Web app

Tak, posiadamy duże doświadczenie w testowaniu REST API i aplikacji webowych. Realizujemy ponad 500 testów penetracyjnych rocznie.

Zgodnie z metodyką Optima Partners skupiamy się głównie na przeprowadzaniu testów manualnych. Testy automatyczne są tylko dodatkiem do testów manualnych.

Realizujemy też dla Klientów testy automatyczne w ramach cyklicznych skanów bezpieczeństwa aplikacji w celu szybkiej identyfikacji podatności tzw. low hang fruits.

Posiadamy zespół:

• ponad 20 inżynierów bezpieczeństwa (pentesterów) posiadających m.in. następujące certyfikaty: OSCE, OSCP, OSWE, OSEE, CPTE, CEH.

Autorska metodyka Optima Partners oparta jest o międzynarodowe normy i standardy takie jak:

• • Testy aplikacji webowych
    
    • OWASP (Open Web Application Security Project) TOP 10
    • OWASP Web Security Testing Guide
    • OWASP Application Security Verification Standard (ASVS)
    • Penetration Testing Execution Standard (PTES)
    • P-PEN Wojskowej Akademii Technicznej
    • Penetration Testing Framework (PTF)
    • EC-Council Licensed Penetration Tester methodology (LPT)
    • Information Systems Security Assessment Framework (ISSAF)
    • NIST PUB 800-115 – Technical Guide to Information Security Testing and Assessment
  • Szacowanie ryzyk
    
    • Metryka WASC Threat Classification
    • System scoringowy CVSS
    • OWASP Risk Rating Methodology

W zależności od złożoności testowanego systemu testy zwykle trwają od 1 do 4 tygodni.

Wynikiem naszych prac jest raport z niezależną oceną poziomu bezpieczeństwa wg międzynarodowych standardów (CVSS, OWASP), który może być zaprezentowany zainteresowanym stronom (udziałowcom, kontrahentom, klientom) wraz z praktycznymi rekomendacjami.

Raport obejmuje:

• Streszczenie dla Zarządu, obejmujące:
  
  • Cel i zakres wykonanych prac;
  • Zastosowane podejście;
  • Podsumowanie wyników i wykonanych prac opisane biznesowym (nietechnicznym) językiem;
• Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
  
  • Zakres testów;
  • Datę realizacji testów;
  • Opis zastosowanych metodyk i technik;
  • Narzędzia wykorzystane do realizacji testów;
  • Zestawienie zidentyfikowanych podatności zawierające, co najmniej:
    
    • identyfikator podatności,
    • nazwę,
    • opis,
    • opis wpływu,
    • prawdopodobieństwo jej wykorzystania oraz 
    • sposoby jej wyeliminowania.
  • Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
    
    • Tytuł – tytuł zidentyfikowanej podatności;
    • Opis podatności – szczegółowy, techniczny opis zidentyfikowanych podatności;
    • Proof of concept (wyniki analizy możliwości wykorzystania podatności):
      
      • sposób wywołania podatności;
      • informacje potwierdzające zidentyfikowane podatności np.
        
        • przypadki testowe (zrzuty ekranów, przykłady zmanipulowanych zapytań), które dokumentują istnienie podatności;
        • listing poleceń źródłowych stanowiące dowód występowania podatności (tam gdzie ma to zastosowanie);
        • fragmenty logów (tam gdzie ma to zastosowanie);
  • Skutki wykorzystania podatności (szczegółowy opis możliwych skutków wykorzystania podatności);
  • Poziom ryzyka wg CVSS lub OWASP RRM oraz w skali:
    
    • KRYTYCZNY/Critical,
    • WYSOKI/High,
    • ŚREDNI/Medium,
    • NISKI/Low,
    • INFORMACYJNY/Info.
  • Odniesienie do baz danych o podatnościach;
  • Rekomendacje – opis praktycznych działań, jakie należy podjąć w celu eliminacji zidentyfikowanych podatności lub minimalizacji ryzyka z nich wynikającego oraz uwzględniający specyfikę działania Klienta wraz z określeniem sposobu ich wdrożenia.

Na bieżąco komunikujemy się z Klientem w czasie projektu. Do realizacji projektu dedykujemy:

• Pentestera Wiodącego, z którym można się na bieżąco kontaktować w sprawach dotyczących realizacji testów, zidentyfikowanych podatności, itp.
• Project Managera, z którym można się na bieżąco kontaktować w sprawach dotyczących zarządzania projektem, terminów, problemów, ryzyk, itp.

Tak, zakres naszych prac obejmuje:

1. wsparcie w zakresie usuwania wykrytych podatności
2. re testy
3. szkolenia w zakresie usuwania podatności.

W zależności od:

• Poziomu wrażliwości / poufności przetwarzanych danych
• Poziomu ryzyka naruszenia bezpieczeństwa
• Liczby zmian w danym systemie

rekomendujemy przeprowadzanie testów penetracyjnych cyklicznie z częstotliwością od 3 do 24 miesięcy.

Oferujemy wsparcie w tworzeniu strategii ciągłego monitorowania bezpieczeństwa.

Tak.

Stosujemy m.in. następujące zabezpieczenia zgodne z ISO 27001:

• Kontrola dostępu do serwerowni, serwerów, zasobów sieciowych, na których składowane są dane i raporty.
• Szyfrowanie dysków twardych.
• Szyfrowanie plików za pomocą PGP.
• Szyfrowanie załączników przesyłanych emailem za pomocą PGP.
• Szyfrowanie treści emaili.
• Ciągłe monitorowanie dostępu do danych i raportów.
• Itp.

Tak. Dodatkowo świadczymy usługi w zakresie opracowania, optymalizacji i wdrażania Secure SDLC.