SaaS и технологии
Тестване, съобразено с SaaS и технологии.
Платформите с множество клиентски организации живеят и умират според изолацията и контрола на достъпа. Подлагаме точно това на натиск и ви даваме отчета, който вашите корпоративни клиенти и одиторът ви по SOC 2 искат.
Защо има значение
Сигурността е част от продажбата
За SaaS компаниите сигурността е част от процеса на продажба. Корпоративните клиенти изпращат въпросници, искат актуален независим тест за проникване и доказателства за отстраняване на констатациите. Остарял доклад, недостатъчно тестване с удостоверени акаунти или липса на проверка на изолацията между клиентски организации може да забави одобрението на доставчика. Резултатите се разглеждат както от вашите инженери, така и от екипите по сигурността на клиентите.
В споделено приложение дефект в контрола на достъпа може да засегне множество клиентски организации. Интеграциите за идентичност, API токените, фоновите задачи и процесите за внедряване създават допълнителни пътища за атака. Съобразяваме проверката с реалната архитектура: отделните клиентски организации и роли, интеграциите и инфраструктурата за пускане на код в продукционна среда.
Картина на заплахите
Къде SaaS платформите са уязвими
Нарушена оторизация на ниво обект
API, които се доверяват на идентификатор на запис, без да проверят дали той принадлежи на клиентската организация на извикващия. Подменяме идентификатори между две тестови клиентски организации за всеки тип обект, включително експорти, прикачени файлове, webhook-ове и GraphQL възли, където проверките за собственост лесно се пропускат или се прилагат непоследователно.
Злоупотреба с логиката на ролите и поканите
Роли на членове, персонализирани права и потоци за покани, които позволяват на потребител с ниски права да се повиши сам, да се присъедини към друга организация или да запази достъп след премахване. Тестваме всеки преход между роли, включително остарели сесии, чакащи покани и административни действия, повторени от неадминистратори.
Неправилна конфигурация на SSO, SCIM и OAuth
Корпоративните функции за идентичност добавят пътища на доверие, които рядко се тестват от край до край. Търсим дефекти в обработката на SAML твърдения и аудитория, свързване на акаунти, което позволява превземане, непотвърдени имейл домейни, OAuth разрешения с прекалено широк обхват и SCIM крайни точки, които осигуряват достъп в неправилна клиентска организация.
Излагане на пайплайна и управленския слой
Машините за компилация, идентификационните данни за внедряване и инфраструктурата като код често разполагат с повече права от който и да е продукционен потребител. Преглеждаме работата с тайни в CI/CD, идентичността на работните натоварвания, Kubernetes RBAC и пътищата в облачния IAM, по които компрометирана зависимост или токен на разработчик би могъл да достигне до клиентски данни.
Как тестваме
Как тестваме SaaS платформи
Картографиране на клиентски организации и роли
Започваме с вашата архитектура: как са разделени клиентските организации, какви роли съществуват и кои интеграции и API са обърнати към клиента. Този модел определя плана за тестване и акаунтите, които ви молим да осигурите.
Осигуряване на две отделни тестови клиентски организации
Работим с поне две изолирани клиентски организации с попълнени всички роли, в тестова или продукционна среда по договорка. Това ни позволява да докажем или отхвърлим достъпа между клиентски организации с доказателства, а не по заключение.
Тестване от приложението до инфраструктурата
Първо идва удостовереното тестване на приложението и API, след това интеграциите за идентичност, облачните акаунти, Kubernetes и пайплайнът за доставка според обхвата. Констатациите се свързват, където е възможно, за да покажат реалистично въздействие върху клиентските данни.
Доклад, корекция и повторен тест
Получавате технически доклад за инженерите и резюме, подходящо за одитори и клиентски въпросници. След като корекциите влязат в сила, тестваме повторно и обновяваме доклада, така че той да отразява текущото ви състояние.
Регулация
Рамки и изисквания на клиентите
Рамките и договорите определят колко често тествате и какви доказателства пазите; ето как всяко от тях обикновено се отразява на тестването за проникване.
На какво се съсредоточаваме
- Уеб приложения с множество клиентски организации, мобилни клиенти и API
- Удостоверяване и оторизация
- Работни натоварвания в облака и Kubernetes
- CI/CD и веригата за доставка на софтуер
SOC 2
SOC 2 не предписва тест за проникване, но много одитори търсят независимо тестване като доказателство за критериите за наблюдение и оценка на риска. Вашият одитор решава кое е приемливо; ние привеждаме обхвата, графика и докладването в съответствие, така че резултатът да се представи чисто като одитно доказателство.
ISO/IEC 27001
Стандартът изисква да управлявате техническите уязвимости и да потвърдите, че контролите са ефективни, без да налага конкретен вид тест. Тест за проникване с определен обхват е често срещан начин това да бъде доказано; вашият сертифициращ орган решава дали то отговаря на изискването.
