Webové systémy

Pri vývoji webových aplikácií a informačných systémov využívame najčastejšie objektovo orientované PHP frameworky (Laravel, Symphony). Front-end v HTML 5 a CSS 3 s použitím klientského kódu JavaScript je samozrejmosťou.

Konkrétne technológie však volíme vždy s ohľadom na povahu riešeného problému, napr. NodeJS pre situácie, kde je výhodný paralelizmus.

Aplikácie optimalizované na rýchlosť

Naše skúsenosti s vývojom v natívnych jazykoch (C/C++) uplatňujeme najmä pri vytváraní alikácií alebo komponentov, kde kľúčovú úlohu zohráva rýchlosť.

Automatizačné skripty a nástroje

Pod automatizáciou rozumieme prenesenie opakovaných rutinných úloch na plecia algoritmov. Často pritom môže stačiť veľmi krátky program, ktorý vykoná otravné klikanie na tlačidlo alebo prepíše požadované hodnoty namiesto vás.

Snažíme sa o využitie čo najširšej palety dostupných metód - Bash, PowerShell a predovšetkým Python, ale aj poloautomatické rozšírenia do prehliadača, prípadne programovateľný prehliadač Selenium.

Mobilné aplikácie

Častým doplnkom k existujúcim systémom je mobilná aplikácia, ktorej použitie môže byť pre používateľa pohodlnejšie. Aj keď mobilný vývoj nie je našou hlavnou doménou, s využitím overených externých spolupracovníkov dokážeme dodať aplikácie pre operačné systémy Android aj iOS.

Penetračné testy webových aplikácií

Najčastejším cieľom penetračných testov, s ktorým sa stretávame, sú webové aplikácie. Pri realizácii testov vychádzame predovšetkým z metodiky OWASP, pričom využívame rôzne komerčné aj voľne dostupné nástroje.

Pri penetračných testoch zároveň uplatňujeme detailný manuálny prístup s cieľom odhaliť čo najviac potenciálnych bezpečnostných zraniteľností.

Skúsenosti čerpáme z množstva minulých projektov, vrátane testov rozsiahlych informačných systémov postavených na rôznych technológiách (PHP, Java, .NET, Python, NodeJS, atď.) z rôznych sektorov (bankovníctvo, poisťovníctvo, energetika, atď.)

Penetračné testy API

Ďalším častým cieľom simulovaných útokov sú aplikačné rozhrania (API) - najčastejšie REST alebo SOAP, prípadne neštandardné protokoly vytvorené na mieru.

Pri testovaní aplikačných rozhraní vytvárame často vlastné testovacie skripty s cieľom efektívne preveriť čo najviac možných scenárov útoku.

Pomáhajú nám znalosti rôznych autentizačných protokolov (OAuth2, OpenID, ...) ako aj skúsenosti s testovaním komplexných rozhraní z minulosti (napr. bankové rozhrania PSD2).

Konzultácie

Ku všetkým zraniteľnostiam, ktoré počas penetračných testov odhalíme, pripájame odporúčané riešenie problému. Následne sme vždy otvorení diskusii a radi sa podelíme o akékoľvek poznatky v danej oblasti.

Penetračné testy infraštruktúry

Pri testovaní infraštruktúry používame automatizačné nástroje na odhalenie potenciálnych bezpečnostných problémov, pričom prípadné nálezy manuálne overujeme a vyhodnocujeme.

Testy internej infraštruktúry často zahŕňajú aj preverenie bezpečnosti firemnej domény Active Directory s cieľom odhaliť možnosti kompromitácie doménového administrátora a získania neoprávneného prístupu k citlivým dátam spoločnosti.

Reverzné inžiniersto

Reverzné inžinierstvo označuje proces analýzy hotového produktu s cieľom zistiť detaily o jeho fungovaní.

Metódy reverzného inžinierstva uplatňujeme napríklad pri skúmaní podozrivých súborov, ktoré môžu byť nebezpečné (malware).

Okrem toho, jedným zo scenárov je aj preverenie programu alebo zariadenia so snahou odhaliť prípadné zadné vrátka (backdoor) alebo skryté nebezpečné funkcie.

Pracujeme pri tom s množstvom špecializovaných nástrojov, napr. binwalk, radare2, IDA Pro, atď.

Penetračné testy cloudových technológií

S rýchlym nástupom cloudových technológií prichádza aj otázka bezpečnosti týchto systémov.

Pomôžeme vám preveriť zabezpečenie nasadzovaných kontainerov (Docker) aj bežných orchestračných platforiem (Kubernetes a OpenShift). Na testovanie týchto systémov máme pripravené rôzne testovacie scenáre v závislosti od vašich potrieb.