Sigurnost web stranica i aplikacija
Pregledavamo softver, pristupe i postavke vaše web stranice ili aplikacije, a zatim pomažemo ukloniti slabosti koje možemo potvrditi. Dobivate pisani pregled nalaza, prioriteta i dogovorenih zahvata.
Prije testiranja dogovaramo opseg i cijenu. Upit je početak razgovora.
Primjer sadržaja izvještaja
EX-01Ilustrativni primjer, nije nalaz klijenta ni provjera vaše stranice.
Kontrola pristupa
Testni korisnik može pročitati račun drugog korisnika. Izvještaj bilježi zahvaćenu putanju, korištene testne račune i zabilježeni odgovor, bez osjetljivih podataka.
GET /invoices/podatak uklonjensession podatak uklonjenkorisnički račun B200 OKračun za plaćanje korisnika AŠto pregledavamo
Opseg ovisi o sustavu koji koristite. Javna web stranica i aplikacija s korisničkim računima traže različite provjere.
01
Verzije izvršnog okruženja i razvojnih okvira, dodaci, ovisnosti i relevantne obavijesti proizvođača. Izloženost i dostupne zakrpe provjeravamo prema stvarnim postavkama.
02
Administratorski pristup, korisnička prava, HTTPS, javno dostupni servisi i sigurnosne postavke. Provjere ovise o pristupu koji odobrite.
03
Za aplikacije dogovaramo provjere prijave, sesija, prijenosa datoteka i razdvajanja korisničkih računa. Uloge i poslovni postupci navode se u opsegu.
04
Sigurnosne kopije, dokazi provjere oporavka i postavke koje utječu na pouzdanost. Kad ima smisla, uz sigurnosne zahvate dogovaramo i poboljšanja performansi.
Kako surađujemo
Smjernice za testiranje
OWASP Web Security Testing Guide01
Dogovaramo domene, okruženja, račune, provjere, iznimke i siguran termin testiranja. Aktivno testiranje počinje tek nakon pisanog odobrenja.
02
Popis softvera i pregled postavki povezujemo s ručnim provjerama. Za aplikacije koristimo relevantne smjernice OWASP WSTG unutar dogovorenog opsega.
03
Dobivate sažetak za odgovornu osobu i tehničke nalaze s dokazima, utjecajem, prijedlozima popravaka i onim što nismo mogli potvrditi. Izvještaj vaš tim može koristiti samostalno.
04
Dogovorene zahvate provodi vaš razvojni tim ili naš tim. Svaki pregled uključuje jednu ponovnu provjeru nalaza u roku 30 dana od izvještaja, nakon što javite da su popravci spremni.
Paketi
Saznajte što traži pažnju i zašto.
Web stranica: jedna stranica, popis softvera i dostupne postavke, 3–5 radnih dana. Aplikacija: do 2 uloge i 3 dogovorena postupka, 5–10 radnih dana. Oba pregleda uključuju izvještaj i jednu ponovnu provjeru u roku 30 dana.
Pregled izvornog koda, dodatna okruženja i dublje penetracijsko testiranje dogovaraju se zasebno.
po dogovorenom angažmanu
Uklanjanje dogovorenih slabosti.
Do 8 sati rada na dogovorenim ažuriranjima, pristupima ili postavkama, uz plan sigurnosne kopije i povrata, zapis izmjena i provjeru. Uobičajen rok: 5–10 radnih dana nakon dogovora i dobivanja pristupa.
Pregled se ugovara zasebno. Veće migracije, oporavak nakon zaraze i licence trećih strana dodatno se ugovaraju. Za dodatni rad potrebno je vaše odobrenje.
po dogovorenom angažmanu
Dogovorena odgovornost za redovite sigurnosne zadatke.
Jedna web stranica nakon početnog pregleda i uvođenja. Obavijesti o dostupnosti, TLS-u i ovisnostima gdje su podržane, mjesečni sigurnosni pregled i izvještaj te do 1 sat rada mjesečno. Zahtjeve obrađujemo tijekom radnog vremena.
Uvođenje i popravci ugovaraju se zasebno. Nadzor je automatiziran, bez dežurne službe 24/7. Dodatni rad prethodno dogovaramo. Mjesečna usluga uz otkazni rok od 30 dana.
mjesečno
Početne cijene konačne su cijene u eurima za navedeni opseg. Nakon pregleda sustava potvrđujemo pisanu ponudu i rok. Hosting i troškovi trećih strana plaćaju se zasebno. Rokovi počinju kad su odobrenje i pristupi spremni.
Navodimo što smo provjerili, kakav smo pristup imali i što ostaje nepotvrđeno. Sigurnosni pregled pomaže razumjeti rizike, ali nije potvrda potpune sigurnosti niti dokaz da sustav prije nije bio kompromitiran. Certifikacija usklađenosti, digitalna forenzika i hitne intervencije zahtijevaju zaseban angažman odgovarajućih stručnjaka.
Prije početka
Da. Navedite da sumnjate na aktivan incident kako bismo procijenili možemo li pomoći i dogovorili zaseban opseg oporavka. Odmah se obratite hostingu i sačuvajte zapise i sigurnosne kopije. Ovaj obrazac nije kanal za hitne intervencije.
Da. Izvještaj sadrži tehničke dokaze i konkretan popis popravaka. Zahvate može provesti vaš tim ili možemo ponuditi dogovorene izmjene. Pristupe i odgovornosti dogovaramo prije testiranja.
Ne. Upit služi za razgovor o poslu. Prije aktivnih provjera potvrđujemo vlasništvo, pisano odobrenje, opseg i siguran termin testiranja.
Odgovarajuće ažuriranje proizvođača uklanja ranjivosti koje obuhvaća. Ne govori je li ranije došlo do kompromitacije ni postoje li druge slabosti aplikacije. Provjeravamo stvarnu verziju i način postavljanja, umjesto zaključivanja iz javne stranice.
Sigurnosni pregled zaseban je angažman s dokazima i prioritetima. Uobičajeno održavanje obuhvaća redovitu brigu o stranici, a sigurnosna briga dodaje dogovoreni sigurnosni pregled i obradu obavijesti. Provjeravamo što već plaćate kako se isti posao ne bi naplatio dvaput.
Počnimo od vaše stranice
Pošaljite adresu stranice ili aplikacije i razlog za pregled. Javit ćemo se u roku 24 sata kako bismo dogovorili odgovara li vam usluga, pristupe i opseg, prije testiranja ili naplatnog rada.
Radije biste razgovarali?Besplatni 10-minutni poziv
Upit za sigurnost web stranice