API

Tak, posiadamy duże doświadczenie w testowaniu REST API  (i innych rodzajów API) i aplikacji webowych (ale również mobilnych i desktopowych). Realizujemy ponad 500 testów penetracyjnych rocznie.

Zgodnie z metodyką Optima Partners skupiamy się głównie na przeprowadzaniu testów manualnych. Testy automatyczne są tylko dodatkiem do testów manualnych.

Realizujemy też dla Klientów testy automatyczne w ramach cyklicznych skanów bezpieczeństwa aplikacji w celu szybkiej identyfikacji podatności tzw. low hang fruits.

Posiadamy zespół:

• ponad 20 inżynierów bezpieczeństwa (pentesterów) posiadających m.in. następujące certyfikaty: OSCE, OSCP, OSWE, OSEE, CPTE, CEH – szczegółowy opis posiadanych certyfikatów znajduje w odpowiedzi na pytanie na stronie głównej.

Tak, posiadamy certyfikaty potwierdzające kwalifikacje zespołu takie, jak:

• 1. CISSP (Certified Information Systems Security Professional),
  2. OSCE (Offensive Security Certified Expert),
  3. OSCP (Offensive Security Certified Professional),
  4. OPST (OSSTMM Professional Security Tester),
  5. OSEE (Offensive Security Exploitation Expert),
  6. OSWE (Offensive Security Web Expert),
  7. OSWP (Offensive Security Wireless Professional),
  8. CEPT (Certified Expert Penetration Tester),
  9. CEH (Certified Ethical Hacker),
  10. Certified Penetration Tester (CPT),
  11. CSX Cybersecurity Practitioner (CSX-P),
  12. GPEN (GIAC Penetration Tester),
  13. GWAPT (GIAC Web Application Penetration Tester),
  14. GMOB (GIAC Mobile Device Security Analyst),
  15. GXPN (GIAC Exploit Researcher and Advanced Penetration Tester),
  16. Industrial Automation and Control Systems Security (ISA-99)
  17. LPT (Licensed Penetration Tester),
  18. ECSS (EC-Council Certified Security Specialist),
  19. AWE (Advanced Windows Exploitation),
  20. eCPPT (eLearnSecurity Certified Professional Penetration Tester),
  21. eJPT (eLearnSecurity Junior Penetration Tester),
  22. eMAPT (eLearnSecurity Mobile Application Penetration Tester),
  23. eWPT (eLearnSecurity Web application Penetration Tester),
  24. eWPTX (Web application Penetration Tester eXtreme),
  25. CompTIA Security+,
  26. Systems Security Certified Practitioner (SSCP),
  27. CompTIA Project+,
  28. CIA (Certified Internal Auditor),
  29. CISA (Certified Information Security Auditor),
  30. CISM (Certified Information Security Manager),
  31. Audytor Wiodący ISO 27001,
  32. Audytor wewnętrzny SZBI BS 7799,
  33. Audytor Wiodący ISO 22301
  34. CRISC (Certified in Risk and Information Systems Control),
  35. CBCP – Certified Business Continuity Professional (DRII),
  36. Certified ISO 31000 Risk Manager (PECB),
  37. ITIL Foundation,
  38. ITIL Intermediate,
  39. Prince2 Practitioner.

i wiele więcej…

Do realizacji testów wykorzystujemy m.in. następujące narzędzia:

• Narzędzia wspomagające testy API:

• • Acunetix Web Vulnerability Scanner
  • Burp Suite Pro
  • Firefox/inne przeglądarki +Pluginy
  • invicti
  • Nikto
  • OWASP DirBuster
  • OWASP ZAP
  • ratproxy
  • skipfish
  • w3af
  • Autorskie narzędzia i aplikacje wspomagające testy

• Narzędzia wspomagające łamanie zakodowanych danych/haseł:

• • john the ripper
  • hashcat
  • cain&abel
  • THC hydra – aplikacja wspomagająca ataki brutal force, słownikowe itp. na wybrane usługi sieciowe
  • Autorskie narzędzia i aplikacje wspomagające testy.

Autorska metodyka Optima Partners oparta jest o międzynarodowe normy i standardy takie jak:

• • Testy API
    
    • OWASP API TOP 10
    • OWASP Web Security Testing Guide
    • OWASP Application Security Verification Standard (ASVS)
    • Penetration Testing Execution Standard (PTES)
    • P-PEN Wojskowej Akademii Technicznej
    • Penetration Testing Framework (PTF)
    • EC-Council Licensed Penetration Tester methodology (LPT)
    • Information Systems Security Assessment Framework (ISSAF)
    • NIST PUB 800-115
  • Szacowanie ryzyk
    
    • Metryka WASC Threat Classification
    • System scoringowy CVSS
    • OWASP Risk Rating Methodology.

