O objetivo principal de um teste de penetração de aplicativos da web é identificar vulnerabilidades exploráveis ​​em aplicativos baseados na web antes que os hackers as descubram e explorem. Os testes de penetração de aplicativos da Web ajudarão a revelar oportunidades reais para que hackers comprometam aplicativos de tal forma que permita o acesso não autorizado a dados confidenciais ou até mesmo o controle de sistemas para fins maliciosos/não comerciais.
Este tipo de avaliação realizada pelos nossos hackers éticos ajuda a:
- Identificar falhas de segurança de aplicações presentes no ambiente
- Entenda o nível de risco para sua organização
- Resolver e corrigir falhas de aplicativos identificadas
Como resultado de nossos testes de penetração de aplicativos web, você poderá visualizar seus aplicativos através dos olhos de um hacker e descobrir onde pode melhorar sua postura de segurança. Nossos consultores de segurança produzem descobertas em relatórios escritos e fornecem à sua equipe a orientação necessária para remediar com eficácia quaisquer problemas que descobrirmos.
O serviço de teste de penetração de aplicativos da Web da InfoSec Governance utiliza uma abordagem abrangente e baseada em riscos para identificar manualmente vulnerabilidades críticas centradas em aplicativos que existem em todos os aplicativos no escopo.
1. Coleta de informações
2. Modelagem de ameaças
3. Análise de Vulnerabilidade
Usando esta abordagem padrão do setor, o método abrangente do InfoSec Governance cobre as classes de vulnerabilidades no Open Web Application Security Project (OWASP) Top 10 2017, incluindo, mas não se limitando a: Injeção, Cross-Site Scripting, Cross-Site Request Forgery, Unvalidated Redirecionamentos e encaminhamentos, autenticação quebrada e gerenciamento de sessões, configuração incorreta de segurança, acesso direto inseguro a objetos e muito mais…
Teste Manual versus Teste Automatizado
A abordagem da InfoSec Governance consiste em cerca de 80% de testes manuais e cerca de 20% de testes automatizados – os resultados reais podem variar ligeiramente. Embora o teste automatizado permita eficiência, ele é eficaz em fornecer eficiência apenas durante as fases iniciais de um teste de penetração. Na InfoSec Governance, acreditamos que um teste de penetração eficaz e abrangente só pode ser realizado por meio de rigorosas técnicas de teste manual.
Para realizar uma avaliação abrangente do mundo real, o InfoSec Governance utiliza ferramentas comerciais e de código aberto, as mesmas ferramentas que os hackers usam em cada avaliação. Mais uma vez, a nossa intenção é avaliar os sistemas simulando um ataque no mundo real e aproveitamos as muitas ferramentas à nossa disposição para realizar essa tarefa com eficácia.
Consideramos que a fase de reporte marca o início do nosso relacionamento. A InfoSec Governance se esforça para fornecer a melhor experiência e serviço possível ao cliente.
Correção e novo teste
Simplificando, nosso objetivo é ajudar a corrigir vulnerabilidades, e não apenas encontrá-las. Como resultado, o novo teste de remediação é sempre fornecido sem custo adicional.
Cada teste de penetração de aplicativos da web é conduzido de forma consistente usando estruturas padrão do setor, para garantir um teste de penetração sólido e abrangente. No mínimo, a estrutura subjacente é baseada no Open Web Application Security Project (OWASP), mas vai além da estrutura inicial em si.
A primeira fase de um teste de penetração de aplicativos web concentra-se na coleta do máximo de informações possível sobre um aplicativo alvo. O reconhecimento, uma das etapas mais críticas de um teste de aplicativo baseado na Web, é feito por meio do uso de ferramentas públicas, como mecanismos de pesquisa, enviando solicitações HTTP simples ou solicitações especialmente criadas. Como resultado, pode ser possível forçar o aplicativo a vazar informações, por exemplo, divulgando mensagens de erro ou revelando as versões e tecnologias utilizadas.
