Az Etikus Hacking vizsgálat során a megbízó rendszereit megkíséreljük kompromittálni, a lehető legnagyobb mértékben ellenőrzésünk alá vonni és az ott tárolt adatokhoz a lehető legteljesebb körű hozzáférést szerezni éppúgy, mint ahogyan ezt egy valódi támadó tenné. Jelentős különbség azonban, hogy szakértőink mindezt ellenőrzött körülmények között teszik, kizárólag a károkozási lehetőségek feltárásával, amelyek javítására így lehetőség nyílik. Az üzletileg értékes és a további rendszerek hozzáféréséhez szükséges adatok egyaránt értékesek, ezért igyekszünk ezeket is megszerezni.

A vizsgálatok Black Box vagy Grey Box formában is történhetnek. A Black Box vizsgálatok esetében szakértőinknek semmilyen információ nem áll rendelkezésére, azt a vizsgálatok során szerzik meg. Grey Box vizsgálat esetén szakértőink bizonyos előzetes információkkal már rendelkeznek a célrendszerről, pl. ismerik a hálózati topológiát, az operációs rendszer alkalmazás szerver típusát, verziószámát, de nem ritka, hogy a rendszeren elő szerepkörű, pl. ügyfél típusú felhasználóval bejelentkezve vizsgálják a rendszer kereteiből való kitörés-, a rendszer feletti ellenőrzés megszerzésének-, vagy az adott szerepkör számára nem megengedett, káros műveletek végzésének lehetőségeit.

A vizsgálatok során szakértőink a vizsgálatok során felderített sérülékenységek mentén haladnak.

Az Etikus Hacking vizsgálatok leginkább teljeskörű formája, amikor egy teljes sérülékenységvizsgálatot végzünk, majd ennek eredményét feldolgozva az értelmezhető összes sérülékenység vonatkozásában elvégezzük a behatolási (penetrációs) teszteket.

Kompetenciáinkat és a vizsgálatok célrendszereit tekintve képesek vagyunk bármilyen operációs rendszert futtató (Windows, maxOS, Linux) publikus és belső szerver és desktop rendszer, manapság használatban lévő szerver adatbázis, vagy egyéb szerveralkalmazás Etikus Hacking vizsgálatának elvégzésére, valamint  mobilplatformok (IOS, Android) és mobil alkalmazások Etikus Hacking vizsgálatainak elvégzésére.

A Forráskód Vizsgálatok a szoftverek biztonsági szempontú, programkód szinti vizsgálatát jelentik. A szoftver kódvizsgálatok során minden kritikus elemet külön-külön és a teljes programmal együtt is ellenőrizni kell. Célszerű prioritási sorrendben haladni, először megkeresni a magas kockázatú sebezhetőségeket, és ezek megoldása felől haladni az alacsony kockázatú sebezhetőségek felé. A magas kockázatú és az alacsony kockázatú biztonsági rések általában a helyzettől és a kérdéses forráskód használatának módjától függenek.

A Forráskód Vizsgálat gyakran Etikus Hacking vizsgálattal együtt kerül elvégzésre, mivel e két vizsgálat együtt ad optimális eredményt. Az alkalmazás Etikus Hacking vizsgálata azonosítja és felderíti a vizsgált szoftver sebezhetőségeit azáltal, hogy a lehetséges hozzáférési pontokon a lehető legtöbb ismert támadási formát indítja el, megkísérelve az adatok megszerzését, módosítását vagy az alkalmazás megállítását. Az Etikus Hacking vizsgálattal megállapítjuk, hogy pontosan milyen sérülékenységek vannak a vizsgált szoftver kódjában, azonban annak megállapítására, hogy ezek a kódban hol vannak a forráskódban az etikus hacking vizsgálat önmagában nem képes. Ezért az Etikus Hacking vizsgálatot követő forráskódvizsgálattal derítjük fel a már ismert sérülékenységek pontos helyét a kódban és javaslatot teszünk megszüntetésükre, vagy a kockázatok csökkentésére.
 

A szoftverkód-elemzési módszertanunk főbb lépései:

• A projekt általános szintű megismerése interjúk illetve dokumentációk valamint a forráskód általános felépítésének vizsgálat alapján.
• Automatikus kódelemző programokkal problémák, biztonsági rések és irányelvek ellenőrzése.
• Manuális kódelemzés a hibák, biztonsági réseknek és a karbantarthatósági kockázatok felderítése érdekében.
• Az automatikus és a kézi elemzés eredményeinek átfogó jelentésbe foglalása, összefoglalás megadása, valamint a megtalált problémák és ajánlások felsorolása

Az ellenőrzések során kiemelten vizsgáljuk a leggyakoribb biztonsági sérülékenységeket valamint az ezekhez vezető leggyakoribb programozási hibákat:

• duplikált kódrészletek
• lezárás ellenőrzése
• beágyazott konstansok azonosítása
• kódba ágyazott jelszavak és beállítások keresése
• nem használt programrészek keresése
• programkód függőségek vizsgálata
• felhasználó által felvitt, nem ellenőrzött mezőértékek
• SQL injection védelem
• bejelentkezés védelme
• szerepkörök kezelése a rendszerben
• OWASP/SANS sérülékenységek elemzése
• kód érettségi elemzés: leggyakoribb programozási hibákat okozó kódrészletek azonosítása
• futtató környezet szoftver verziók sérülékenységei
• felhasznált külső komponensek elemzése: rendszeresen frissül-e, ismert sérülékenységek

A Rendszerbiztonsági Terv (RBT, biztonsági rendszerterv) a rendszerintegrációs-, vagy fejlesztési projektekben a fejlesztési, vagy az integrációs dokumentáció elengedhetetlenül fontos része. A Rendszerbiztonsági Terv az újonnan integrálandó rendszerelem, vagy újonnan fejlesztendő alkalmazás, szoftver biztonsági előírásait tartalmazza, a legjobb iparági gyakorlatnak és valamely biztonsági szabványcsomagnak megfelelően. Legtöbb esetben szinten, követve a fejlesztési, vagy az integrációs dokumentáció szintjeit, így legtöbb esetben készül magas szintű (logikai) biztonsági rendszerterv és alacsony (rendszerközeli) szintű Rendszerbiztonsági Terv.

A Rendszerbiztonsági Terv tételesen és részletesen tartalmazza az adott integrálandó rendszerben alkalmazandó, megvalósítandó biztonsági megoldásokat az alkalmazás, megvalósítás részletes technikai-technológiai leírásával, módjával egyetemben.

A biztonsági (Hardening) vizsgálat történhet belső szabályzatok, előírások szerint, illetve a CIS vagy más szervezet által kiadott úgynevezett Hardening Guide-oknak történő megfelelések vizsgálata mentén. A vizsgálat eredményterméke a szerver biztonsági jelentés, amely tételesen tartalmazza a kiszűrt problémákat, azok pontos leírását, inherens és koherens kockázatait és természetesen tartalmazza a sérülékenység csökkentése, megszüntetése érdekeben elvégzendő feladatokat, intézkedéseket, rendszermódosításokat. A jelentés természetesen összefoglalót is tartalmaz, amelyben vezetői szinte, átfogóan írjuk le a célrendszerek biztonsági állapotát.

Egyes esetekben a Megbízó rendelkezik előre elkészített biztonsági előírásokkal, (Security Baseline) amelyek alapján az egyes rendszerek hardening-jét a telepítést követően el kell végezni. Sok esetben a feladat ilyen, a szervezet rendszereire specifikus Security Baseline-ok elkészítése.

A biztonsági rendszerintegráció szolgáltatás keretében szakértőink megtervezik és elvégzik a különféle információbiztonsági eszközök (pl. határvédelmi eszközök, tűzfalak, IDS/IPS eszközök, naplózó és monitoring eszközök) rendszerbe illesztését. Megvizsgálják a meglévő és már működő információbiztonsági eszközök hatékonyságát. Ha szükséges segítséget nyújtanak az eszközök biztonsági képességeinek maximális kihasználásában, működésük optimalizálásában, vagy akár a teljes rendszer biztonsági szempontú optimalizálásában. Ha Ön szoftverfejlesztő, támogatjuk a fejlesztett rendszerek biztonsági rendszertervének kidolgozását, vagy teljes akár egészében kidolgozzuk azt.