Audyt bezpieczeństwa
Audyt bezpieczeństwa aplikacji webowych
Przegląd kodu i uzgodnione testy na kopii systemu dla aplikacji, paneli i integracji w PHP, Laravelu i Symfony. Raport zawiera opis podatności, ocenę w skali CVSS i wskazówki dla programistów wdrażających poprawki.
Dla kogo jest ten audyt?
Dla firm, które utrzymują własne oprogramowanie i chcą mieć niezależną ocenę jego bezpieczeństwa.
- Masz własny system, panel klienta lub integracje napisane w PHP.
- Zamierzasz rozbudować aplikację albo podłączyć płatności i zewnętrzne usługi.
- Aplikację tworzył inny zespół i chcesz ocenić odziedziczony kod.
- Klient lub partner wymaga potwierdzenia, że system został sprawdzony.
- Twój zespół potrzebuje konkretnych zaleceń, a nie ogólnej listy alertów.
Co sprawdzam w aplikacji?
Zakres jest dopasowany do systemu i uzgadniany przed rozpoczęciem pracy. Najczęściej obejmuje poniższe obszary.
Uwierzytelnianie i sesje
Logowanie, reset hasła, obsługa sesji, ochrona przed zgadywaniem haseł.
Autoryzacja i kontrola dostępu
Czy użytkownik widzi i zmienia wyłącznie to, do czego ma uprawnienia, także przez bezpośrednie odwołania do danych.
Wstrzyknięcia i dane wejściowe
SQL, skrypty w przeglądarce (XSS), polecenia systemowe i niewłaściwa walidacja danych.
Pliki i uploady
Obsługa wgrywanych plików, typy, lokalizacja zapisu i możliwość wykonania kodu.
Zależności
Biblioteki z Composera i ich znane podatności, nieużywane i przestarzałe pakiety.
Konfiguracja i sekrety
Tryb debugowania, pliki środowiskowe, klucze i hasła w kodzie, nagłówki bezpieczeństwa.
API i integracje
Zabezpieczenie punktów dostępu, tokeny, limity zapytań i komunikacja z usługami zewnętrznymi.
Logika biznesowa
Nadużycia procesów, na przykład rabatów, zamówień czy płatności, których nie wykryje automat.
Laravel i Symfony: czego szukam
Frameworki dają dobre zabezpieczenia domyślne, ale błędna konfiguracja i obejścia w kodzie pozostają częstym źródłem problemów.
Laravel
- zbyt szeroka masowa edycja pól modeli (mass assignment),
- brakujące polityki i bramki autoryzacji w kontrolerach,
- tryb debugowania i wyciek klucza aplikacji,
- nieobsłużone zadania w kolejkach i błędna walidacja żądań.
Symfony
- reguły dostępu i zapory (firewalls) niepokrywające wszystkich tras,
- brak lub błędne użycie voterów przy zasobach użytkowników,
- profiler i narzędzia deweloperskie na środowisku produkcyjnym,
- niebezpieczna serializacja i sekrety w konfiguracji.
Zalecenie, które można wdrożyć
Przy każdej podatności raport pokazuje, gdzie jest problem, czym grozi i jak go naprawić. Tam, gdzie to ma sens, dołączam fragment kodu z propozycją poprawki, żeby zespół nie musiał niczego się domyślać.
- opis problemu i możliwych skutków,
- ocena wagi w skali CVSS i priorytet naprawy,
- zalecenie dla programisty, często z przykładem kodu,
- omówienie wyników z Twoim zespołem.
Jak wygląda współpraca?
Od rozmowy do omówienia raportu
Rozmowa o systemie
Opisujesz aplikację, technologie i cel audytu. Otrzymujesz propozycję zakresu, ostateczną cenę i termin.
Zgoda i dostęp do kodu
Przed testami ustalamy zakres i podpisujesz zgodę. Kod przekazujesz w trybie do odczytu, a na życzenie podpisuję NDA.
Przegląd i testy
Analizuję kod i wykonuję uzgodnione testy na kopii systemu. Czynności na działającej aplikacji ustalamy z góry.
Raport i omówienie
Otrzymujesz raport, który omawiam z Twoim zespołem. Ustalamy, które poprawki są najpilniejsze i jak je wdrożyć.
Czy potrzebny jest dostęp do środowiska produkcyjnego?
Zwykle nie. Podstawą jest kod źródłowy w trybie do odczytu oraz kopia aplikacji, na której wykonuję testy. Czynności na produkcji oraz dostęp do danych ustalamy przed rozpoczęciem pracy.
Jak chronione jest moje oprogramowanie?
Kod i kopie są przechowywane tylko na czas pracy i usuwane po jej zakończeniu. Na życzenie podpisuję NDA, a przy dostępie do danych osobowych umowę powierzenia przetwarzania danych.
Czy raport mogę przekazać zewnętrznemu zespołowi?
Tak. Raport jest napisany tak, aby programista lub agencja mogli wdrożyć poprawki bez dodatkowych wyjaśnień. Jeśli będzie taka potrzeba, odpowiem na ich pytania.
Czy mogę zlecić wdrożenie poprawek?
Tak, ale to osobne zlecenie. Audyt obejmuje analizę, raport i omówienie wyników, a zakres prac naprawczych ustalamy po audycie.
Czy audyt jest testem penetracyjnym?
Audyt łączy przegląd kodu z uzgodnionymi testami na kopii systemu. Zakres testów dobieram do technologii i celu zlecenia, a metodykę opieram na materiałach OWASP, w tym WSTG i ASVS.
Opisz sytuację i sprawdź cenę
Orientacyjną cenę zobaczysz od razu w formularzu. Ostateczną wycenę wysyłam w ciągu jednego dnia roboczego.
Ceny orientacyjne, netto
- Audyt strony lub sklepuod 1 490 zł
- Audyt aplikacjiod 4 000 zł
- Usuwanie wirusówod 690 zł
- Opieka technicznaod 290 zł / mies.
- Błędy krytycznewycena po diagnozie
- Audyt aplikacji AIwycena indywidualna