Kdaj je smiselno naročiti pregled
Pregled je najbolj koristen pred pomembnim prodajnim ali naložbenim dogodkom: pred vstopom v enterprise prodajo, pred oddajo varnostnega vprašalnika, pred pridobitvijo sredstev ali pred javno lansiranje nove funkcije. Prav tako je smiseln po incidentu ali takrat, ko je aplikacijo zgradila zunanja ekipa ali AI orodje in nimate jasne slike o tem, kaj je v kodi.
Če kupec zahteva le izpolnjen vprašalnik, pregled ni vedno prvi korak. Včasih je dovolj, da najprej uredite dostop, dnevnike in odziv na incidente. Pregled pa je pravi korak, ko želite neodvisno sliko stanja in seznam konkretnih popravkov.
Kaj zajema pregled
Obseg se dogovorimo pred začetkom. Običajno vključuje pregled arhitekture in podatkovnih tokov, preverjanje avtentikacije in avtorizacije, upravljanje sej, obdelavo vhodov in izhodov, API-je, integracije, obravnavo napak, upravljanje skrivnosti, konfiguracijo okolja in odvisnosti. Pri spletnih aplikacijah se opiramo na OWASP ASVS in WSTG, pri čemer izberemo relevantne kategorije glede na tveganje.
Posebno pozornost namenimo poslovni logiki: ali lahko uporabnik pride do podatkov drugega uporabnika, ali lahko obide plačilo, ali lahko s spremembo zahteve dobi več pravic, kot jih ima. Ti scenariji so pogosto pomembnejši od splošnih ranljivosti, ki jih najde skener.
Če aplikacija vsebuje AI funkcije, se pogovorimo tudi o prompt injectionu, razkritju podatkov, preveliki avtonomiji agentov in obdelavi modelov. To je ločen sklop in ga ne poskušamo stlačiti v klasični pregled brez konteksta.
- Arhitektura, podatkovni tokovi in meje zaupanja.
- Avtentikacija, avtorizacija in upravljanje sej.
- Vhodi, izhodi, datoteke, API-ji in integracije.
- Poslovna logika in nadzor dostopa do podatkov.
- Skrivnosti, konfiguracija in odvisnosti.
- Dnevniki, zaznavanje in odziv na incidente.
Kako poteka
Pred pregledom opravimo kickoff, na katerem določimo obseg, okolje, omejitve in kontaktne osebe. Pregled izvajamo v dogovorjenem okolju; če produkcijski podatki niso potrebni, uporabimo anonimizirano kopijo. Med pregledom ne spreminjamo podatkov brez dogovora in ne izvajamo destruktivnih testov.
Po pregledu pripravimo poročilo z opisom ugotovitev, resnostjo, dokazom in predlogom popravka. Vsaka ugotovitev mora biti razumljiva razvijalcu in dovolj konkretna, da jo je mogoče načrtovati. Po popravkih sledi ponovni pregled kritičnih točk, da preverimo, ali so bile odpravljene.
- 1. Dogovor o obseguKaj je vključeno, kaj ni, katero okolje in katere omejitve veljajo.
- 2. Pregled in preverjanjeRočno preverjanje tveganj, podprto z orodji in pregledom konfiguracije.
- 3. Poročilo in ponovni pregledUgotovitve z dokazi, prioritete in preverjanje popravkov.
Od česa je odvisna cena
Cena ni odvisna le od števila strani ali API-jev. Bolj vplivajo število vlog in pravic, kompleksnost poslovne logike, število integracij, občutljivost podatkov, zahteve kupca in to, ali potrebujete le pregled ali tudi podporo pri popravkih in ponovnem pregledu. Pregled v pripravljenem testnem okolju je običajno hitrejši od pregleda, ki zahteva dodatno pripravo.
Cena za pilotni pregled je odvisna od obsega. Po 20-minutnem pogovoru in kratkem opisu aplikacije pripravimo predlog obsega in cene. Če je proračun omejen, lahko začnemo z ožjim obsegom in najbolj kritičnimi potmi.
Kaj prejmete
- Poročilo z jasno resnostjo in poslovnim vplivom vsake ugotovitve.
- Reprodukcijske korake ali dokaz, da lahko razvijalec težavo ponovi.
- Predlog popravka, ki upošteva vašo arhitekturo in ekipo.
- Seznam prioritet: kaj popraviti takoj, kaj v naslednjem ciklu in kaj sprejeti kot tveganje.
- Kratek povzetek za vodstvo in, če je dogovorjeno, osnutek odgovorov za kupca.
Pilotni pregled
Pilotni program je namenjen hitri oceni, ali je pregled smiseln in kakšen obseg potrebujete. Na 20-minutnem pogovoru pogledamo arhitekturo na visoki ravni, vrstni red prioritet in morebitne omejitve. Ne izdajamo potrdil o skladnosti in ne trdimo, da bo aplikacija po pregledu "100 % varna"; varnost je proces, ne enkraten dogodek.
Pogosta vprašanja
Ali je to penetracijski test?
Pregled lahko vključuje elemente penetracijskega testiranja, ni pa nujno enak. Osredotoča se na tveganja, ki so pomembna za vaš posel, in na dokazljive popravke. Obseg se dogovori vnaprej; če potrebujete formalni penetracijski test po določenem standardu, to jasno opredelimo.
Ali potrebujete dostop do produkcije?
Najpogosteje ne. Pregled izvedemo v testnem ali anonimiziranem okolju. Če je produkcijski dostop potreben, ga omejimo, dokumentiramo in uporabimo samo za dogovorjene aktivnosti.
Kako dolgo traja pregled?
Trajanje je odvisno od obsega in kompleksnosti. Po kratkem opisu aplikacije lahko podamo oceno. Majhen obseg je lahko zaključen v nekaj dneh, večji sistemi pa zahtevajo daljše obdobje in več iteracij.
Ali lahko pregled pokvari aplikacijo ali podatke?
Destruktivnih testov ne izvajamo brez izrecnega dogovora. Pred pregledom določimo omejitve in okolje. Če je tveganje za podatke, uporabimo kopijo ali anonimizirane podatke.
Ali prejmemo certifikat o varnosti?
Ne. Poročilo o pregledu ni certifikat in ne nadomešča ISO 27001, SOC 2 ali drugega neodvisnega zagotavila. Je pa lahko dokaz, da ste tveganja preverili in da imate načrt popravkov.
Viri in pravna podlaga
Standardi in smernice se lahko spremenijo; pred odločitvijo preverite veljavno različico.