Δοκιμές Παρείσδυσης Mobile Εφαρμογών

Οι δοκιμές παρείσδυσης mobile εφαρμογών, επίσης γνωστές ως «mobile Application Penetration Testing» ή απλά «mobile Pen Test», είναι μια τεχνική που χρησιμοποιείται για την εξέταση της ασφάλειας, της αρχιτεκτονικής, του σχεδιασμού και των ρυθμίσεων μιας mobile εφαρμογής. Αυτό γίνεται με την προσομοίωση των ενεργειών ενός πιθανού κακόβουλου παράγοντα, ή κυβερνο-εγκληματία, για τον εντοπισμό των ευπαθειών που θα μπορούσαν να οδηγήσουν σε μη εξουσιοδοτημένη πρόσβαση ή έκθεση ευαίσθητων δεδομένων.

Με τη διεξαγωγή αυτών των δοκιμών, η επιχείρηση σας αποκτά πολύτιμες γνώσεις για τις πιθανές ευπάθειες στην εφαρμογή σας. Αυτό σας επιτρέπει να αντιμετωπίσετε αυτές τις ευπάθειες, ενισχύοντας έτσι τους μηχανισμούς ασφάλειάς σας και ενισχύοντας την άμυνα σας έναντι σε πιθανές κυβερνο-απειλές.

Στο σημερινό ψηφιακό κόσμο, η πλειοψηφία των επιχειρήσεων διαθέτει ένα διαδικτυακό αποτύπωμα, το οποίο συχνά περιλαμβάνει mobile εφαρμογές.

Τα περιστατικά διαρροής δεδομένων και οι κυβερνο-επιθέσεις αποτελούν κεντρικό ζήτημα που πρέπει να αντιμετωπιστεί με προτεραιότητα με σκοπό την προστασία των δεδομένων και της διαδικτυακής παρουσίας μιας εταιρείας.

Ο έλεγχος της ασφάλειας των mobile εφαρμογών γίνεται με την πρόθεση να ανακαλυφθούν ευπάθειες με σκοπό να εντοπιστούν τυχόν αδυναμίες πριν το κάνει κάποιος κυβερνο-εγκληματίας, προσφέροντας έτσι τη δυνατότητα επιδιόρθωσής τους.

Είναι απαραίτητο κάθε πτυχή μιας mobile εφαρμογής να ελέγχεται σύμφωνα με τον οδηγό δοκιμών mobile εφαρμογών του OWASP (MSTG - Mobile Security Testing Guide) και του OWASP MASVS για mobile εφαρμογές. Ωστόσο, πρέπει να λαμβάνετε υπόψην πως ο χρόνος και ο προϋπολογισμός είναι δύο σημαντικοί παράγοντες.

Ως ελάχιστο, οι mobile εφαρμογές θα πρέπει να υπόκεινται σε ελέγχους για ευρέως γνωστές ευπάθειες, όπως SQL injection, cross-site scripting (XSS), improper platform usage, insecure data storage, insecure communication, weak authentication, καθώς και για όλα τα ζητήματα που περιλαμβάνονται στη λίστα των 10 πιο σημαντικών ευπαθειών ασφάλειας για mobile εφαρμογές του OWASP (OWASP Mobile Top 10) και της λίστας των πιο σημαντικών ευπαθειών ασφάλειας για τα API (OWASP API Security Top 10).

Η επαλήθευση ταυτότητας, η διαχείριση των περιόδων σύνδεσης, οι διαδικασίες πληρωμών, καθώς και η επιχειρηματική λογική της εφαρμογής (Business logic flaws), είναι κρίσιμα σημεία που πρέπει επίσης να δοκιμαστούν. Επιπλέον, είναι απαραίτητο να γίνει έλεγχος της πληροφοριακής υποδομής που φιλοξενεί τις mobile εφαρμογές, ώστε να διασφαλιστεί ότι πληροί τα αυστηρά κριτήρια ασφαλείας.

