Kenelle tarjoamme penetraatiotestausta?
C-YBER tarjoaa tällä sivulla esitellyille yrityksille verkkosovellusten, mobiilisovellusten ja API-rajapintojen penetraatiotestausta ja haavoittuvuuksien arviointia. Jos olet CTO, CISO tai muu tekninen päättäjä, tutustu alla siihen, mitä yrityksessäsi voidaan testata.
Testaamme verkkosovelluksia, mobiilisovelluksia ja API-rajapintoja. Emme auditoi emmekä sertifioi minkään säädöksen tai standardin vaatimusten täyttymistä.
Haavoittuvuuksien arvioinnissa skannaamme järjestelmäsi Burp Suitella. Asiantuntija todentaa skannauksen löydökset ja asettaa ne tärkeysjärjestykseen. Penetraatiotestissä testaajat myös yrittävät hyödyntää löytämiään haavoittuvuuksia ja osoittaa niiden vaikutukset.
Penetraatiotestaus
Penetraatiotestauksessa (pentest) sovimme ensin testauksen laajuudesta ja säännöistä. Sen jälkeen keräämme tietoa ja yritämme hyödyntää tunnistettuja haavoittuvuuksia. Saat testauksesta raportin ja tukea korjaamiseen.
Haavoittuvuuksien arviointi
Haavoittuvuuksien arvioinnissa asiantuntija analysoi skannaustulokset manuaalisesti. Saat raportin ja tukea korjaamiseen. Haavoittuvuuksia ei hyödynnetä aktiivisesti.
Mitä testaus kattaa
Sovellukset ja rajapinnat
- Verkkoratkaisut: verkkosivustot, verkkosovellukset, verkkokaupat, verkkopankkisovellukset ja kaikki järjestelmät, joissa on verkkokäyttöliittymä
- Mobiilisovellukset: iOS ja Android
- API-rajapinnat: tiedonsiirron ja järjestelmäintegraatioiden rajapinnat
Mitä tarkistamme
- Todentaminen ja valtuutus
- Syötteiden validointi
- Salaus ja tietojen eheys
- Pyyntötiheyden ja pyyntövirran rajoittaminen
- Virheenkäsittely ja lokitus
- Palvelinmääritykset ja tietokantojen tietoturva
- Logiikkavirheet
- Ketjutetut haavoittuvuudet
Testaus yrityksellesi
Valitse yrityksellesi sopiva sivu. Löydät sieltä tietoa testauksen laajuudesta ja vastauksia sinulle olennaisiin kysymyksiin.
Fintech-penetraatiotestaus
Jos vastaat fintech- tai maksutuotteesta, saatat olla lisäämässä rahansiirtotoimintoa tai vastaamassa pankin pyyntöön teettää penetraatiotesti.
- Asiakkaille tarkoitetut verkkosovellukset ja verkkopankkisovellukset
- iOS- ja Android-mobiilisovellukset
- KYC- ja maksuprosessien API-rajapinnat
SaaS-penetraatiotestaus
Jos vastaat SaaS-palvelun tekniikasta, saatat tarvita testin suuryritysasiakkaan tietoturva-arviointia varten tai silloin, kun todentaminen tai laskutus toteutetaan uudelleen.
- Usean asiakasympäristön verkkosovellukset
- Julkiset API-rajapinnat
- Mobiilisovellukset, jos niitä on
Penetraatiotestaus ohjelmistotaloille
Kun ohjelmistotalosi valmistelee asiakkaan ohjelmistoa käyttöönottoa tai luovutusta varten, asiakas saattaa pyytää penetraatiotestiä. Testiä voidaan edellyttää myös tarjouspyynnössä.
- Räätälöidyt verkkosovellukset ja verkkosivustot
- Mobiilisovellukset iOS:lle ja Androidille
- Tiedonsiirron ja järjestelmäintegraatioiden API-rajapinnat
Penetraatiotestaus verkkokaupoille
Jos johdat vähittäiskaupan tai markkinapaikan teknologiaa, verkkokaupan käyttöönotto, alustan vaihto tai sesonkiaika voi antaa aiheen testaukseen. Myös verkkokaupan osto tai myynti voi olla syy teettää testi.
- Verkkokauppojen verkkosovellukset ja räätälöity kassatoiminto
- Varastonhallinnan API-rajapinnat
- Hallintakonsolit
Penetraatiotestaus julkishallinnon ohjelmistotoimittajille
Yrityksesi toimittaa julkishallinnon organisaatioille ohjelmistoja tai digitaalisia palveluja, kuten EdTech-alustoja. Tarjouspyyntö, sopimuksen tietoturvaehto tai asiakkaan pyyntö voi olla syy teettää penetraatiotesti.
- Kansalaisportaalit ja verkkolomakkeet
- Palveluun kirjautumisessa käytettävät tunnistautumisintegraatiot
- Julkisten digitaalisten palvelujen API-rajapinnat
Terveydenhuollon penetraatiotestaus
Terveysteknologiayrityksellesi voi tulla tarve testaukseen sairaalan tai sairausvakuutusyhtiön tietoturvan tarkistuslistan myötä. Sairaala tai muu terveydenhuollon asiakas saattaa myös pyytää alustasi testaamista.
- Potilasportaalit ja etävastaanottosovellukset
- FHIR- ja HL7-API-rajapinnat
- Potilaiden ja terveydenhuollon ammattilaisten mobiilisovellukset
Logistiikan penetraatiotestaus
Logistiikka-, kuljetus- tai kalustonhallinta-alustasi tai verkkoon liitettyjen laitteiden alustasi testaus voi tulla ajankohtaiseksi, kun suuryritysasiakas tekee API-integraation. Muita syitä ovat internetistä saavutettavat kumppanien API-rajapinnat tai alustaa käyttävän suuryrityksen pyyntö.
- Kalustonhallinnan ja telematiikan API-rajapinnat
- Kumppaniportaalit ja verkkopohjaiset koontinäkymät
- Operatiivisten käyttäjien mobiilisovellukset
Miten testausprojekti etenee
- Testauksen laajuus ja testaustyyppi
Aloitamme jokaisen testin suunnittelulla. Sovimme testauksen laajuudesta, testattavista järjestelmistä ja säännöistä häiriöiden välttämiseksi.
Määrittelemme jokaisen testin laajuuden kanssasi testauksen määrittelykyselyn avulla tai testauksen määrittelytapaamisessa. Molemmissa käymme läpi samat kysymykset.
Testaus voi olla black box -testausta, gray box -testausta tai white box -testausta. Sovimme testaustyypistä samalla, kun määrittelemme testauksen laajuuden. White box -testauksessa testaajilla on täysi pääsy järjestelmiin ja dokumentaatioon. - Ympäristö ja aikataulu
Testaamme sekä tuotantokäytössä olevia järjestelmiä että esituotantoympäristöjä. Noin 70 % testeistämme tehdään tuotantokäytössä olevissa järjestelmissä ja 30 % esituotantoympäristöissä.
Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin. - Raportti ja kieli
Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.
Raporttimme sisältävät johdon yhteenvedon, työn laajuuden, testaustyypin ja testausmenetelmät, metodologian, riskin laskentatavan, yhteenvedon löydöksistä, kunkin löydöksen yksityiskohtaiset tulokset ja johtopäätökset.
Raporttien pituus on 20–100+ sivua.
Toimitamme raportin pyytämälläsi kielellä: englanniksi, viroksi tai muulla kielellä. Voit pyytää sen myös useammalla kielellä. - Uusintatestaus ja tuki
Kun olet korjannut löydökset, testaamme ne uudelleen.
Uusintatestaus kattaa vain löydökset, ei koko sovellusta. Sen hinta on yleensä mukana samassa tarjouksessa kuin testin hinta. Uusintatestauksen aikaikkuna on noin 4 viikkoa. Testaus voi onnistua aiemminkin, jos olet jo korjannut löydökset ja aikataulussamme on tilaa.
Raportin valmistuttua käymme löydökset läpi tapaamisessa ja autamme sinua todentamaan korjaukset.
