Оцінка безпеки мобільних додатків

Скільки часу зазвичай займає тест на проникнення мобільного додатку? 

Тривалість тесту на проникнення мобільного додатку може становити від одного тижня до трьох тижнів, але в середньому він займає близько двох тижнів. Однак точні терміни залежать від складності роботи. Зв'яжіться з нами, і ми надамо більш точну оцінку на основі конкретних вимог. 

Які фактори найбільше впливають на ціну тесту на проникнення мобільного додатка? 

Кінцева вартість тесту на проникнення мобільного додатку може змінюватися залежно від його складності та обсягу роботи, необхідної для ретельного тестування. Ось кілька прикладів того, як різні фактори складності можуть вплинути на ціну тесту на проникнення:

Розмір і функціональність. Якщо мобільна програма має велику кількість екранів, функцій і складних взаємодій, для проведення тестування може знадобитися більше часу та зусиль.

Технологічні аспекти. Якщо ваш мобільний додаток використовує передові технології, такі як машинне навчання, штучний інтелект або інтеграція зі складними системами, для його тестування можуть знадобитися спеціальні знання та додаткові зусилля.

Рівень доступу. Якщо мобільна програма вимагає високого рівня авторизації та автентифікації, наприклад, як банківська програма або медична програма з доступом до конфіденційних даних, вона може потребувати глибшого аналізу безпеки та тестування.

Інтеграція із зовнішніми системами. Якщо ваша мобільна програма взаємодіє з іншими зовнішніми системами чи API, може знадобитися додатковий час і зусилля для оцінки безпеки цих взаємодій.

Підтримка кількох платформ. Якщо ваша мобільна програма розроблена для кількох платформ, наприклад iOS і Android, кожна платформа може мати свої особливості та вимоги до безпеки, що може вплинути на обсяг роботи та вартість тесту на проникнення.

Щоб надати вам точну цінову пропозицію, ми враховуємо особливості та вимоги вашого мобільного додатку. Наші ціни розроблені таким чином, щоб бути справедливими та прозорими, гарантуючи, що ви отримаєте індивідуальне та економічно ефективне рішення, яке відповідає Вашим унікальним потребам.

Яку методологію ми використовуємо? 

• Посібник з тестування мобільної безпеки OWASP (https://mas.owasp.org/MASTG/) – використовується для комплексного тестування на проникнення мобільних програм 
• Стандарт перевірки безпеки мобільних додатків OWASP MASVS (Mobile Application Security Verification Standard) (https://mas.owasp.org/MASVS/) – використовується для повноцінного аудиту серверної частини мобільних програм.
• Стандарт перевірки безпеки додатків OWASP ASVS (Application Security Verification Standard) (https://owasp.org/www-project-application-security-verification-standard/) – використовується для повноцінного аудиту серверної частини мобільних програм.
• OWASP Mobile Top 10 (https://owasp.org/www-project-mobile-top-10/) – використовується для швидкого тестування на проникнення мобільних програм 

Які етапи проєкту? 

• Підписання договору та NDA.
• Затвердження плану-графіку тестування та методології.
• Початок - пасивний збір інформації та вивчення документації.
• Визначення вразливостей (автоматизоване сканування та ручна оцінка).
• Ручна перевірка кожної вразливості.
• Оцінка ризиків, профілювання загроз і написання звіту.
• Презентація звіту.
• Перевірка усунення вразливостей (за вашим бажанням).

Наскільки безпечний тест на проникнення? 

Ми не ставимо за мету “покласти на лопатки” ваші системи, але треба розуміти, що ми активно намагаємося вивести системи за межі їх звичайного функціонування.

Якщо ми тестуємо продуктивне середовище та маємо справу з критичними системами, не переживайте! У нас є кілька прийомів, щоб все було під контролем:

• Ризикові дії, такі як сканування вразливостей та експлуатація, відбуватимуться лише після взаємної згоди з Вами щодо найкращого часу. Ви можете обрати вікно технічного обслуговування, наприклад, під час вихідних або в нічний час, Ви можете вибрати період технічного обслуговування, наприклад, у вихідні або вночі, щоб мінімізувати ризик для своїх клієнтів.
• Ручні перевірки будуть виконані з великою обережністю, і наші сканери будуть налаштовані тільки на “безпечні” перевірки. 
• Ми розробимо процедуру ескалації подій у співпраці з вами, щоб ви були готові оперативно реагувати в разі її виникнення. Це буває рідко, але, визнаймо: життя повне сюрпризів. 
• І не забувайте про резервне копіювання систем, завжди краще мати його в готовності.

Ще однією опцією є тeстування в середовищі, ідентичному продуктивному середовищу.

Які інструменти ми використовуємо? 

Ми використовуємо як платні, так і безплатні інструменти для сканування вразливостей, дослідження та аналізу. Крім того, ми застосовуємо ручне тестування та пошук у відкритих базах даних експлойтів та вразливостей.

• Мобільний сканер: ImuniWeb
• WEB-сканери: BurpSuite & Acunetix.
• Мережеві сканери: Nexpose & Nessus.
• Усі інструменти входять до дистрибутиву Kali Linux.
• Емулятори Android і IOS, а також справжні апаратні пристрої. 
• Експлойти, знайдені в інтернет-базах даних, таких як ExploitDatabase, CVE Details, 0day.today, а також на GitHub.
• Створені вручну інструменти та експлойти.

Чи проводимо ми автоматизоване тестування, чи ручне тестування? 

Тестування на проникнення - це не лише сканування вразливостей; значна частина роботи виконується вручну. Сканування вразливостей надає дані для ручних перевірок, і сканер - це лише один з інструментів, які ми використовуємо.

Ми також пропонуємо окрему послугу зі сканування вразливостей, яка є набагато простішою за тест на проникнення. 

Для зменшення помилкових спрацювань під час сканування вразливостей ми перевіряємо результати другим сканером.