Οι δοκιμές παρείσδυσης mobile εφαρμογών πραγματοποιούνται από μια πιστοποιημένη ομάδα εξειδικευμένων τεχνικών της Logisek, η οποία κατέχει εκτεταμένη γνώση των καινοτόμων στρατηγικών και μεθόδων που εφαρμόζουν οι κυβερνο-εγκληματίες με στόχο να υπονομεύσουν τις εφαρμογές της επιχείρησής σας.

Οι πληροφορίες που απαιτούνται για να οριστεί το πεδίο εφαρμογής των δοκιμών ασφάλειας στις mobile εφαρμογές περιλαμβάνουν, μεταξύ άλλων, τον αριθμό των mobile εφαρμογών που θα δοκιμαστούν, τον αριθμό των πεδίων/φορμών εισαγωγής, τα λειτουργικά στα οποία θα πραγματοποιηθούν οι δοκιμές (IOS ή Android ή και στα δύο λειτουργικά) καθώς και εάν οι δοκιμές θα γίνουν με την χρήση διαπιστευτηρίων ή χωρίς (πόσοι χρήστες/ρόλοι της εφαρμογής θα εμπλακούν στις δοκιμές, σε περίπτωση που χρησιμοποιηθούν διαπιστευτήρια).

Επίσης, απαιτείται μια σταθερή και πλήρως λειτουργική εφαρμογή, ώστε να μπορέσουν να πραγματοποιηθούν όλοι οι απαραίτητοι έλεγχοι.

Συνιστούμε πάντα οι δοκιμές να διεξάγονται σε μη παραγωγικό περιβάλλον (UAT/QA/DEV) για να διασφαλιστεί η διαθεσιμότητα της παραγωγικής εφαρμογής. Ποτέ δεν πραγματοποιούνται επιθέσεις αρνησης υπηρεσίας σε παραγωγικό περιβάλλον, αλλά κάθε εφαρμογή είναι κατασκευασμένη διαφορετικά με αποτέλεσμα να υπάρχουν διαφορετικές αποκρίσεις στις επιθέσεις.

Εάν η παραγωγή είναι το μοναδικό περιβάλλον σας, λαμβάνουμε τις κατάλληλες προφυλάξεις και συνεργαζόμαστε με την ομάδα σας - όπου είναι απαραίτητο - για να εξαλείψουμε κάθε πιθανότητα διακοπής της λειτουργίας των web εφαρμογών σας.

Συχνά, οι mobile εφαρμογές περιλαμβάνουν διάφορους ρόλους χρηστών, όπως χρήστες με περιορισμένη πρόσβαση ανάγνωσης, κανονικούς χρήστες, χρήστες με εκτεταμένα δικαιώματα, και διαχειριστές.

Κατά τη διάρκεια των δοκιμών, είναι καλή πρακτική να παρέχονται τουλάχιστον δύο σετ διαπιστευτηρίων για κάθε ρόλο χρήστη. Αυτό δίνει τη δυνατότητα στον σύμβουλο ασφαλείας να εξετάσει την ασφάλεια των μηχανισμών πρόσβασης ανάμεσα σε διάφορους τύπους χρηστών, εξασφαλίζοντας ότι τηρούνται οι προδιαγραφές.

Η αξιολόγηση της ασφάλειας μιας mobile εφαρμογής αφορά τον έλεγχο των λειτουργιών και των δυνατοτήτων της, και όχι μόνο εάν ένας επιτιθέμενος μπορεί να αποκτήσει πρόσβαση στην εφαρμογή χωρίς εξουσιοδότηση.

Αν και είναι σπάνιο ή σχεδόν αδύνατο να βρεθεί μια mobile εφαρμογή χωρίς ευπάθειες, δεν υπάρχει εγγύηση ότι η διαδικασία επαλήθευσης της ταυτότητας εισόδου μιας εφαρμογής θα μπορούσε να παραβιαστεί μόνο μέσω των δοκιμών παρείσδυσης χωρίς την χρήση διαπιστευτηρίων.

Υπάρχουν πολλοί άλλοι τρόποι παραβίασης, όπως μέσω μιας επίθεσης phishing κατά των χρηστών ή των προγραμματιστών της επιχείρησης, που μπορεί να βρίσκονται εκτός του πεδίου των δοκιμών.

