Запускаем онлайн-сервис, через который будут проходить персональные данные клиентов и платёжная информация, поэтому до боевого старта хотим заказать независимую проверку защищённости у стороннего эксперта. Нам нужен не общий тюнинг сервера, а прицельная атака на само приложение: проверка на соответствие OWASP Top 10 — все виды инъекций, слабая аутентификация и управление сессиями, обход прав доступа, XSS, небезопасные ссылки на объекты, ошибки конфигурации, раскрытие чувствительной информации. По сути мы просим специалиста поставить себя на место взломщика и попробовать пробить наш сервис теми же приёмами, какими это делают в реальности.
Ожидаем, что проверка будет сочетать ручной анализ и инструментальное сканирование: чистая автоматика упускает изъяны бизнес-логики и разграничения доступа, а они для нас критичнее всего. С нашей стороны выделим тестовый контур, несколько аккаунтов с разными ролями и созвон-знакомство с ключевыми сценариями. От исполнителя ждём внятный итоговый документ: по каждой находке — шаги воспроизведения, оценка опасности (желательно по шкале CVSS), к чему это приводит и конкретный совет по закрытию, понятный нашей команде разработки. Отдельно отметьте, где уязвимость подтверждена, а где это лишь подозрение, — так нам проще выстроить очередь исправлений.
Когда мы поправим найденное, понадобится контрольная перепроверка: важно удостовериться, что каждая брешь реально закрыта и что при правках не возникло новых. Всё, что вы обнаружите, остаётся строго конфиденциальным, выгрузка наших данных за пределы систем недопустима. В отклике коротко опишите подход, на какие стандарты опираетесь и сколько примерно займёт аудит вместе с перепроверкой.
Ключевые ожидания:
— Полный охват OWASP Top 10, руками и сканерами
— Понятный отчёт с оценкой опасности и рекомендациями
— Обязательная перепроверка после устранения
Ожидаем, что проверка будет сочетать ручной анализ и инструментальное сканирование: чистая автоматика упускает изъяны бизнес-логики и разграничения доступа, а они для нас критичнее всего. С нашей стороны выделим тестовый контур, несколько аккаунтов с разными ролями и созвон-знакомство с ключевыми сценариями. От исполнителя ждём внятный итоговый документ: по каждой находке — шаги воспроизведения, оценка опасности (желательно по шкале CVSS), к чему это приводит и конкретный совет по закрытию, понятный нашей команде разработки. Отдельно отметьте, где уязвимость подтверждена, а где это лишь подозрение, — так нам проще выстроить очередь исправлений.
Когда мы поправим найденное, понадобится контрольная перепроверка: важно удостовериться, что каждая брешь реально закрыта и что при правках не возникло новых. Всё, что вы обнаружите, остаётся строго конфиденциальным, выгрузка наших данных за пределы систем недопустима. В отклике коротко опишите подход, на какие стандарты опираетесь и сколько примерно займёт аудит вместе с перепроверкой.
Ключевые ожидания:
— Полный охват OWASP Top 10, руками и сканерами
— Понятный отчёт с оценкой опасности и рекомендациями
— Обязательная перепроверка после устранения
