Audyt bezpieczeństwa strony i aplikacji WWW

Zanim problem znajdzie ktoś inny.

Nie każdy problem bezpieczeństwa wymaga zaawansowanego ataku. Czasem wystarczy przestarzała konfiguracja serwera, źle ustawione cookies, brak odpowiednich nagłówków HTTP, zbyt wiele informacji ujawnianych publicznie albo mechanizm logowania, którego od dawna nikt nie sprawdzał.

Sprawdzam stronę lub aplikację z punktu widzenia tego, co potencjalny napastnik może zobaczyć z zewnątrz.

Sprawdź swoją stronę → Zobacz zakres audytu

Co sprawdzam

Zakres SAFE obejmuje to, co widać z zewnątrz. W pakiecie PRO, po uzgodnieniu, dochodzą testy samej aplikacji.

HTTPS i TLS

konfiguracja HTTPS i TLS
używane protokoły i algorytmy szyfrowania
HSTS

Nagłówki HTTP

Content Security Policy
pozostałe security headers

Serwer i technologie

ujawnianie wersji serwera i używanych technologii
inne widoczne z zewnątrz problemy konfiguracyjne

Cookies i sesje

cookies i ich parametry Secure / HttpOnly / SameSite
sesje użytkowników
cache stron zawierających dane użytkowników

Logowanie i hasła

podstawowa konfiguracja stron logowania
mechanizm resetowania hasła
ochrona przed automatycznymi próbami logowania

Typowe błędy aplikacji

podstawowe elementy związane z OWASP Top 10

Nie interesuje mnie produkowanie raportu z 50 ostrzeżeniami z automatycznego skanera. Klient ma dostać odpowiedź:

Co jest problemem.

Jakie niesie ryzyko.

Jak ważny jest problem.

Co konkretnie należy zrobić.

Najpierw patrzę. Potem testuję.

Etap 1

Najpierw patrzę

Pierwszy etap audytu nie wymaga ingerencji w aplikację. Analizuję publicznie dostępne informacje oraz konfigurację systemu. Wiele problemów można wykryć bez wykonywania aktywnych testów bezpieczeństwa.

Etap 2

Potem testuję

Dopiero jeśli potrzebne są testy dotyczące autoryzacji, sesji użytkowników, formularzy lub mechanizmów logowania, zakres takich działań jest wcześniej uzgadniany z właścicielem systemu.

Żadnych aktywnych testów bez zgody właściciela systemu.

Czego nie robię bez zgody

Nie wykonuję samowolnie:

brute-force
prób łamania haseł
SQL Injection
prób przejęcia kont
prób uzyskania dostępu do danych innych użytkowników
DoS/DDoS
testów mogących wpłynąć na stabilność produkcji
zmian lub usuwania danych

Bezpieczeństwo sprawdza się odpowiedzialnie.

Dla kogo

Usługa szczególnie dla właścicieli:

aplikacji SaaS
portali klientów
sklepów internetowych
paneli administracyjnych
systemów rezerwacji
aplikacji posiadających logowanie użytkowników
systemów przechowujących dane klientów
stron wykorzystujących płatności
aplikacji rozwijanych przez kilka lat lub przez kilku wykonawców

Szczególnie wtedy, gdy system działa od lat i nikt od dawna nie sprawdzał, jak wygląda z punktu widzenia bezpieczeństwa.

Co otrzymuje klient

Dla każdego istotnego problemu raport zawiera te same elementy. Poniżej przykładowy wpis.

Przykładowy wpis z raportu Priorytet: średni

Problem

Cookie sesyjne jest wysyłane bez flag HttpOnly i SameSite.

Ryzyko

Skrypt wstrzyknięty przez inną lukę mógłby odczytać identyfikator sesji. Samo to nie jest awarią, ale ułatwia atak, gdy pojawi się inny problem.

Priorytet

Średni. Nic nie zostało przejęte, warto poprawić przy najbliższej okazji.

Rekomendacja

Ustawić flagi Secure, HttpOnly i SameSite=Lax na cookie sesyjnym.

Wdrożenie

Set-Cookie: session=...; Path=/; Secure; HttpOnly; SameSite=Lax

Priorytety w raporcie:

Krytyczny Wysoki Średni Niski

Bez lania wody. Bez raportu wygenerowanego jednym kliknięciem ze skanera.

Audyt to nie pentest

Pełny penetration test jest znacznie szerszym procesem.

Ta usługa koncentruje się przede wszystkim na praktycznej analizie konfiguracji, zabezpieczeń dostępnych z zewnątrz oraz typowych błędów bezpieczeństwa aplikacji internetowych.

Dla wielu małych i średnich systemów właśnie tutaj znajdują się rzeczy, które można poprawić szybko i relatywnie niewielkim kosztem.

Jeżeli podczas analizy okaże się, że system powinien przejść profesjonalny pełny pentest, powiem o tym wprost.

Dwa poziomy usługi

Na początek polecam SAFE. Po jego wynikach razem ocenimy, czy rozszerzenie do PRO ma sens.

Zalecany pierwszy krok

SAFE

Audyt zewnętrzny bez ingerencji w produkcję

od 1490 zł

analiza publicznej powierzchni aplikacji
TLS / HTTPS
security headers
cookies
konfiguracja serwera dostępna publicznie
logowanie i reset hasła analizowane bez prób przełamywania zabezpieczeń
podstawowy fingerprinting technologii
raport
priorytety
rekomendacje

Zapytaj o audyt SAFE

PRO

Rozszerzony audyt aplikacji po uzgodnieniu zakresu

od 2500 zł

wszystko z SAFE
konto testowe
analiza zachowania sesji
uzgodnione aktywne testy aplikacji
analiza wybranych elementów autoryzacji i formularzy
rozszerzony raport
konsultacja po audycie
ponowne sprawdzenie wybranych poprawek

Zapytaj o audyt PRO

Testy aktywne wykonywane są wyłącznie po pisemnym ustaleniu zakresu i uzyskaniu zgody właściciela systemu.

Co musi dostarczyć klient

Do audytu SAFE nie potrzebuję żadnych dostępów do systemu.

Audyt SAFE

Wystarczy

adres strony lub aplikacji
informacja o domenach i subdomenach objętych analizą
potwierdzenie, że klient jest właścicielem systemu lub ma prawo zlecić jego analizę

Nie są potrzebne

hasła administratora
dostęp SSH
dostęp do bazy danych
dane klientów

Audyt PRO

Może być potrzebne

specjalne konto testowe
środowisko stagingowe, jeśli istnieje
określenie dozwolonego zakresu testów
kontakt do osoby technicznej
potwierdzenie wykonania backupu przed testami ingerującymi w system

Nigdy nie proszę o używanie do testów prawdziwego konta innego użytkownika.

Raport to dopiero początek

Sam raport nie zwiększa bezpieczeństwa systemu, jeśli rekomendacje nie zostaną wdrożone. Po audycie mogę również pomóc w implementacji wybranych poprawek:

TLS / HTTPS
konfiguracja serwera WWW
security headers
CSP
cookies
sesje użytkowników
mechanizmy uwierzytelniania
konfiguracja aplikacji
API
podstawowy hardening systemu

Wdrożenie wyceniane jest osobno.

Bez straszenia. Bez magii „cybersecurity”.

Bezpieczeństwo IT często sprzedawane jest strachem. Nie pracuję w ten sposób.

Jeżeli znaleziony problem ma niewielkie znaczenie, klient powinien to wiedzieć. Jeżeli problem jest poważny, również napiszę to wprost.

Celem audytu nie jest znalezienie jak największej liczby błędów. Celem jest znalezienie rzeczy, które naprawdę warto poprawić.

30+

lat z systemami IT, od komputerów, sieci i administracji po współczesne aplikacje webowe i AI.

Chcesz wiedzieć, co widać z zewnątrz?

Podeślij adres strony lub aplikacji. Najpierw ocenię, czy taki audyt ma w jej przypadku sens.

Zapytaj o audyt bezpieczeństwa →