Επομένως, η παροχή διαπιστευτηρίων στους σύμβουλους ασφαλείας εξασφαλίζει ότι η εφαρμογή θα δοκιμαστεί στο σύνολό της.

Τα τείχη προστασίας των mobile εφαρμογών, ο περιορισμός του ρυθμού αιτημάτων (rate-limiting), η προστασία από DDOS επιθέσεις και άλλα παρόμοια μέτρα ασφαλείας, όταν εφαρμόζονται και διαμορφώνονται βάση συγκεκριμένων προτύπων και πολιτικών, αποτελούν ισχυρά εργαλεία για την αποτροπή ή τον περιορισμό κακόβουλων ενεργειών από κυβερνο-εγκληματίες. Ωστόσο, τα μέτρα αυτά δεν διορθώνουν τις υποκείμενες ευπάθειες που μπορεί να υπάρχουν στις mobile εφαρμογές της επιχείρησης σας.

Όταν τα συστήματα της Logisek εντάσσονται στη λίστα των επιτρεπόμενων, επιτρέπεται στους σύμβουλους ασφαλείας να αξιολογήσουν τις εφαρμογές σας διεξοδικά και χωρίς περιορισμούς, με στόχο τον εντοπισμό όλων των ευπαθειών.

Εφόσον αναγνωριστούν τα τρωτά σημεία, μπορούν να υιοθετηθούν μέτρα για την αντιμετώπιση και τη διόρθωση τους, ενισχύοντας έτσι την συνολική ασφάλεια της εφαρμογής.

Οι υπηρεσίες δοκιμών παρείσδυσης mobile εφαρμογών δεν απαιτούν μόνο την απλή γνώση και χρήση των πιο πρόσφατων εργαλείων που χρησιμοποιούνται στις δοκιμές ασφάλειας, αλλά απαιτούν ένα συνδυασμό γνώσης, εμπειρίας αλλά και βαθιάς κατανόησης του τρόπου με τον οποίο θα χρησιμοποιηθούν πιο αποτελεσματικά.

Για την αξιολόγηση ασφάλειας των mobile εφαρμογών, οι σύμβουλοι ασφαλείας της Logisek χρησιμοποιούν μια ποικιλία εξειδικευμένων εργαλείων, περιλαμβάνοντας, μεταξύ άλλων, τo Burp Suite Professional, Corellium, Nessus Professional, Acunetix, MobSF, Charles Proxy, Drozer, Frida, Clutch, greenDAO Studio, iNalyzer, Introspy-Android, Jad Decompiler, VS Code, καθώς και την εκτεταμένη σειρά εργαλείων που περιλαμβάνεται στο λειτουργικό σύστημα Kali Linux. Επιπλέον, χρησιμοποιουμέ προσαρμοσμένα εργαλεία που έχουμε αναπτύξει οι ίδιοι χρησιμοποιώντας γλώσσες προγραμματισμού όπως Python, C, Go, Java, και PowerShell.

Ο χρόνος που απαιτείται για την ολοκλήρωση του ελέγχου παρείσδυσης μιας mobile εφαρμογής από έναν σύμβουλο ασφαλείας της Logisek εξαρτάται από διάφορες παραμέτρους.

Στους παράγοντες που μπορούν να επηρεάσουν τη διάρκεια του ελέγχου περιλαμβάνονται ο αριθμός και ο τύπος των mobile εφαρμογών που θα αξιολογηθούν, ο αριθμός των φορμών εισαγωγής δεδομένων που πρέπει να αξιολογηθούν, τα λειτουργικά στα οποία θα πραγματοποιηθούν οι δοκιμές (IOS ή Android ή και στα δύο) καθώς και τον αριθμό των χρηστών/ρόλων σε περίπτωση που οι δοκιμές πραγματοποιηθούν με τη χρήση διαπιστευτηρίων.

