Pro firmy a vývojové týmy
Penetrační testování aplikací a infrastruktury
Zjistěte, kudy by se útočník mohl dostat k vašim datům. Otestujeme domluvené aplikace nebo infrastrukturu a popíšeme nalezené zranitelnosti i způsob jejich opravy. Testuje pětice z jádra týmu s více než 10 lety praxe v IT bezpečnosti (nejzkušenější z nás přes 20 let) a se zkušeností z penetračního testování v NÚKIB.
Probrat penetrační testCo můžeme otestovat
Test dává smysl před nasazením nové aplikace, po větších změnách i jako pravidelná kontrola. Rozsah volíme podle vašeho systému a rizik.
Webové aplikace
Přihlašování, oprávnění uživatelů, práce s citlivými daty a aplikační logika. Zkoumáme také situace, které běžná kontrola funkčnosti nepokrývá.
API a cloudové platformy
Přístup k datům a funkcím přes API, oddělení uživatelů a návaznost klientských rozhraní. Domluvíme, které části platformy budou součástí testu.
Firemní infrastruktura
Interní síť a dostupné služby z pohledu útočníka, který už získal přístup. Hledáme možnosti dalšího postupu a přístupu k důležitým systémům.
Co získáte
- Zprávu s nalezenými zranitelnostmi a vysvětlením jejich dopadu.
- Popis nálezů, se kterým mohou vývojáři nebo správci pracovat.
- Doporučení k opravám a podklad pro rozhodnutí, čemu se věnovat nejdřív.
Jak spolupráce probíhá
Domluvíme cíl a rozsah
Probereme systém, důležitá data a vaše očekávání. Vymezíme, co se bude testovat, potřebné přístupy, termín a pravidla testování.
Provedeme test
Hledáme a ověřujeme zranitelnosti v dohodnutém rozsahu. Test probíhá se souhlasem vlastníka a podle domluvených podmínek.
Předáme a vysvětlíme nálezy
Výsledkem je zpráva o zranitelnostech a doporučení k opravám. S vaším týmem probereme, co nálezy znamenají pro daný systém.
Domluvíme další postup
Určíme, jak s výsledky naložit. Pokud potřebujete ověřit opravy, domluvíme rozsah navazující kontroly.
Zkušenosti z konkrétních projektů
- Zprávy z našich penetračních testů přijali auditoři jako podklad pro audit SOC 2.
- V týmu máme certifikace OSCP, RHCSA, RHCE a Terraform Associate.
- Klienti se k nám vracejí, s některými spolupracujeme už od roku 2020.
Liferay
Od roku 2020 každoročně testujeme Liferay DXP. Ke každému testu dodáváme zprávu o zranitelnostech a doporučení k opravám.
Apify
Testování cloudové platformy pro web scraping a automatizaci, včetně API a klientských rozhraní.
Deepnote
Penetrační testy platformy pro společnou práci s datovými notebooky.
Co vás může zajímat
Kolik test stojí?
Cena se odvíjí od počtu hodin, které test zabere. Menší test, obvykle bez přístupů do aplikace (black box), trvá 40–60 hodin. Středně velký test s testovacími účty (grey box) 60–100 hodin. Rozsáhlý test se zdrojovým kódem a dokumentací (white box) přes 100 hodin. V hodinách je celý proces včetně zprávy. Přesnou cenu pošleme v nabídce po úvodní konzultaci. Jsme spolek a nejsme plátci DPH, cena v nabídce je proto konečná.
Jak dlouho test trvá a kdy můžete začít?
Test v rozsahu kolem 60 hodin trvá od podpisu smlouvy po předání zprávy zhruba 4–6 týdnů. Většina klientů s námi testuje každý rok a nových přijímáme jen několik ročně. Termín proto plánujte 2–3 měsíce dopředu.
Black box, grey box, nebo white box?
Doporučujeme grey box. S testovacími účty a základní dokumentací věnujeme čas hledání zranitelností, ne zjišťování, jak aplikace funguje. Black box simuluje útočníka, který o systému nic neví. White box se zdrojovým kódem a dokumentací jde nejhlouběji. Pracujeme se všemi třemi přístupy.
Jaký je rozdíl mezi penetračním testem a auditem?
Penetrační test ověřuje, jak by útočník mohl zneužít slabá místa konkrétní aplikace nebo sítě. Audit prochází nastavení systémů a postupy, například správu přístupů, evidenci aktiv nebo bezpečnost vývoje. Pokud zatím nemáte nic konkrétního k testování, bývá audit lepším prvním krokem.
Podle jaké metodiky testujete?
Vycházíme z OWASP WSTG a ASVS, PTES a MITRE ATT&CK. Zhruba polovinu práce tvoří ruční testování. Automatické nástroje neodhalí chyby v oprávněních ani v aplikační logice.
Testujete i produkční prostředí?
Primárně testujeme testovací nebo UAT prostředí. Produkci jen po dohodě a podle předem stanovených pravidel.
Kdo test provádí?
Testy provádí především pětice lidí z jádra týmu, které najdete na stránce O nás.
V jakém jazyce je zpráva?
Standardně v angličtině, protože ji tak chce většina klientů. Na požádání připravíme zprávu česky nebo slovensky.
Můžeme vaši zprávu použít pro audit SOC 2?
Ano. Klienti naše zprávy použili jako podklad pro audit SOC 2 a auditoři je přijali. Pokud test potřebujete kvůli auditu, řekněte nám to předem, ať rozsah domluvíme s ohledem na jeho požadavky.
Co nejčastěji nacházíte?
Přístup k cizím datům změnou identifikátoru v požadavku (IDOR), XSS, chybné konfigurace, uniklé API klíče a zapomenuté soubory na serveru, například zálohy nebo konfigurační soubory.
Co potřebujete před začátkem?
Popis systému, seznam částí k testování a souhlas jejich vlastníka. Podepíšeme NDA a rámcovou smlouvu a domluvíme prostředí, testovací účty, kontaktní osobu a pravidla testu.
Jak nakládáte s daty?
Surová data z testu po skončení mažeme. Zprávu si ponecháváme, abychom mohli navázat při retestu nebo dalším testu.
Znamená test, že už je systém bezpečný?
Test popisuje nálezy v určitém rozsahu a čase. Nemůže zaručit, že systém neobsahuje další zranitelnosti. Jeho hodnotou jsou konkrétní podklady pro opravy. Proto většina našich klientů nechává testovat každý rok.
Proč nezisková organizace?
TunaSec je spolek, který působí od roku 2020. Výnosy z testů financují naše projekty TunaGuard a WebScan, účast na konferencích a hardware a software pro výzkum. Jako spolek nejsme plátci DPH.
S čím nepomůžeme?
Neprovozujeme nepřetržitý dohled (SOC 24/7) a nezasahujeme při probíhajících incidentech. Pokud vás právě napadli, doporučíme vám, na koho se obrátit.
Co potřebujete prověřit?
Napište nám, o jakou aplikaci nebo infrastrukturu jde, co vás znepokojuje a jaký termín máte na mysli. Společně vybereme vhodný rozsah testu. Úvodní konzultace na 30 minut je zdarma.
Probrat penetrační testNemáte zatím co testovat? Začněte auditem.
Bezpečnostní audit systémů a procesů