Ser capaz de compreender a configuração da infraestrutura da aplicação web é quase tão crítico quanto o próprio teste de segurança da aplicação. Afinal, uma aplicação é tão forte quanto o seu elo mais fraco. As plataformas de aplicativos são amplas e variadas, mas alguns erros importantes de configuração da plataforma podem comprometer o aplicativo da mesma forma que um aplicativo não seguro pode comprometer o servidor (métodos HTTP inseguros, arquivos antigos/de backup).
Autenticação é o processo de tentativa de verificação da identidade digital do remetente de uma comunicação. O exemplo mais comum é o processo de logon. Testar o esquema de autenticação significa entender como o processo funciona e usar essas informações para contornar o mecanismo.
O gerenciamento de sessão é definido como o conjunto de todos os controles que governam a interação com estado entre um usuário e a aplicação web com a qual ele está interagindo. Em geral, isso abrange desde como a autenticação do usuário é realizada até o que acontece quando eles efetuam logout.
O teste de autorização envolve a compreensão de como funciona o processo de autorização e o uso dessas informações para contornar o mecanismo de autorização. A autorização é um processo que ocorre após uma autenticação bem-sucedida, portanto, o pen tester verificará esse ponto após possuir credenciais válidas, associadas a um conjunto bem definido de funções e privilégios. Como resultado, deve-se verificar se é possível contornar o esquema de autorização, encontrar uma vulnerabilidade de passagem de caminho ou encontrar maneiras de escalar os privilégios.
Validação de entrada de dados
O ponto fraco mais comum na segurança de aplicativos da Web é a falha em validar adequadamente as entradas provenientes do cliente ou do ambiente antes de usá-las. Essa fraqueza leva a quase todas as principais vulnerabilidades em aplicativos da Web, como scripts entre sites, injeção de SQL, injeção de interpretador, ataques de localidade/Unicode, ataques de sistema de arquivos e buffer overflows.
Serviços Web/API
Os serviços da Web possuem certos elementos de exposição, assim como qualquer outro protocolo ou serviço. A diferença é que eles podem ser usados ​​em HTTP, FTP, SMTP ou MQ entre outros protocolos de transporte. Como resultado, as vulnerabilidades nos serviços da Web são semelhantes a outras vulnerabilidades, como injeção de SQL, divulgação de informações e vazamento, mas os serviços da Web também têm vulnerabilidades exclusivas relacionadas ao analisador/XML.
Aqui na InfoSec Governance, consideramos a fase de entrega e relatório do teste a parte mais importante e tomamos muito cuidado para garantir que comunicamos minuciosamente o valor do nosso serviço e das descobertas. Os resultados consistem em um relatório que inclui vários componentes principais, incluindo, entre outros: Resumo Executivo, Escopo, Resultados, Evidências, Ferramentas e Metodologia.
As descobertas são comunicadas por e-mail, mas podem ser apresentadas pessoalmente ou virtualmente via Skype ou Google Hangouts – qualquer meio que seja mais propício para a comunicação eficaz dos resultados. Durante esse período, os consultores de governança da InfoSec analisarão o relatório detalhadamente para garantir que todas as descobertas e sua descrição correspondente, classificação de risco, impacto, probabilidade, evidências e etapas de remediação sejam totalmente compreendidas.
Embora isso normalmente envolva uma única reunião, não há limitação para esse número. A principal mensagem subjacente é que toda a informação é claramente compreendida e que um roteiro para a remediação/mitigação é absolutamente claro.
Alguns dos principais componentes do nosso teste de penetração física incluem, mas não estão limitados a:
- Estrutura de controle (ou seja: OWASP, PCI, PTES, OSSTMM)
- Narrativa de resumo executivo
- Narrativa de resumo técnico
- Gráficos de resumo do relatório
- Resumo das Constatações
- Resultados (descrição, impacto nos negócios, recomendação, evidências, referências, CVSS, cálculo de classificação de risco)
- Metodologia e Abordagem
- Fatores de Classificação de Risco