Testy penetracyjne i bezpieczeństwo aplikacji
Sprawdzamy aplikacje webowe, mobilne i API tak, jak zrobiłby to atakujący, tylko za Twoją zgodą i w ustalonym zakresie. Dostajesz listę podatności z oceną ryzyka i konkretnym sposobem naprawy.
Kiedy zamówić pentest
Przed startem nowego systemu
Poprawienie błędu przed publikacją jest wielokrotnie tańsze niż obsługa incydentu po wycieku danych.
Klient lub partner wymaga raportu
Duzi odbiorcy i instytucje finansowe proszą o aktualne wyniki testów bezpieczeństwa.
Po dużej zmianie w aplikacji
Nowy moduł płatności, logowanie przez zewnętrznego dostawcę albo migracja do chmury zmieniają powierzchnię ataku.
Co dostajesz
Raport zrozumiały dla zarządu i wystarczająco szczegółowy dla programistów.
Technologie
- Burp Suite
- OWASP ZAP
- Nmap
- Kali Linux
Ustalenie zakresu i zasad
Spisujemy adresy, konta testowe, okna czasowe i osoby kontaktowe, a testy zaczynamy po pisemnej zgodzie.
Testy aplikacji webowej i API
Uwierzytelnianie, kontrola dostępu, wstrzyknięcia, logika biznesowa i konfiguracja według OWASP.
Testy aplikacji mobilnej
Przechowywanie danych na urządzeniu, komunikacja z serwerem i zabezpieczenia samej aplikacji.
Raport z oceną ryzyka
Każda podatność ma opis, dowód, ocenę w skali CVSS i rekomendację naprawy.
Omówienie z zespołem
Przechodzimy przez wyniki z programistami i ustalamy kolejność poprawek.
Retest
Po wdrożeniu poprawek sprawdzamy, czy podatności zostały usunięte, i aktualizujemy raport.
Jak wygląda współpraca
- 01
Zakres i zgoda
Ustalamy, co testujemy, w jakim trybie i kiedy, oraz podpisujemy umowę z NDA.
- 02
Testy
Łączymy narzędzia automatyczne z ręczną analizą logiki aplikacji.
- 03
Raport
Opisujemy podatności od najpoważniejszych, z krokami do ich odtworzenia.
- 04
Retest
Weryfikujemy poprawki i wydajemy raport końcowy.
Od czego zależy wycena
- liczba aplikacji, ról użytkowników i punktów końcowych API
- tryb testów: bez wiedzy o systemie, z kontami testowymi lub z dostępem do kodu
- aplikacja mobilna na jedną lub dwie platformy
- środowisko testowe czy produkcyjne
- retest i wsparcie przy poprawkach
Nie podajemy cennika, bo każdy projekt ma inny zakres. Po krótkiej rozmowie dostajesz bezpłatną wycenę z podziałem na etapy.
Poproś o wycenęPytania o tę usługę
Jeśli nie ma tu Twojego pytania, napisz do nas.
Czym pentest różni się od skanu automatycznego?
Skaner znajduje znane, typowe błędy. Pentester sprawdza dodatkowo logikę aplikacji, na przykład czy użytkownik może zobaczyć cudze zamówienie, zmieniając numer w adresie. Takich błędów automat nie wykryje.
Czy testy mogą zakłócić działanie systemu?
Najbezpieczniej testować na środowisku testowym identycznym z produkcją. Jeśli testujemy produkcję, ustalamy okna czasowe i wykluczamy działania, które mogłyby wpłynąć na dostępność.
Według jakiej metodyki pracujecie?
Opieramy się na OWASP Web Security Testing Guide, OWASP Top 10 oraz standardzie ASVS, a dla aplikacji mobilnych na OWASP MASVS.
Jak często powtarzać testy?
Co najmniej raz w roku i po każdej większej zmianie w architekturze, logowaniu lub płatnościach.
Opowiedz nam o swoim projekcie
Opisz, co chcesz zbudować lub sprawdzić. Wrócimy z pytaniami, propozycją podejścia i wyceną.
Bezpłatna wycena · NDA na życzenie
Co dzieje się dalej
- 1Krótka rozmowa
- 2Wycena z harmonogramem
- 3Start prac