01 — APPLIKATIONS- OCH API-SÄKERHET
Penetrationstester av applikationer och API:er.
Vi granskar hur er applikation faktiskt beter sig när någon försöker gå utanför de vägar den är byggd för — och förklarar vilka brister som spelar roll för er verksamhet.
VAD SOM GRANSKAS
Testningen utgår från applikationens arkitektur, roller och funktionalitet. Automatiserade verktyg används där de tillför värde, men huvuddelen av arbetet är manuell analys av hur funktioner, data och behörigheter hänger ihop.
Uppdraget kan omfatta webbapplikationer, REST- och GraphQL-API:er, mobila backend-tjänster och integrationer mellan system.
TYPISKA RISKOMRÅDEN
- Behörighet och åtkomstkontroll
Kan en användare nå andra användares data eller funktioner som är avsedda för en annan roll?
- Autentisering och sessionshantering
Inloggningsflöden, återställning av lösenord, tokens, sessionslivslängd och flerfaktorsautentisering.
- Affärslogik
Flöden som kan utnyttjas i fel ordning, med manipulerade värden eller upprepade anrop.
- Indatavalidering
Injektionsbrister, osäker deserialisering och hantering av filer och oväntad indata.
- Dataexponering
API-svar som avslöjar mer än nödvändigt, felmeddelanden och känslig information i loggar eller klienter.
Avgränsning
- Vilka applikationer, miljöer och API-ytor som ingår.
- Antal roller och testkonton som behövs.
- Om testningen sker i test-, staging- eller produktionsmiljö.
- Tillgång till dokumentation, API-specifikationer eller källkod (grey/white box).
Det här får ni
- En sammanfattning för ledning och beslutsfattare.
- Tekniskt beskrivna fynd med reproducerbara steg där det är lämpligt.
- Bedömning av påverkan och förutsättningar för utnyttjande.
- Prioriterade åtgärdsrekommendationer för utvecklingsteamet.
- Omtest av åtgärdade fynd när det ingår i uppdraget.
PROCESS
- 01
Avgränsning
Fastställ mål, tillgångar, åtkomst, begränsningar och regler för uppdraget.
- 02
Testning
Strukturerad testning som kombinerar lämplig automatisering med manuell undersökning.
- 03
Validering
Verifiera fynd, bedöm verklig påverkan och samla relevanta belägg.
- 04
Rapport & omtest
Prioriterade fynd, åtgärdsrekommendationer och uppföljande validering när det är överenskommet.
VANLIGA FRÅGOR
Behöver vi ge tillgång till källkoden?
Nej, men det kan göra testet mer effektivt och grundligt. Vi diskuterar för- och nackdelar under avgränsningen.
Kan ni testa i produktion?
Det är möjligt med tydliga regler för uppdraget. Ofta rekommenderar vi en produktionslik testmiljö för att minska risken för störningar.
Hur lång tid tar ett test?
Det beror på applikationens storlek och komplexitet. Efter ett avgränsningssamtal ger vi en uppskattning av tidsåtgång.
NÄSTA STEG
Börja med era säkerhetsmål.
Berätta vad ni vill testa, bygga eller förbättra. Vi föreslår ett passande upplägg och förklarar nästa steg.