Το Common Vulnerability Scoring System (CVSS) είναι ένα δωρεάν, ανοιχτό βιομηχανικό πρότυπο που χρησιμοποιεί η Logisek, καθώς και πολλοί άλλοι οργανισμοί ασφάλειας στον κυβερνοχώρο, για την αξιολόγηση και κοινοποίηση της σοβαρότητας και των χαρακτηριστικών των ευπαθειών. Η βαθμολογία CVSS κυμαίνεται από 0,0 έως 10,0, και η εθνική βάση δεδομένων ευπαθειών (NVD) καθορίζει τον τρόπο μέτρησης της βαθμολογίας του κινδύνου ανάλογα με τη σοβαρότητα των ευπαθειών. Οι βαθμολογίες CVSS v3.1 και οι αντίστοιχες βαθμολογίες κινδύνου είναι οι ακόλουθες:

Η αξιολόγηση και ο καθορισμός των βαθμολογιών CVSS βασίζονται σε διάφορα χαρακτηριστικά των ευπαθειών, όπως η επίδραση, η εκμετάλλευση, η πληγείσα λειτουργία και η αυθεντικοποίηση.

Η Εθνική Βάση Δεδομένων Ευπαθειών (NVD) παρέχει μια ενημερωμένη βάση με όλες τις γνωστές ευπάθειες (CVEs), παρέχοντας τις αντίστοιχες βαθμολογίες και άλλες σχετικές πληροφορίες. Ο κατάλογος των CVE προέρχεται από την MITRE Corporation, η οποία είναι ένας μη κερδοσκοπικός οργανισμός που ξεκίνησε την δημιουργία της βάσης CVE το 1999. Η MITRE παρέχει βασικές πληροφορίες για κάθε ευπάθεια και διασφαλίζει τον αυτόματο συγχρονισμό της βάσης της με την Εθνική Βάση Δεδομένων Ευπαθειών (NVD).

Η Logisek θα συγκεντρώσει όλες τις πληροφορίες σχετικά με τα ευρήματα που ανακαλύφθηκαν απο τις δοκιμές παρείσδυσης. Η αναφορά ξεκινάει με μια λεπτομερή περίληψη και μια επισκόπηση υψηλού επιπέδου των εντοπισθέντων προβλημάτων, αναδεικνύοντας τον συνολικό κίνδυνο εντός του πεδίου εφαρμογής.

Στην συνέχεια, η αναφορά εξηγεί πως προσδιορίζουμε την κρισιμότητα και την αξιολόγηση του κινδύνου για κάθε ευπάθεια, βοηθώντας σας να κατανοήσετε καλύτερα που πρέπει να δοθεί προτεραιότητα για την αντιμετώπιση των προβλημάτων. Επιπρόσθετα, η αναφορά καλύπτει την εμβέλεια της αξιολόγησης, τις μεθοδολογίες που εφαρμόστηκαν για την διεξαγωγή των δοκιμών, και στο τέλος αναλύει λεπτομερώς όλα τα ευρήματα, περιλαμβάνοντας μια περίληψη για κάθε ένα από αυτά, τις επηρεαζόμενες τοποθεσίες, τα βήματα αναπαραγωγής καθώς και τον τρόπο αποκατάσταση τους.

Πριν την τελική παράδοση της αναφοράς, διεξάγεται μια αυστηρή διαδικασία για τη διασφάλιση της ποιότητας, της ακρίβειας και της ορθότητας της (QA). Είναι καλή ιδέα να ζητήσετε απο τον πάροχο δοκιμών παρείσδυσης ένα δείγμα της αναφοράς πριν προχωρήσετε σε μια ανάθεση, με αυτόν τον τρόπο, θα έχετε μια σαφή εικόνα του τι μπορείτε να περιμένετε.

Εάν μια αναφορά είναι γεμάτη από τεχνική ορολογία και είναι δύσκολη στην κατανόηση, η χρησιμότητά της για εσάς είναι περιορισμένη.

Η Logisek παρέχει μια ΔΩΡΕΑΝ επανάληψη δοκιμών, στην οποία ο χρόνος αφιερώνεται ειδικά για τον έλεγχο της αποκατάστασης των ευπαθειών που εντοπίστηκαν κατά τη διάρκεια των αρχικών δοκιμών.

