupráci s Domin Software nebo je při dodržení důvěrnosti a dohodnutých pravidel předat jinému vybranému dodavateli.

OWASP je vodítko, ne automatický příslib úplného pokrytí

Při určování rozsahu můžeme vycházet z aktuálních materiálů OWASP věnovaných testování webových aplikací, bezpečnostním požadavkům a rizikům API. Pomáhají uspořádat kontrolované oblasti, ale nenahrazují individuální rozsah zakázky.

Odkaz na OWASP neznamená, že každá zakázka zahrnuje všechny testy z Web Security Testing Guide, ověření všech požadavků ASVS nebo každý druh rizika API. Nabídka vždy uvádí, co bude skutečně prověřeno.

Co základní rozsah nezahrnuje

Pokud konkrétní nabídka nestanoví jinak, audit automaticky nezahrnuje:

• bezpečnostní certifikát;
• záruku odhalení každé zranitelnosti nebo vyloučení budoucích problémů;
• testování veškerého kódu, infrastruktury, sítí a zařízení;
• sociální inženýrství nebo činnosti zaměřené na zaměstnance;
• zátěžové testy nebo narušení produkčního provozu;
• realizaci všech doporučených oprav;
• nepřetržitý monitoring nebo trvalou reakci na incidenty;
• opakovanou kontrolu kdykoli v budoucnu nebo po nedohodnutých změnách.

Aktivní testy v produkci provádíme pouze tehdy, když jsou samostatně dohodnuté, povolené a zabezpečené. Pokud bezpečné testování vyžaduje jiné prostředí, řekneme to před zahájením.

Opravy a opakovaná kontrola

Realizace oprav je samostatný rozsah, pokud nabídka výslovně nestanoví jinak. Po auditu můžeme práce nacenit nebo předat podklady týmu, který si klient vybere.

Pokud opravy realizuje Domin Software, může být jejich kontrola bezplatná po dobu uvedenou v nabídce. Po delší přestávce, po změnách jiné strany nebo mimo původní rozsah je potřeba nová nabídka.

Pokud audit vede k většímu projektu realizovanému Domin Software, zaplacenou cenu auditu započteme do celkových nákladů projektu.

Termín, cena a platba

Každý audit naceňujeme individuálně. Cena závisí mimo jiné na počtu oblastí, rolí, endpointů a prostředí, potřebných přístupech a povolených druzích testů.

Orientačně počítáme se 7 až 15 pracovními dny od předání úplného rozsahu, dostupného prostředí a dohodnutých testovacích účtů. Přesný termín uvedeme v nabídce.

Platba obvykle následuje po dokončení dohodnuté etapy. U většího rozsahu můžeme sjednat zálohu.

Nejčastější otázky

Jaký je rozdíl mezi bezpečnostním auditem a penetračním testem?

Audit je širší označení placeného prověření dohodnutých oblastí. Může spojovat kontrolu konfigurace, analýzu vybraných funkcí, revizi kódu a testování. Penetrační test znamená kontrolované pokusy o využití zranitelností ve výslovně stanovených hranicích. Ne každý audit jej automaticky zahrnuje.

Lze testovat v produkčním prostředí?

Automaticky s tím nepočítáme. Nejprve vyhodnotíme riziko a ověříme, zda stačí testovací prostředí. Každá činnost v produkci vyžaduje samostatný souhlas, omezený rozsah a podmínky chránící data a dostupnost systému.

Je pro audit nutný přístup ke zdrojovému kódu?

Ne vždy. Záleží na cíli a rozsahu. Některé problémy lze prověřit v běžící aplikaci, jiné vyžadují konfiguraci, dokumentaci nebo vybrané části kódu. Potřebné přístupy určíme před naceněním.

Co obsahuje shrnutí po auditu?

Popíšeme prověřený rozsah a jeho omezení, potvrzené problémy, jejich závažnost, dostupné podklady, způsob reprodukce, rizika a doporučení. Přesnou podobu a úroveň podrobností stanoví nabídka.

Zahrnuje audit také realizaci oprav?

Ne v základním rozsahu. Realizaci můžeme nacenit samostatně. Podklady z auditu můžete také předat jinému dodavateli.

Je opakovaná kontrola zahrnuta v ceně?

Pokud opravy realizuje Domin Software, může být kontrola po dobu uvedenou v nabídce bezplatná. Po delší přestávce, dalších změnách nebo mimo dohodnutý rozsah připravíme novou nabídku.

Zaručuje audit, že aplikace nemá žádné zranitelnosti?

Ne. Výsledek platí pro stanovený rozsah, čas, prostředí a dostupné informace. Nezaručuje odhalení každého problému ani to, že se v budoucnu neobjeví další zranitelnost.

Jak předat přístupy a testovací účty?

Ve formuláři popište pouze situaci a požadovaný rozsah. Po dohodnutí zakázky určíme bezpečný způsob předání. Do formuláře nevkládejte hesla, API klíče, zákaznická data ani kopii databáze.

Co uvést v první zprávě

• druh aplikace a její význam pro firmu;
• důvod auditu, například plánované spuštění, změnu dodavatele nebo větší rozšíření;
• zda je k dispozici testovací prostředí;
• počet nejdůležitějších uživatelských rolí;
• zda aplikace používá API nebo důležité integrace;
• očekávaný termín a důvod, proč je kontrola potřebná právě nyní;
• známá omezení přístupu bez sdílení tajných údajů.

Formulářem neposílejte hesla, API klíče, tokeny, kopie databáze, zdrojový kód ani zákaznická data. Bezpečný způsob předání potřebných materiálů dohodneme samostatně.

CTA: Domluvme rozsah auditu

Pokud přebíráte existující systém od jiného dodavatele, můžete nejprve použít kontrolní seznam pro převzetí aplikace.

Po auditu lze samostatně dohodnout modernizaci aplikace nebo pravidelnou správu systému. Pro projekty vytvořené pomocí AI je k dispozici také audit AI aplikace; problémy s odezvou a zátěží řeší audit výkonu.

Technické zdroje

• OWASP Web Security Testing Guide - vodítko pro oblasti testování webových aplikací a webových služeb, které je nutné přizpůsobit konkrétní zakázce.
• OWASP Application Security Verification Standard - katalog technických požadavků, který může pomoci při stanovení bezpečnostních požadavků a rozsahu ověření.
• OWASP API Security Top 10 - vodítko pro rizika typická pro rozhraní API.

Veřejný text netvrdí úplný soulad se všemi částmi těchto materiálů.