Penetrasjonstesting

01 Vil dere vite hvor motstandsdyktig løsningen faktisk er?

Dere har en webapplikasjon eller mobilapp som håndterer data dere ikke har råd til å miste. Kanskje krever en kunde, en partner eller et regelverk at dere kan dokumentere at den er testet, eller dere vil rett og slett vite om noen kan ta seg inn før andre finner det ut. En automatisk skanning fanger de kjente feilene, men ikke logiske svakheter eller de farlige kombinasjonene en ekte angriper ville utnyttet. En penetrasjonstest gjør nettopp det: et menneske forsøker det en angriper ville forsøkt, og forteller dere hvor det brister.

02 Hva dere får

• Penetrasjonstest utført av et menneske etter OWASP-metodikk (OWASP Top 10 for web, OWASP Mobile Top 10 for mobil)
• Rapport innen ti virkedager, med funn rangert etter alvorlighet, teknisk beskrivelse av hvordan hvert funn ble bekreftet, og konkrete utbedringsforslag
• Presentasjon og gjennomgang av funnene
• Retest av utbedrede funn inkludert, innen 60 dager

Dere velger tilnærming, og vi anbefaler ut fra hva dere vil oppnå:

• White box: vi får tilgang til kildekode og dokumentasjon. Gir flest funn, fordi tiden brukes på å teste, ikke på å skaffe tilgang.
• Black box: vi starter uten forkunnskap, som en ekstern angriper. Best når dere vil vite om noen faktisk kan ta seg inn.
• Grey box: en mellomting, ofte det beste forholdet mellom kostnad og dekning.

03 Hva som ikke er inkludert

• Utbedring av funnene. Vi tester og dokumenterer. Selve rettingen kan tilbys separat når manglene er avdekket.
• På forespørsel kan vi i tillegg utføre kildekodegjennomgang, social engineering eller tjenestenektstesting (DoS). Dette avtales som eget omfang og kommer i tillegg til grunnprisen.

04 Pris og leveringstid

Alle priser er eks. mva. Rapport innen ti virkedager, retest innen 60 dager inkludert. Endelig pris avhenger av omfang og settes fast i tilbudet før oppstart. Ingen overraskelser på fakturaen.

05 Hva vi trenger fra dere for å starte

• Miljøet eller URL-en som skal testes
• Testkontoer med relevante roller
• Skriftlig fullmakt fra den som eier systemet
• En kontaktperson
• Avklart omfang: hva som kan testes, og hva som skal unngås

06 Slik foregår det

• Oppstartsmøte: vi avklarer tilnærming (black, grey eller white box), hva dere ønsker å få svar på, og hva som er viktigst å avdekke.
• Omfang og fullmakt: vi avtaler skriftlig hva som kan testes, hva som skal unngås, og om vi kan teste i produksjonsmiljø eller kun i testmiljø. Kontrakt signeres.
• Testing: vi gjennomfører innenfor avtalt omfang, og varsler umiddelbart ved kritiske funn.
• Rapport innen ti virkedager, med funn rangert etter alvorlighet og konkrete tiltak.
• Presentasjon og gjennomgang av funnene.
• Retest av utbedrede funn, innen 60 dager, hvis ønskelig.