Nem mindegy, milyen jogokkal fut
Egyes alkalmazások emelt jogosultsággal vagy kiemelt rendszerhozzáféréssel működnek.
A rosszul korlátozott hozzáférés más rendszereket is veszélyeztethet.
Desktopalkalmazás-tesztelés
Az asztali alkalmazás is támadási felület.
Manuális teszteléssel derítjük ki, hogyan lehetne visszaélni egy asztali alkalmazással: hozzáférhet-e valaki a tárolt adatokhoz, megkerülheti-e a jogosultságokat, vagy az alkalmazáson keresztül továbbjuthat-e a vállalati rendszerekbe.
Üzleti kockázat
Nemcsak az alkalmazás kerülhet veszélybe.
Az asztali alkalmazások érzékeny adatokat kezelhetnek, emelt jogosultságokkal futhatnak, és belső rendszerekhez kapcsolódhatnak. A fejlesztés során keletkezett, rejtve maradó hibák ezért az alkalmazáson túl is kockázatot jelenthetnek.
Belső használatra készült, mégis kitett
Sok asztali alkalmazás csak belső használatra készült, ezért senki nem számolt azzal, hogy valaki szándékosan visszaélne vele.
Közvetlen adatbázis-kapcsolat, a programba beégetett jelszavak és ellenőrizetlen jogosultságok: egy rosszindulatú felhasználónak vagy egy fertőzött gépnek ennyi is elég lehet.
Az ügyfelek bizonyítékot kérnek
A nagyvállalati ügyfelek egyre gyakrabban várják el a szoftverbeszállítóktól, hogy független biztonsági vizsgálattal igazolják termékük biztonságát.
Egy penetrációs tesztről szóló jelentés a beszerzési folyamatban is versenyelőnyt jelenthet.
Minden megállapításhoz technikai bizonyítékot és konkrét javítási útmutatót adunk, amelyet a fejlesztőcsapat közvetlenül követhet. A jelentés az ügyfelek és auditorok felé is igazolja, hogy az alkalmazást független szakértők vizsgálták.
Konzultáció kéréseMódszertan
Így teszteljük az asztali alkalmazásokat.
A statikus és dinamikus elemzést manuális tesztekkel egészítjük ki, hogy a technikai sérülékenységek mellett a logikai hibák is kiderüljenek. A vizsgálat hat területet fed le, a telepítőcsomagtól a frissítési folyamatig.
- Telepítőcsomag és telepítési folyamat elemzése
- Fájlszerkezet és registry-változások
- Rendszerkönyvtárak használata
- Kapcsolódási pontok (API-k, adatbázisok, hálózatok)
- Hálózati kommunikáció (TLS, API-k, protokollok)
- Futtatás elkülönített környezetben (virtuális gép, sandbox)
- Memóriahasználat és futó folyamatok
- Hiba- és kivételkezelés vizsgálata
- Bemeneti adatok ellenőrzése
- Puffertúlcsordulás és befecskendezéses támadások
- Kimeneti adatok szűrése és escape-elése
- Biztonságos naplózás
- Fájlrendszerben, registryben és gyorsítótárban tárolt adatok
- Jelszavak és hozzáférési tokenek kezelése
- Alkalmazott titkosítási megoldások
- Kriptográfiai algoritmusok helyes használata
- A telepítő épsége (digitális aláírás, hash)
- Futtatási jogosultságok (pl. rendszergazdai jog)
- Hitelesítési mechanizmusok
- Szerepköralapú hozzáférés és jogosultság-ellenőrzés
- Üzleti logikai hibák
- Tranzakciók és munkafolyamatok ellenőrzése
- Kódba égetett hitelesítő adatok és titkok
- Visszafejtés és manipuláció elleni védelem
- A frissítési folyamat biztonsága és integritása
Konzultáció
A biztonság egy beszélgetéssel kezdődik.
Sablonos értékesítési bemutató helyett beszéljünk arról, hogyan érintik vállalatát az üzletmenet-folytonossági és működési kockázatok.