Πριν από την οριστικοποίηση της ανάθεσης για την διεξαγωγή δοκιμών παρείσδυσης web εφαρμογών, θα ενημερωθείτε για την επανάληψη των δοκιμών καθώς θα προσδιοριστεί ο χρόνος που απαιτείται για τον επανέλεγχο και πότε μπορεί να πραγματοποιηθεί.

Μεταξύ των εμπλεκόμενων μερών συνάπτεται ένα σύμφωνο εχεμύθειας που σκοπό έχει την προστασία της εμπιστευτικότητας όλων των κοινοποιημένων πληροφοριών (NDA). Τηρούμε αυστηρές πολιτικές για την χρήση των δεδομένων, διασφαλίζοντας ότι οι πληροφορίες σας χρησιμοποιούνται μόνο για τη δημιουργία μιας ολοκληρωμένης τεχνικής αναφοράς βασισμένης στα ανακαλυφθέντα ευρήματα κατά την διάρκεια της εκτέλεσης των δοκιμών παρείσδυσης.

Τα δεδομένα των πελατών της Logisek που υπόκεινται σε επεξεργασία, αποθηκεύονται σε κρυπτογραφημένη τοποθεσία εντός ενός προστατευμένου περιβάλλοντος. Οι πληροφορίες διαγράφονται πλήρως μετά την ολοκλήρωση του έργου με σκοπό διατηρηθεί το υψηλότερο επίπεδο ασφάλειας και εμπιστευτικότητας των δεδομένων.

Στη Logisek, αφιερωνόμαστε στο να στηρίζουμε τις επιχειρήσεις στην αντιμετώπιση των απειλών που παρουσιάζουν οι κυβερνο-εγκληματίες, διεξάγοντας ολοκληρωμένες προσομοιώσεις πραγματικών επιθέσεων υψηλού επιπέδου, μέσω της γκάμας προϊόντων, υπηρεσιών και εκπαιδευτικών προγραμμάτων που προσφέρουμε.

Χάρη στην εμπειρία μας, έχουμε τη δυνατότητα να κατανοήσουμε τους μηχανισμούς σκέψης και τις τακτικές των κυβερνο-εγκληματιών, επιτρέποντάς μας να προετοιμάσουμε με τον πλέον αποτελεσματικό τρόπο τους πελάτες μας για τις καθημερινές κυβερνο-απειλές που αντιμετωπίζουν.

Κατά την ολοκλήρωση της διαδικασίας, οι ειδικοί μας, πραγματοποιούν μια εξονυχιστική ανάλυση κάθε ευπάθειας που έχει ανιχνευθεί, διασφαλίζοντας πως έχετε μια περιεκτική εποπτεία των μέτρων που απαιτούνται για την αντιμετώπιση και την επίλυση των εντοπισθέντων ζητημάτων.

Η Logisek ειδικεύεται στην εντοπισμό αδυναμιών ασφαλείας σε δίκτυα, συστήματα, εφαρμογές καθώς και σε όλα τα επίπεδα που θα μπορούσαν ενδεχομένως να επιτρέψουν την αύξηση των προνομίων, την επεξεργασία δεδομένων ή την μη εξουσιοδοτημένη πρόσβαση σε περιορισμένες πληροφορίες ή λειτουργίες.

Η προσέγγιση μας περιλαμβάνει λεπτομερείς επιθεωρήσεις και επαλήθευση όλων των εκμεταλλεύσιμων αδυναμιών μέσω χειροκίνητης ανάλυσης.

Καθ' όλη τη διάρκεια της διαδικασίας των δοκιμών παρείσδυσης, η Logisek προσφέρει καθοδήγηση για τη διόρθωση των αδυναμιών. Αποστολή μας είναι να ενισχύσουμε τη θέση σας στην κυβερνοασφάλεια και να διασφαλίσουμε ότι ο οργανισμός σας είναι απόλυτα προστατευμένος απέναντι σε πιθανές απειλές.