Aplikacje webowe
Uwierzytelnianie, autoryzacja, sesje, wstrzyknięcia, logika biznesowa. Odniesienie: OWASP WSTG.
Testy penetracyjne · z partneremKontrolowany atak,
Kontrolowany atak,
zanim zrobi to ktoś inny.
Testy aplikacji, API i infrastruktury wykonuje certyfikowany partner. My ustalamy zakres, prowadzimy projekt i pilnujemy, żeby poprawki naprawdę weszły.
Test penetracyjny to kontrolowana, uzgodniona z klientem próba ataku na wybrane systemy: aplikacje webowe i mobilne, API, infrastrukturę sieciową, środowiska chmurowe i systemy AI. AI Business Lab realizuje testy penetracyjne z certyfikowanym partnerem specjalizującym się w testach ofensywnych. Przed umową przedstawiamy partnera i kwalifikacje osób wykonujących testy. Odpowiadamy za ustalenie zakresu i zasad testów, koordynację, raport z dowodami i oceną ryzyka oraz retest poprawek. Testy agentów AI, LLM i MCP prowadzimy sami jako część audytu systemów AI.
Zakres
Co można przetestować.
API
Kontrola dostępu do obiektów, limity, ujawnianie danych. Odniesienie: OWASP API Security Top 10.
Infrastruktura
Usługi widoczne z internetu, sieć wewnętrzna, segmentacja, konfiguracja serwerów.
Chmura i M365
Konfiguracja tożsamości, uprawnień i usług w środowiskach chmurowych.
Systemy AI
Agenci, chatboty, MCP i RAG. Prowadzimy sami w ramach audytu agentów AI.
Dowiedz się więcejSocjotechnika
Kontrolowane kampanie phishingowe z partnerem, po uzgodnieniu zasad z zarządem.
Przebieg
Od zasad testu do retestu.
- 01
Zakres i zasady
Systemy, adresy, konta testowe, okno prac, osoby kontaktowe, czego nie wolno robić. Pisemna zgoda właściciela systemów.
- 02
Testy
Partner wykonuje testy w ustalonym oknie. Krytyczne ustalenia zgłaszamy od razu, nie czekając na raport.
- 03
Raport
Ustalenia z dowodami, kroki odtworzenia, ocena ryzyka i rekomendacje. Podsumowanie dla zarządu.
- 04
Retest
Sprawdzenie poprawek dla ustaleń krytycznych i wysokich, aktualizacja raportu.
Pytania
Częste pytania.
Kto wykonuje testy penetracyjne?
Certyfikowany partner specjalizujący się w testach ofensywnych. Przed podpisaniem umowy przedstawiamy partnera i kwalifikacje osób, które będą testować. Testy systemów AI prowadzimy sami.
Ile kosztuje test penetracyjny?
Koszt zależy od zakresu: liczby aplikacji, ról użytkowników, punktów API i adresów. Wycenę przygotowujemy po ustaleniu zakresu. Cen nie publikujemy, bo dwa testy o tej samej nazwie mogą różnić się zakresem kilkukrotnie.
Czym różni się test black box od white box?
W teście black box testujący nie zna systemu i działa jak atakujący z zewnątrz. W teście white box dostaje dokumentację, konta i czasem kod, dzięki czemu w tym samym czasie sprawdza więcej. Dla większości firm najlepszy stosunek wyniku do kosztu daje test grey box z kontami testowymi.
Jak często robić testy penetracyjne?
Co najmniej raz w roku dla systemów krytycznych i po każdej istotnej zmianie: nowej wersji aplikacji, nowym module, migracji infrastruktury.
Ustal zakres testu.
Partnera przedstawimy przed umową.
Opisz systemy do przetestowania. Wrócimy z zakresem, harmonogramem i kwalifikacjami zespołu testującego.