Usługa · Testy i zapewnienie jakości

Testy penetracyjne

Szukamy słabych punktów Twojej aplikacji, zanim zrobi to ktoś z gorszymi zamiarami. Działamy wyłącznie za pisemną zgodą właściciela systemu, w zakresie i oknie czasowym zapisanym w umowie, bez działań niszczących. To kontrolowany test, a nie atak, i daje Ci dokumentację przydatną przy analizie ryzyka pod NIS2, KSC i RODO.

Wyślij zapytanie Zakres usługi

Zgoda

pisemna, przed pierwszym pakietem

Zakres

i okno testów w umowie

Priorytety

co łatać najpierw

Retest

po Twoich poprawkach

Co obejmuje usługa

Skupiamy się na tym, co atakowane jest najczęściej: logowaniu, kontroli dostępu, obsłudze danych wejściowych i komponentach od zewnętrznych dostawców. Pracujemy według metodyki OWASP (WSTG i ASVS).

Omów zakres z inżynierem

Uwierzytelnianie

Obejście logowania, słabe hasła, niebezpieczne resetowanie hasła, czas życia sesji, konfiguracja MFA oraz logowania przez Profil Zaufany lub mObywatel, jeśli system z nich korzysta.

Kontrola dostępu

Czy klient zobaczy cudzą fakturę, zmieniając numer w adresie? Czy zwykły użytkownik dostanie się do panelu administratora? To jedne z najczęstszych błędów w portalach klienta.

Dane wejściowe

SQL injection, cross-site scripting, przesyłanie złośliwych plików, manipulacja ceną lub ilością w żądaniu wysyłanym do serwera.

API i aplikacje mobilne

Endpointy, z których korzysta aplikacja na telefon, często są słabiej chronione niż strona www. Sprawdzamy autoryzację, limity zapytań i to, co aplikacja zapisuje w pamięci urządzenia.

Komponenty i konfiguracja

Biblioteki ze znanymi podatnościami, włączony tryb debugowania, brak nagłówków bezpieczeństwa, dostępne kopie zapasowe i pliki .env, otwarte panele administracyjne.

Raport

Każde znalezisko z oceną według CVSS, sposobem odtworzenia i zaleceniem naprawy, plus streszczenie dla zarządu bez technicznego żargonu.

Jak wygląda współpraca

Czas testu zależy od wielkości aplikacji i zakresu, a termin raportu podajemy w umowie. Łączymy się z góry znanych adresów IP, które możesz dopisać do białej listy i monitoringu.

Umowa i zgoda

Pisemna zgoda właściciela systemu, dokładny zakres adresów i funkcji, okno czasowe testów i kontakty awaryjne po obu stronach. Jeśli aplikacja stoi u zewnętrznego hostingodawcy lub w chmurze, uzyskujemy też jego akceptację.

Rozpoznanie

Mapujemy aplikację: punkty wejścia, technologie, publiczne API, subdomeny.

Testy

Ręcznie i narzędziami takimi jak Burp Suite, w trybie ostrożnym, bez działań, które mogłyby zakłócić pracę systemu.

Raport i retest

Znaleziska z priorytetami, omówienie na spotkaniu online, a po poprawkach ponowne sprawdzenie naprawionych miejsc.

Raport z pentestu nie jest dokumentem do przesyłania mailem po całej firmie. Opisuje krok po kroku, jak wykorzystać każdą lukę, więc dopóki nie zostaną załatane, jest groźniejszy niż same podatności. Udostępniamy go szyfrowanym kanałem i tylko wskazanym osobom.

Pytania i odpowiedzi

Działamy wyłącznie za pisemną zgodą właściciela systemu i na podstawie umowy z jasnym zakresem i terminem, a treść zgody warto uzgodnić z Twoim prawnikiem. Cudzych systemów nie testujemy nigdy, nawet na prośbę kogoś, kto twierdzi, że ma do nich prawo, bez dokumentu od faktycznego właściciela.

Pracujemy ostrożnie i bez testów niszczących, ale każde testowanie niesie pewne ryzyko. Dlatego wolimy kopię środowiska. Jeśli test ma objąć produkcję, wymagamy uzgodnionego okna czasowego i świeżej kopii zapasowej.

Skaner porównuje system z bazą znanych wzorców i dobrze znajduje przestarzałe biblioteki. Błędów logiki, takich jak dostęp do cudzych danych czy obejście limitu rabatu, skaner nie widzi. Tu potrzebny jest człowiek, a solidny test łączy jedno i drugie.

Nie wystawiamy certyfikatów bezpieczeństwa i nie obiecujemy ich. Dostajesz raport opisujący zakres, metodę, datę i wyniki testu oraz potwierdzenie retestu. Taki dokument możesz przedstawić audytorowi, klientowi lub w ramach analizy ryzyka pod NIS2.

Co najmniej raz w roku i po każdej większej zmianie, np. nowym module płatności albo przejściu na inną platformę. Dla podmiotów objętych NIS2 regularne testy są naturalną częścią zarządzania ryzykiem.

Więcej w tym obszarze

Zobacz cały obszar

Usługa Testy funkcjonalne Sprawdzamy, czy system robi to, co obiecuje Usługa Testy obciążeniowe Jak system zachowa się, gdy wszyscy przyjdą naraz Usługa Automatyzacja testów Powtarzalne sprawdzenia uruchamiane przez maszynę Usługa Testy użyteczności i UX Prawdziwi użytkownicy pokazują, gdzie interfejs przeszkadza

Znajdźmy luki, zanim zrobi to ktoś inny

Opisz aplikację i napisz, czy masz środowisko testowe. Ustalimy zakres i okno testów, a zgodę spiszemy w umowie.

E-mail
office@apply.pl

Godziny pracy
pon.-pt. 8:00-18:00, odpowiedź w ciągu dnia roboczego

Spotkania
Online w Teams lub Google Meet

Zgadzam się na przetwarzanie moich danych przez Apply w celu odpowiedzi na zapytanie, zgodnie z polityką prywatności