Testy bezpieczeństwa Web Services/API 

Nasza usługa Testy bezpieczeństwa Web Services/API zapewnia kompleksową ochronę systemów webowych i API, wykorzystując zaawansowane metody pentestów zgodne z rekomendacjami OWASP.

Opis usługi:

Usługa obejmuje szczegółową analizę bezpieczeństwa, identyfikację podatności, testowanie efektywności walidacji danych, analizę mechanizmów zarządzania sesjami i uwierzytelniania, a także weryfikację mechanizmów kontroli dostępu. Zastosowane metody testów opierają się na rekomendacjach OWASP oraz SIFT Web Services Security Testing Framework.
W zakresie przeprowadzania testów bezpieczeństwa Web Services/API zostaną wykonane następujące zadania:

Etap 1 – Gromadzenie informacji

• Identyfikacja typu i wersji oprogramowania i bibliotek,
• Przegląd bazy podatności w celu weryfikacji i identyfikacji podatności do wersji zastosowanego oprogramowania,
• Przegląd przesłanych zapytań i odpowiedzi serwera w celu identyfikacji potencjalnych podatności,
• Uzyskanie informacji z wykorzystaniem technik google hacking,
• Identyfikacja typu usług Web services (SOAP / RESTFul) i metod kodowania przesyłanych danych,
• Identyfikacja plików definicji Web Services np. WSDL, WADL, Swagger, itp.,
• Identyfikacja wykorzystywanych metod Web Services oraz ich parametrów.

Etap 2 – Testy bezpieczeństwa usługi Web Service/API

W zależności od typu usług, testy mogą obejmować wykonanie poniższych testów:

• Analiza logiki obsługi metod Web Services i kolejności wykonywania działań (w przypadku WS typu „stateful”),
• Testowanie efektywności walidacji wprowadzanych danych i kodowania danych wyjściowych (m.in. ataki „SQL Injection”, „LDAP Injection”, „XML Injection”, „XPATH Injection”, próby „directory traversal”, próby wywołania poleceń systemowych, przepełnienia bufora pamięci),
• Analiza mechanizmów zarządzania sesjami użytkowników (m.in. identyfikacja schematu zarządzania sesją, weryfikacja sposobu przekazywania identyfikatorów sesji, manipulacja, ochrona i czas trwania sesji i identyfikatorów sesji, weryfikacja dodatkowych mechanizmów ochronnych broniących przed atakami takimi jak „Cross-site Request Forgery”),
• Weryfikacja mechanizmów uwierzytelniających (m.in. stosowanie domyślnych, łatwych do odgadnięcia haseł, próby siłowego/słownikowego łamania haseł, próby obejścia schematu uwierzytelniania),
• Analiza mechanizmów kontroli dostępu (m.in. identyfikacja modelu kontroli dostępu, analiza skuteczności kontroli dostępu poprzez próby pionowej i poziomej eskalacji uprawnień tj. bezpośredni dostęp do metod WS i obiektów, próby listowania zawartości katalogów, weryfikację czy odpowiedzi serwera nie zawierają nadmiarowych danych),
• Weryfikacja mechanizmów przetwarzania i przechowywania danych (w przypadku wykorzystania przeglądarki internetowej m.in. analiza działania mechanizmów pamięci podręcznej przeglądarki oraz serwerów pośredniczących, weryfikacja mechanizmów ochrony lokalnie zapisywanych danych, analiza metod przekazywania danych pomiędzy aplikacją i serwerem),
• Analiza poprawności rozwiązań kryptograficznych,
• Ataki typu odmowa usługi (m.in. analiza możliwości blokowania kont innych użytkowników, próby przepełnienia bufora pamięci, próby przekroczenia limitów zasobów dostępnych dla użytkowników WS),
• Analiza mechanizmów obsługi błędów (m.in. weryfikacja czy komunikaty błędów nie ujawniają nadmiarowych informacji, weryfikacja czy wystąpienie błędu nie pozwala na eskalację uprawnień, próby manipulacji komunikatami błędów),
• Weryfikacja konfiguracji protokołu HTTP (m.in. zastosowanie metod HTTP, analiza obecności nagłówków regulujących pracę mechanizmów powiązanych z bezpieczeństwem np. zapobieganie automatycznemu wykrywaniu treści, a w przypadku aplikacji przeglądarki internetowej dodatkowo analiza implementacji HSTS, CSP, CORS),
• Analiza implementacji protokołów SSL/TLS (ocena stosowanych zestawów szyfrów, analiza konfiguracji parametrów połączeń SSL/TLS, weryfikacja stosowanych certyfikatów,
• Przykładowe ataki przeprowadzane w trakcie prac: „Oversized XML Attack”, „Reference Redirect”, „XML Complexity Attack”, „SOAP Parameter Tampering”, „Web Serrvice Addressing Spoofing”, „XML Encryption DOS”, „XML External Entity”, „XML Entity Expansion”, „XML Entity Reference Attack”, „XML Flooding”, „XML Signature DOS”, „Web Service Men in the Middle”, „Schema Poisoning”, „XML Rewriting”, „XML Signature Exclusion”, „WSDL Disclosure”, „Chosen-Ciphertext Attacks”, „Replay Attack”.

Korzyści dla klienta:

Klienci korzystają z usługi Testy bezpieczeństwa Web Services/API zyskują pewność, że ich systemy są chronione przed zaawansowanymi zagrożeniami cyfrowymi, co przekłada się na zwiększenie bezpieczeństwa danych i systemów.

Cechy i specyfikacja:

Usługa wyróżnia się indywidualnym podejściem do każdego klienta, wykorzystaniem aktualnych metod testowania i zaawansowanych narzędzi bezpieczeństwa.
Metodyka testów bezpieczeństwa usług Web Services opiera się na rekomendacjach organizacji OWASP oraz na innych opracowaniach w tym zakresie, w szczególności:

• OWASP Testing Guide v4,
• OWASP Web Service Security Testing Cheat Sheet,
• OWASP REST Assessment Cheat Sheet,
• OWASP ASVS,
• SIFT Web Services Security Testing Framework.

Dla kogo jest przeznaczona:

Usługa skierowana jest do przedsiębiorstw i organizacji, które potrzebują zapewnić najwyższy poziom bezpieczeństwa swoich systemów webowych i API.

Przykłady zastosowań:

Organizacje wykorzystujące usługę do zabezpieczenia swoich aplikacji webowych, serwisów internetowych i interfejsów API przed atakami hakerskimi i innymi cyberzagrożeniami.