تست نفوذ
شبیه‌سازی کنترل‌شده حملات واقعی برای سنجش میزان مقاومت سامانه‌ها، شبکه و برنامه‌ها در برابر نفوذ.
جزئیات خدمتخدمت تخصصی مرکز آپا
ارزیابی و آزمون امنیتیارزیابی امنیت وب و نرم‌افزار
شناسایی ضعف‌های منطقی و فنی در برنامه‌های وب، API و نرم‌افزارها، از احراز هویت و کنترل دسترسی تا مدیریت داده‌های ورودی.
معرفی خدمت
ارزیابی امنیت وب و نرم‌افزار چیست؟
برنامه‌های تحت وب و رابط‌های برنامه‌نویسی، پرکاربردترین درگاه ارائه خدمات و در نتیجه از پرتکرارترین اهداف حمله‌اند. ارزیابی امنیت وب و نرم‌افزار، ضعف‌هایی مانند کنترل دسترسی نادرست، تزریق، نقص در احراز هویت و مدیریت نشست و افشای اطلاعات حساس را شناسایی می‌کند.
این خدمت می‌تواند شامل آزمون پویا (DAST)، بازبینی کد منبع (Secure Code Review) و ارزیابی معماری امنیتی نرم‌افزار باشد و با چرخه توسعه نرم‌افزار سازمان هماهنگ شود.
اهمیت خدمت
چرا این خدمت اهمیت دارد؟
بسیاری از آسیب‌پذیری‌های برنامه‌های وب، ماهیت منطقی دارند و ابزارهای خودکار قادر به کشف آن‌ها نیستند؛ مانند دسترسی کاربر به داده‌های کاربر دیگر با تغییر یک شناسه. کشف این ضعف‌ها پیش از انتشار، هزینه اصلاح را به‌مراتب کاهش می‌دهد.
نیاز فوری دارید؟
اگر با رخداد امنیتی در حال وقوع مواجه هستید، به‌جای ثبت درخواست عادی، رخداد را گزارش دهید.
کاربردها
این خدمت در چه شرایطی به کار می‌آید؟
- پیش از انتشار عمومی سامانه یا نسخه جدید
- ارزیابی رابط‌های برنامه‌نویسی (API) و برنامه‌های موبایل
- بازبینی کد منبع بخش‌های حساس
- ارزیابی سامانه‌های خریداری‌شده از پیمانکاران
- استقرار چرخه توسعه امن (Secure SDLC)
روش انجام خدمت
روش‌شناسی و رویکرد اجرایی
ارزیابی بر اساس راهنمای آزمون امنیت وب OWASP و با پوشش سرفصل‌های OWASP Top 10 و OWASP API Security Top 10 انجام می‌شود. ترکیب آزمون دستی و ابزارهای تخصصی، به همراه بررسی منطق کسب‌وکار برنامه، امکان کشف ضعف‌های پیچیده را فراهم می‌کند.
استانداردها و چارچوب‌های مرجع:
OWASP Top 10OWASP ASVSOWASP WSTGOWASP API Security Top 10CWE Top 25
مراحل اجرا
مراحل اجرای پروژه
هر پروژه با تعریف دامنه و توافق رسمی آغاز و با تحویل گزارش و پشتیبانی پس از آن به پایان می‌رسد.
شناخت برنامه
بررسی نقش‌ها، جریان‌های کاری و معماری.
مدل‌سازی تهدید
شناسایی دارایی‌ها و سناریوهای سوءاستفاده.
آزمون
اجرای آزمون‌های دستی و خودکار و در صورت توافق بازبینی کد.
تحلیل و اولویت‌بندی
تعیین شدت و اثر هر یافته.
گزارش و همراهی
ارائه گزارش و راهنمایی تیم توسعه برای اصلاح.
خروجی‌ها
خروجی‌های قابل تحویل
تمام خروجی‌ها به‌صورت محرمانه و از طریق مجاری امن به نماینده رسمی سازمان تحویل داده می‌شوند.
- گزارش فنی یافته‌ها با گام‌های بازتولید
- نگاشت یافته‌ها به OWASP و CWE
- پیشنهاد اصلاح در سطح کد و پیکربندی
- فهرست بررسی برای توسعه امن
- گزارش آزمون مجدد (در صورت توافق)
مخاطبان
این خدمت برای چه سازمان‌هایی است؟
- تیم‌های توسعه نرم‌افزار
- مالکان درگاه‌ها و سامانه‌های خدمات برخط
- ارائه‌دهندگان خدمات پرداخت و مالی
- کسب‌وکارهای نوپا و فناور
مزایا
مزایای همکاری با مرکز آپا
پشتوانه علمی دانشگاهی
بهره‌گیری از دانش اعضای هیئت علمی و پژوهشگران دانشگاه صنعتی خواجه نصیرالدین طوسی در کنار تجربه عملیاتی.
محرمانگی و تعهد حرفه‌ای
اجرای کار در چارچوب توافق‌نامه محرمانگی و قواعد مشخص تعامل (Rules of Engagement).
روش‌شناسی مبتنی بر استاندارد
اتکا به چارچوب‌ها و استانداردهای معتبر بین‌المللی برای قابلیت تکرار و مقایسه نتایج.
گزارش قابل‌اقدام
ارائه یافته‌ها با اولویت‌بندی مبتنی بر ریسک و راهکار اصلاحی روشن برای هر یافته.
درخواست مشاوره برای «ارزیابی امنیت وب و نرم‌افزار»
برای تعیین دامنه، زمان‌بندی و شرایط اجرای این خدمت، درخواست خود را ثبت کنید. کارشناسان مرکز پس از بررسی با شما تماس می‌گیرند.
خدمات مرتبط
همه خدماتخدمات مرتبط
تحلیل آسیب‌پذیری
شناسایی، اعتبارسنجی و اولویت‌بندی آسیب‌پذیری‌های سامانه‌ها بر اساس شدت فنی، احتمال بهره‌برداری و اهمیت دارایی.
جزئیات خدمتارزیابی امنیت شبکه
بررسی معماری، تقسیم‌بندی، پیکربندی تجهیزات و کنترل‌های دسترسی شبکه برای شناسایی مسیرهای نفوذ و حرکت جانبی.
جزئیات خدمت