Logistiikan penetraatiotestaus kalustonhallinta-alustoille ja verkkoon liitettyjen laitteiden alustoille

Kalustonhallintasovellusten ja kumppanien API-rajapintojen testaus

Testaamme verkkoon liitettyjen laitteiden alustaa: verkkopohjaisia koontinäkymiä, mobiilisovelluksia sekä API-rajapintoja, joita laitteesi ja kumppanisi kutsuvat. Laitteisto ja laiteohjelmistot eivät kuulu testauksen laajuuteen.

Kalustonhallintaohjelmiston tai kaluston telematiikka-alustan testaukseen voivat kuulua alla kuvatut rajapinnat ja tarkistukset.

Voimme testata samassa testausprojektissa operatiivisen käyttäjän mobiilisovelluksen ja sen kalusto- ja toimituspyyntöjä käsittelevät API-rajapinnat. Sovimme testattavista kohteista testauksen laajuuden määrittelyssä.

Verkkoon liitettyjen laitteiden alustojen ja IoT-alustojen taustajärjestelmät

Verkkoon liitettyjen laitteiden alustasi saattaa tarvita testin, jos se vastaanottaa kumppanien pyyntöjen lisäksi laitteidensa kutsuja julkiseen API-rajapintaan.

Testaamme verkkoon liitettyjen laitteiden alustaa: verkkopohjaisia koontinäkymiä, mobiilisovelluksia sekä API-rajapintoja, joita laitteesi ja kumppanisi kutsuvat. Laitteisto ja laiteohjelmistot eivät kuulu testauksen laajuuteen.

Testaamme laitteita palvelevia taustajärjestelmiä, jotka vastaanottavat näitä kutsuja. Lue myös koontinäkymien toimintojen ja operatiivisten käyttäjien mobiilisovellusten testauksesta.

Laitteiden taustajärjestelmään tekemien kutsujen testaus

• Voiko laite lähettää omalla todennustiedollaan mittauslukemia taustajärjestelmään niin, että ne liitetään toisen laitteen rekisteröintiin
• Hylkääkö taustajärjestelmä laiteviestin, jonka HMAC on laskettu toisen laitteen avaimella
• Soveltaako julkinen API-rajapinta pyyntötiheyden rajoitustaan, kun rekisteröintipyyntöjä tehdään yhden laitteen tai kumppanin todennustiedolla

Kun suuryritysasiakas muodostaa yhteyden API-rajapintaasi

Kun suuryritysasiakas yhdistää lähetys- tai kalustotyönkulkujaan alustasi API-rajapinnan kautta, se saattaa pyytää testaamaan API-rajapinnat ja koontinäkymät, joita se aikoo käyttää.

Voit antaa raportin näyttöaineistoksi auditoijillesi, valvontaviranomaisillesi ja asiakkaillesi. Kukin päättää itse, mitä hyväksyy.

Raporttimme sisältävät johdon yhteenvedon, työn laajuuden, testaustyypin ja testausmenetelmät, metodologian, riskin laskentatavan, yhteenvedon löydöksistä, kunkin löydöksen yksityiskohtaiset tulokset ja johtopäätökset.

Voit pyytää verkkosovelluksen penetraatiotestin malliraportin yhteydenottolomakkeella tai sähköpostitse.

Kalustonhallinta-alustan testauksen laajuus ja aikataulu

1. Kartoita testattavat kalustonhallinnan rajapinnat
   Aloitamme jokaisen testin suunnittelulla. Sovimme testauksen laajuudesta, testattavista järjestelmistä ja säännöistä häiriöiden välttämiseksi.
   
   Määrittelemme jokaisen testin laajuuden kanssasi testauksen määrittelykyselyn avulla tai testauksen määrittelytapaamisessa. Molemmissa käymme läpi samat kysymykset.
   
   Kun määrittelemme testauksen laajuutta, sovimme, käytetäänkö valitsemiesi kalustonhallintasovellusten ja kumppanien API-rajapintojen testaukseen black box -testausta, gray box -testausta vai white box -testausta.
2. Kalustonhallintasovellusten tuotanto- ja esituotantoympäristöt
   Testaamme sekä tuotantokäytössä olevia järjestelmiä että esituotantoympäristöjä. Noin 70 % testeistämme tehdään tuotantokäytössä olevissa järjestelmissä ja 30 % esituotantoympäristöissä.
3. Keskustele lähetys- ja integraatioaikatauluista
   Kerro, miten kaluston toiminta tuotantokäytössä ja kumppani-integraatiot ajoittuvat suhteessa lähetysaikatauluihisi.
   
   Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.
4. Arvioi testaukseen kuluva aika
   Testaus kestää projektista riippuen muutamasta päivästä muutamaan viikkoon, keskimäärin 1–2 viikkoa.
5. Vahvista, milloin testaus voi alkaa
   Aloitusajankohta riippuu tämänhetkisestä aikataulustamme. Jos tarvitset testauksen nopeammin, ota yhteyttä. Teemme parhaamme, jotta voimme vastata aikataulutoiveeseesi.

Raportti ja uusintatestaus

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Dokumentoimme testatut kalustonhallintasovellukset ja API-rajapinnat 20–100+ sivun raporttiin. Määritämme siinä jokaiselle löydökselle vakavuusasteen.

Kun olet korjannut löydökset, testaamme ne uudelleen.

Uusintatestaus kattaa vain löydökset, ei koko sovellusta. Sen hinta on yleensä mukana samassa tarjouksessa kuin testin hinta. Uusintatestauksen aikaikkuna on noin 4 viikkoa. Testaus voi onnistua aiemminkin, jos olet jo korjannut löydökset ja aikataulussamme on tilaa.

Kokemus ja menetelmät

Meillä on yli 7 vuoden kokemus testaamisesta. Olemme tänä aikana kartuttaneet laajaa asiantuntemusta verkkosovelluksista ja verkkosivustoista, verkkokauppa-alustoista, mobiilisovelluksista, API-rajapinnoista ja SaaS-ratkaisuista.

Voimme noudattaa penetraatiotesteissä OWASPin, ISSAFin, PTES:n tai OSSTMM:n menetelmiä pyynnöstäsi tai suosituksemme perusteella. Sovimme noudatettavista menetelmistä ja niiden kattavuudesta testauksen laajuuden määrittelyssä.

Käytämme testauksessa Burp Suitea, manuaalista testausta ja omia työkalujamme.

Testaajillamme on muun muassa seuraavia sertifikaatteja: PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+. Testaajamme ovat myös julkaisseet tutkimusta, johon sisältyy viisi CVE:tä.

Usein kysytyt kysymykset

Mitkä kalustonhallintasovellukset ja API-rajapinnat voitte sisällyttää logistiikka-alustamme testiin?

Logistiikka-alustan testi voi kattaa kalustonhallinnan ja telematiikan API-rajapinnat, kumppaniportaalit, verkkopohjaiset koontinäkymät ja operatiivisten käyttäjien mobiilisovellukset. Tutkimme tällöin myös kumppanien API-rajapintojen todentamista, pyyntöjen allekirjoittamista, pyyntötiheyden rajoituksia ja tietojen eheyttä.

Yksi esimerkki on lähetyshaku: tarkistamme, voiko kumppani hakea API-avaimellaan toisen kumppanin lähetystiedot muuttamalla haussa käytettävää viitettä.

Testaatteko laitteita, laiteohjelmistoja tai telematiikkayksiköitä?

Testaamme verkkoon liitettyjen laitteiden alustaa: verkkopohjaisia koontinäkymiä, mobiilisovelluksia sekä API-rajapintoja, joita laitteesi ja kumppanisi kutsuvat. Laitteisto ja laiteohjelmistot eivät kuulu testauksen laajuuteen.

Tarkistamme esimerkiksi, hyväksyykö taustajärjestelmä edelleen mittauslukemia, jotka on lähetetty rekisteristä poistetun laitteen todennustiedoilla.

Miksi testata alustaa, kun huolemme koskee verkkoon liitettyjä laitteita?

Alustan testissä tutkimme, miten laitteita palvelevat taustajärjestelmät ja julkiset API-rajapinnat käsittelevät verkkoon liitettyjen laitteidesi ja kumppaniesi lähettämiä pyyntöjä. Testaus kattaa todentamisen, HMAC-allekirjoituksen tarkistamisen ja pyyntötiheyden rajoitukset.

Voitteko tarkistaa todentamisen, pyyntöjen allekirjoittamisen ja pyyntötiheyden rajoitukset kumppani-API-rajapinnoissamme ja julkisissa API-rajapinnoissamme?

Testaamme kumppanien API-rajapintojen ja julkisten API-rajapintojen todentamista, pyyntöjen allekirjoittamista ja pyyntötiheyden rajoituksia logistiikka-alustasi tarjoamissa päätepisteissä.

Lähetyksen tilapyyntöjä testatessamme tarkistamme, hylkääkö API-rajapinta allekirjoitetun pyynnön, jonka runkoa on muutettu, ja soveltaako se pyyntötiheyden rajoitustaan.

Mitä tietoa suuryritysasiakas saa raportista, kun se tekee integraation API-rajapintamme kautta?

Voit antaa raportin näyttöaineistoksi auditoijillesi, valvontaviranomaisillesi ja asiakkaillesi. Kukin päättää itse, mitä hyväksyy.

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Alustaamme käyttävä suuryritys kysyy NIS2-direktiivistä. Edellyttääkö NIS2 penetraatiotestiä?

Jos alustaasi käyttävä suuryritys kuuluu NIS2-direktiivin soveltamisalaan, NIS2-direktiivissä todetaan penetraatiotestauksesta seuraavaa:

EU:ssa NIS2-direktiivin 21 artiklan 2 kohdan f alakohta edellyttää, että keskeisten ja tärkeiden toimijoiden kyberturvallisuusriskien hallintatoimenpiteisiin sisältyvät toimintaperiaatteet ja menettelyt, joilla toimenpiteiden tehokkuutta arvioidaan. NIS2 ei edellytä nimenomaisesti penetraatiotestiä. Testi on yksi tapa tuottaa tätä näyttöaineistoa.

Häiritseekö testaus kalustomme toimintaa tuotantokäytössä tai kumppani-integraatioitamme?

Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.

Kun keskustelemme testistä, kerro olennaisista lähetysajoista ja kumppanien lähetyspäivityksistä.

Mikä vaikuttaa kalustonhallinta-alustamme ja kumppani-API-rajapintojemme pentestin hintaan?

Kalustonhallinta-alustan penetraatiotestin hintaan vaikuttavat aikataulu ja testaustyyppi sekä testattavien järjestelmien tai sovellusten määrä ja ympäristön monimutkaisuus.

Lisätietoa kalustonhallinta-alustan testin hinnoittelusta ja suunnittelusta saat testausta koskevista usein kysytyistä kysymyksistä.

Onko kalustonhallinta-alustamme haavoittuvuuksien arviointi sama asia kuin penetraatiotesti?

Haavoittuvuuksien arvioinnissa skannaamme järjestelmäsi Burp Suitella. Asiantuntija todentaa skannauksen löydökset ja asettaa ne tärkeysjärjestykseen. Penetraatiotestissä testaajat myös yrittävät hyödyntää löytämiään haavoittuvuuksia ja osoittaa niiden vaikutukset.

Valitse kalustonhallintasovellustesi ja API-rajapintojesi testaustapa palvelukuvausten avulla: penetraatiotestaus ja haavoittuvuuksien arviointi.

Aiheeseen liittyvät palvelut

• Verkkosovelluksen tietoturvatestaus
• Mobiilisovelluksen tietoturvatestaus
• API-turvallisuustestaus
• Penetraatiotestaus
• Haavoittuvuuksien arviointi