Usein kysytyt kysymykset testauksesta
Kuinka paljon penetraatiotestaus tai haavoittuvuuksien arviointi maksaa?
Penetraatiotestaus ja haavoittuvuuksien arviointi hinnoitellaan projektikohtaisesti testauksen laajuuden perusteella.
Penetraatiotestauksen hintaan vaikuttavat tekijät
- Testattavien järjestelmien tai sovellusten määrä
- Testaustyyppi
- Ympäristön monimutkaisuus
- Aikataulu
Haavoittuvuuksien arvioinnin hintaan vaikuttavat tekijät
- Testattavien järjestelmien tai sovellusten määrä
- Ympäristön koko ja monimutkaisuus
- Raportin yksityiskohtaisuus
Kuinka kauan testaus kestää?
Testaus kestää projektista riippuen muutamasta päivästä muutamaan viikkoon, keskimäärin 1–2 viikkoa.
Kuinka pian voitte aloittaa testauksen?
Aloitusajankohta riippuu tämänhetkisestä aikataulustamme. Jos tarvitset testauksen nopeammin, ota yhteyttä. Teemme parhaamme, jotta voimme vastata aikataulutoiveeseesi.
Kuinka usein meidän pitäisi teettää pentestejä?
Suosittelemme penetraatiotestausta 2–4 kertaa vuodessa ja merkittävien muutosten jälkeen.
Voimmeko nähdä penetraatiotestin malliraportin?
Voit pyytää verkkosovelluksen penetraatiotestin malliraportin yhteydenottolomakkeella tai sähköpostitse.
Edellyttääkö GDPR penetraatiotestiä?
GDPR:n 32 artiklan 1 kohta edellyttää, että rekisterinpitäjät ja henkilötietojen käsittelijät toteuttavat tarvittaessa turvatoimia. Yksi niistä on menettely, jolla turvatoimien tehokkuutta testataan, tutkitaan ja arvioidaan säännöllisesti (d alakohta; UK GDPR sisältää saman tekstin). Penetraatiotesti on yksi tapa esittää näyttöaineistoa tästä menettelystä niiden järjestelmien osalta, jotka testi kattaa.
Kokemus ja menetelmät
Meillä on yli 7 vuoden kokemus testaamisesta. Olemme tänä aikana kartuttaneet laajaa asiantuntemusta verkkosovelluksista ja verkkosivustoista, verkkokauppa-alustoista, mobiilisovelluksista, API-rajapinnoista ja SaaS-ratkaisuista.
Voimme noudattaa penetraatiotesteissä OWASPin, ISSAFin, PTES:n tai OSSTMM:n menetelmiä pyynnöstäsi tai suosituksemme perusteella. Sovimme noudatettavista menetelmistä ja niiden kattavuudesta testauksen laajuuden määrittelyssä.
Käytämme testauksessa Burp Suitea, manuaalista testausta ja omia työkalujamme.
Testaajillamme on muun muassa seuraavia sertifikaatteja: PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+. Testaajamme ovat myös julkaisseet tutkimusta, johon sisältyy viisi CVE:tä.
Keskustellaan testaustarpeistasi
Tuotamme testauksesta näyttöaineistoa. Emme auditoi emmekä sertifioi minkään säädöksen tai standardin vaatimusten täyttymistä.
Voit pyytää verkkosovelluksen penetraatiotestin malliraportin yhteydenottolomakkeella tai sähköpostitse.
Tai lähetä meille sähköpostia osoitteeseen info@c-yber.com
Mitä kerrot viestissä
Kerro, mitä pitää testata (verkkosovellus, mobiilisovellus tai API) ja kuinka laajasta testauksesta on arviolta kyse. Kuvaile myös, miksi ja milloin tarvitset testin ja haluatko malliraportin.
Mitä jätät viestistä pois
Älä lähetä salasanoja, API-avaimia, pääsytunnisteita tai muita pääsytietoja, lähdekoodia, tietoja korjaamattomista haavoittuvuuksista tai asiakkaidesi henkilötietoja.