12 / Leistungen
Prüfung des Schutzes
Wir suchen Lücken in Zugang und Datenaustausch, schließen das Kritische und lassen Regeln, nicht einen einmaligen Bericht.
Produkten, in die bereits fremde Daten gelassen werden oder ein externer Auftraggeber gelassen werden soll.
Zugang
Rollen
Kunde
Mitarbeitende
Admin
Bestellung
Datei
Auszahlung
Anmeldung
Rolle
Fremdes
Geschlossen
Risiko
Liste
Woraus es besteht
Was zum System gehört
- 01
Zugänge
Wir sehen, wie man hineinkommt: Website, Portal, API, E-Mail, gemeinsames Passwort, vergessenes Testkonto.
- Liste der Zugänge
- Was ohne Anmeldung offen ist
- Wo ein Passwort für alle gilt
- 02
Wer was sieht
Eine Rolle darf keine fremde Bestellung, keine fremde Datei und keine fremde Auszahlung über einen direkten Link öffnen.
- Prüfung der Rechte an den Objekten
- Links, die zu lange leben
- Verwaltungshandlungen im Protokoll
- 03
Daten unterwegs und auf der Platte
Verschlüsselung dort, wo Daten unterwegs sind und wo sie liegen. Geheimnisse nicht im Repository und nicht im Chat.
- Kanal zum Server
- Sicherungen und wer sie liest
- Wo die Schlüssel liegen und wie sie gewechselt werden
- 04
Was jetzt zu schließen ist
Fundstellen teilen wir nach Schwere. Kritisches schließen wir, bevor ein langer Bericht geschrieben wird.
- Eine Lücke, durch die sich bereits hineingehen lässt
- Was sich durch Einstellung beheben lässt
- Was einen eigenen Build braucht
- 05
Was Risiko bleibt
Nicht alles schließt sich am selben Tag. Der Rest ist notiert: was es ist, wer es angenommen hat und wann es weitergeht.
- Liste der angenommenen Risiken
- Wer antwortet
- Ein zweiter Blick nach dem Schließen
Was wir tun
- 01Durchgang durch Zugänge und API
- 02Prüfung typischer Lücken
- 03Wer innen was sieht
- 04Verschlüsselung dort, wo Daten liegen und unterwegs sind
- 05Liste: was jetzt zu schließen ist, was später gehen kann
Wie wir gehen
- 01Karte der Zugänge
- 02Prüfung
- 03Bericht
- 04Schließen des Kritischen
- 05Zweiter Blick
Worauf
- OWASP
- TLS
- Zugangsprotokolle
- Rollen
Orientierung zur Frist
Der erste Durchgang: ein bis zwei Wochen. Das Schließen der Fundstellen: nach ihrer Schwere.
Ergebnis
Es ist klar, welche Lücken geschlossen sind, welche als Risiko angenommen sind und wer dafür einsteht.
Was gewöhnlich später kommt
Laufende Überwachung von Angriffen und ein eigener Angriffstest einmal im Quartal sind bereits Betreuung, nicht der erste Durchgang.