W zależności od złożoności testowanego systemu testy zwykle trwają od 1 do 4 tygodni.

Wynikiem naszych prac jest raport z niezależną oceną poziomu bezpieczeństwa wg międzynarodowych standardów (CVSS, OWASP), który może być zaprezentowany zainteresowanym stronom (udziałowcom, kontrahentom, klientom) wraz z praktycznymi rekomendacjami.

Raport obejmuje:

• Streszczenie dla Zarządu, obejmujące:
  
  • Cel i zakres wykonanych prac;
  • Zastosowane podejście;
  • Podsumowanie wyników i wykonanych prac opisane biznesowym (nietechnicznym) językiem;
• Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
  
  • Zakres testów;
  • Datę realizacji testów;
  • Opis zastosowanych metodyk i technik;
  • Narzędzia wykorzystane do realizacji testów;
  • Zestawienie zidentyfikowanych podatności zawierające, co najmniej:
    
    • identyfikator podatności,
    • nazwę,
    • opis,
    • opis wpływu,
    • prawdopodobieństwo jej wykorzystania oraz 
    • sposoby jej wyeliminowania.
  • Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
    
    • Tytuł – tytuł zidentyfikowanej podatności;
    • Opis podatności – szczegółowy, techniczny opis zidentyfikowanych podatności;
    • Proof of concept (wyniki analizy możliwości wykorzystania podatności):
      
      • sposób wywołania podatności;
      • informacje potwierdzające zidentyfikowane podatności np.
        
        • przypadki testowe (zrzuty ekranów, przykłady zmanipulowanych zapytań), które dokumentują istnienie podatności;
        • listing poleceń źródłowych stanowiące dowód występowania podatności (tam gdzie ma to zastosowanie);
        • fragmenty logów (tam gdzie ma to zastosowanie);
  • Skutki wykorzystania podatności (szczegółowy opis możliwych skutków wykorzystania podatności);
  • Poziom ryzyka wg CVSS lub OWASP RRM oraz w skali:
    
    • KRYTYCZNY/Critical,
    • WYSOKI/High,
    • ŚREDNI/Medium,
    • NISKI/Low,
    • INFORMACYJNY/Info.
  • Odniesienie do baz danych o podatnościach;
  • Rekomendacje – opis praktycznych działań, jakie należy podjąć w celu eliminacji zidentyfikowanych podatności lub minimalizacji ryzyka z nich wynikającego oraz uwzględniający specyfikę działania Klienta wraz z określeniem sposobu ich wdrożenia.

Na bieżąco komunikujemy się z Klientem w czasie projektu. Do realizacji projektu dedykujemy:

• Pentestera Wiodącego, z którym można się na bieżąco kontaktować w sprawach dotyczących realizacji testów, zidentyfikowanych podatności, itp.
• Project Managera, z którym można się na bieżąco kontaktować w sprawach dotyczących zarządzania projektem, terminów, problemów, ryzyk itp.

Tak, zakres naszych prac obejmuje:

1. wsparcie w zakresie usuwania wykrytych podatności
2. re-testy
3. szkolenia w zakresie usuwania podatności.

W zależności od:

• Poziomu wrażliwości / poufności przetwarzanych danych
• Poziomu ryzyka naruszenia bezpieczeństwa
• Liczby zmian w danym systemie

rekomendujemy przeprowadzanie testów penetracyjnych cyklicznie z częstotliwością od 3 do 24 miesięcy.

Oferujemy wsparcie w tworzeniu strategii ciągłego monitorowania bezpieczeństwa.

Tak.

Stosujemy m.in. następujące zabezpieczenia zgodne z ISO 27001:

• Kontrola dostępu do serwerowni, serwerów, zasobów sieciowych, na których składowane są dane i raporty.
• Szyfrowanie dysków twardych.
• Szyfrowanie plików za pomocą PGP.
• Szyfrowanie załączników przesyłanych emailem za pomocą PGP.
• Szyfrowanie treści emaili.
• Ciągłe monitorowanie dostępu do danych i raportów.
• Itp.

Tak. Dodatkowo świadczymy usługi w zakresie opracowania, optymalizacji i wdrażania Secure SDLC.