GDPR
Член 32 изисква процес за редовно изпитване и оценяване на ефективността на мерките за сигурност. За доставчик на SaaS, който обработва лични данни на клиенти, тестването на изолацията между клиентските организации и на контрола на достъпа е практичен и документируем начин да се подкрепи това задължение.
NIS2
Облачните изчисления и определени доставчици на цифрови услуги могат да попаднат в обхвата на NIS2 в зависимост от размера и националното транспониране. Където се прилага, мерките за управление на риска включват оценка на ефективността на контролите; редовното тестване подкрепя това, но националните правила определят подробностите.
Клиентски договори
Корпоративните споразумения и допълненията за обработка на данни често изискват годишен независим тест за проникване, резюме за споделяне и доказателства за отстраняване. Определяме обхвата според поетите от вас ангажименти и предоставяме резюме за клиенти, което пропуска детайлите, годни за експлоатация.
От нашата работа
Анонимизирани примери от практиката в този сектор
Кога ви е нужно
Кога SaaS екипите ни търсят
Повечето SaaS ангажименти се задействат от конкретен търговски или инженерен етап.
Преди одит по SOC 2 или ISO
Планираме теста, отстраняването и повторната проверка в подходящ момент преди одита. Така доказателствата показват както независимата оценка, така и потвърдените поправки.
Отблокиране на корпоративна сделка
Екипът по сигурността на потенциален клиент иска актуален независим доклад. Тестваме продукта в обхвата, предоставяме резюме за споделяне и ви помагаме да отговорите точно на разделите за тестване за проникване в техния въпросник.
Валидиране на нова архитектура с множество клиентски организации
Преди да мигрирате клиенти към нов модел на данните, стратегия за разделяне или платформа с Kubernetes, тестваме изолацията директно, за да изплуват дефектите в дизайна, докато са още евтини за отстраняване.
Пускане на SSO, SCIM или публично API
Новите корпоративни функции отварят нови граници на доверие. Фокусиран тест на интеграциите за идентичност, API ключовете, обхватите и ограниченията на скоростта преди общата наличност намалява вероятността клиентите да открият пропуските първи.
Често задавани въпроси
Често задавани въпроси
Можете ли да тествате в продукция, или да използваме тестова среда?
И двете са възможни. Тестовата среда обикновено е предпочитана за интрузивни или с голям обем тестове, при условие че отразява плътно продукционната конфигурация. Когато е нужно тестване в продукция, договаряме правилата на ангажимента предварително, използваме специални тестови клиентски организации и избягваме досег с реални клиентски данни.
Как тествате изолацията между клиентските организации?
Нужни са поне две отделни клиентски организации, всяка с потребители за всички релевантни роли. Проверяваме дали от едната организация могат да се четат, променят или изброяват данните на другата чрез потребителския интерфейс, API, експортирането и интеграциите. Записваме доказателства за всеки резултат.
Ще удовлетвори ли докладът нашия одитор по SOC 2 и корпоративните ни клиенти?
Структурираме докладите и за двете аудитории — с подробни технически констатации и резюме за ръководството, което може да бъде споделено при подписано NDA. Приемливостта в крайна сметка се решава от вашия одитор или клиент, затова препоръчваме да потвърдите очакванията им за обхвата, преди тестването да започне.
Изискват ли NIS2 или Регламентът за киберустойчивост да провеждаме тестове за проникване?
Зависи какво продавате и къде. NIS2 може да обхване някои доставчици на облачни и цифрови услуги, докато Регламентът за киберустойчивост се прилага основно за продукти с цифрови елементи — например софтуер за инсталиране и агенти, а не за чист SaaS. Тази страница е обща насока, а не правен съвет, затова потвърдете задълженията си с вашите правни съветници или съветници по съответствие.
Колко често трябва да се тества една SaaS платформа?
Много екипи тестват поне веднъж годишно и след значими промени — например нов модел на удостоверяване, голяма версия на API или миграция на инфраструктурата. При чести цикли на издания целевите тестове на нови функции между годишните оценки често си струват.
Могат ли облачните ни акаунти и CI/CD пайплайнът да бъдат включени в същия ангажимент?
Да. Облачните акаунти, клъстерите с Kubernetes и пайплайните за компилация могат да бъдат обхванати заедно с приложението, което показва как слабост в единия слой може да доведе до клиентски данни в другия. Договаряме достъпа и ограниченията за безопасност за всяка среда, преди тестването да започне.
Относими услуги
Регулаторните бележки на тази страница са обща насока, а не правен съвет. Вашият компетентен орган, одитор или оценител определя какво се отнася за вас.
Определете обхвата на ангажимент за SaaS и технологии.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност