Sızma Testleri
Web Uygulama Sızma Testi
İnternet şubesi, müşteri portalı veya e-ticaret siteniz gibi web uygulamalarınızı manuel olarak test ediyoruz. Bir saldırganın veriye veya işleme nasıl ulaşabileceğini somut olarak gösteriyoruz.
Nedir?
Web uygulama sızma testi, yayındaki uygulamayı bir saldırganın gözünden manuel olarak inceler. Oturum yönetimi, yetkilendirme ve girdi işleme her kullanıcı rolüyle ayrı ayrı test edilir. Ödeme, onay veya limit gibi adımlardaki iş mantığı hataları da araştırılır. Yöntem OWASP WSTG ve ASVS'e dayanır, otomatik tarama yalnızca destek amaçlı kullanılır.
Kapsam
- Giriş, parola sıfırlama, çok faktörlü kimlik doğrulama ve oturum yönetimi akışları
- Bir kullanıcının başka bir kullanıcının verisine erişip erişemediği
- Enjeksiyon, XSS ve dosya yükleme gibi girdi işleme zafiyetleri
- Ödeme, onay, limit ve kampanya gibi iş mantığı adımları
- Uygulamanın kullandığı API ve üçüncü taraf entegrasyonları
- Sunucu, TLS ve güvenlik başlığı yapılandırması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Yeni bir müşteri portalı, internet şubesi veya ödeme akışı yayına alınmadan önce.
- Bankacılık, sermaye piyasası veya ödeme alanındaki düzenleyicinizin istediği yıllık bağımsız sızma testinin zamanı geldiğinde.
- Kurumsal bir müşteri, sözleşmeden önce uygulamanız için bağımsız bir test raporu istediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Kapsam ve roller
Test edilecek alan adlarını, akışları ve her rol için test hesaplarını birlikte belirleriz.
-
Haritalama
Uygulamanın sayfalarını, API çağrılarını ve iş akışlarını çıkarırız.
-
Manuel test
Her rolde yetki, girdi ve iş mantığı kontrollerini elle deneriz. Düşük riskli bulguların birleşik etkisini gösteririz.
-
Rapor ve yeniden test
Bulguları etkiye ve CVSS puanına göre sıralar, düzeltmelerden sonra yeniden test ederiz.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi kullanıcının hangi veriye ve işleme yetkisiz ulaşabildiğini adım adım görürsünüz. Düzeltmelerin sonucu yeniden testle belgelenmiş olur.
Sık sorulan sorular
Otomatik zafiyet taramasından farkı nedir?
Tarayıcılar bilinen zafiyet kalıplarını arar. Bir müşterinin başka bir müşterinin kaydını görebilmesi gibi yetki ve iş mantığı hatalarını ise ancak manuel test bulur.
Test canlı ortamda mı yapılır?
İkisi de mümkündür, canlıya yakın bir test ortamı tercih edilir. Canlı ortamda veri değiştirebilecek adımlar yalnızca onayınızla ve test hesaplarıyla yürütülür.
Test ne kadar sürer?
Süre, uygulamanın büyüklüğüne, rol sayısına ve akışların karmaşıklığına bağlıdır. Kapsamı inceledikten sonra net bir takvim veririz.
Sızma Testleri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın