OWASP ZAP, Burp Suite, Nessus, OpenVAS und Nmap für dynamische Tests und Scans. SonarQube, Semgrep und Checkmarx für die statische Analyse. Snyk, OWASP Dependency-Check und Trivy für Abhängigkeiten und Container.
Security- und Penetrationstests
Sicherheitslücken fallen selten im Funktionstest auf. Wir prüfen Ihre Anwendungen und Schnittstellen gezielt auf Schwachstellen und machen Sicherheitstests zu einem festen Teil jedes Releases.
Wann das passt
- Eine Anwendung mit Kundendaten oder Zahlungsfunktionen geht live.
- DORA, PCI DSS oder interne Richtlinien verlangen regelmäßige Sicherheitstests.
- Sicherheitsprüfungen finden bisher einmal im Jahr statt, Releases aber jede Woche.
- Nach einem Vorfall soll geprüft werden, ob es weitere Lücken gibt.
Was wir prüfen
- Web-Anwendungen
- Prüfung nach OWASP Top 10 und OWASP ASVS, Anmeldung, Sitzungen, Rechte.
- APIs
- REST, SOAP und GraphQL nach OWASP API Security Top 10.
- Mobile Apps
- Datenhaltung, Kommunikation und Schutzmechanismen von Android- und iOS-Apps.
- Code und Abhängigkeiten
- Statische Analyse und Prüfung von Bibliotheken und Containern auf bekannte Schwachstellen.
- Infrastruktur
- Schwachstellen-Scans von Servern und Netzwerkdiensten im vereinbarten Rahmen.
So gehen wir vor
Rahmen festlegen
Wir vereinbaren Umfang, Zeitfenster und Regeln schriftlich, bevor ein Test beginnt.
Automatisierte Prüfung
Scans für Anwendung, Code und Abhängigkeiten, auf Wunsch dauerhaft in der Pipeline.
Manueller Penetrationstest
Wir suchen gezielt nach Lücken, die kein Scanner findet, etwa in der Geschäftslogik.
Bericht und Nachtest
Jede Schwachstelle mit Risiko, Nachweis und Empfehlung. Nach der Behebung testen wir erneut.
Was Sie am Ende haben
- Bericht
- Schwachstellen mit Risikobewertung, Nachweis und Empfehlung
- Zusammenfassung
- Verständlich für Geschäftsleitung, Revision und Aufsicht
- Nachtest
- Bestätigung, dass die Lücken geschlossen sind
- Pipeline
- Automatisierte Sicherheitsprüfungen bei jedem Release
Werkzeuge
Projektbeispiel
Fintech-Plattform
- Auftraggeber
- Fintech
- Ausgangslage
- Mobile App und Plattform sollten sicherer und schneller ausgeliefert werden
- Aufgabe
- Sicherheitstests mit OWASP ZAP und Burp Suite, automatisierte Mobile-Tests mit Appium in GitLab CI
- Ergebnis
- Kritische Schwachstellen vor dem Go-live behoben, 25 % kürzere Auslieferungszeiten
25 %
kürzere Auslieferungszeiten
Sprechen Sie mit uns
Schreiben Sie uns kurz, worum es geht. Wir melden uns innerhalb eines Werktags.
Zum Kontaktformularservices@cubio-consulting.com