01connection
Połączenie
Jak użytkownik łączy się z aplikacją i jakie zasady otrzymuje przeglądarka.
- HTTPS i przekierowania
- Nagłówki bezpieczeństwa
- Konfiguracja dopasowana do aplikacji
SKICODE / CYBERBEZPIECZEŃSTWO
APLIKACJE / DANE / PRZESYŁANE PLIKI
Bezpieczeństwo Twojej aplikacji.
Dostęp do danych, role użytkowników, formularze i przesyłane pliki. Pomagam uporządkować podstawowe zabezpieczenia aplikacji webowej, wskazać priorytety i wdrożyć uzgodnione poprawki.
Bezpośrednio z Jakubem MarcinkowskimGDAŃSK / REMOTE
Jak użytkownik łączy się z aplikacją i jakie zasady otrzymuje przeglądarka.
Model poglądowy. Wybierz warstwę i poznaj jej rolę.
DOBRE PODSTAWY. PRZEMYŚLANE ZMIANY.
- 01Jasno określony zakres
- 02Podstawowe poprawki
- 03Ponowne sprawdzenie
ZAKRES WSPÓŁPRACY
Cztery obszary. Jedna aplikacja.
Przyglądamy się funkcjom, z których korzysta Twój zespół: logowaniu, dostępowi do danych, formularzom i plikom. Zakres dopasowujemy do technologii i sposobu pracy firmy.
Zobacz przykład podejścia02access
Dostęp
Jakie dane i operacje aplikacja udostępnia poszczególnym użytkownikom.
- Role i dostęp do danych
- Logowanie i ochrona kont
- Sprawdzanie uprawnień na serwerze
03forms
Dane i pliki
Jak aplikacja przyjmuje formularze i załączniki oraz kto może z nich korzystać.
- Walidacja danych po stronie serwera
- Typy i rozmiary przyjmowanych plików
- Dostęp do plików i zasady przechowywania
04configuration
Konfiguracja
Jak utrzymujesz aplikację, jej zależności i poufne ustawienia.
- Sekrety poza kodem przeglądarki
- Zależności i plan aktualizacji
- Ustalenie kopii i sposobu przywrócenia
Zakres obejmuje podstawowe zabezpieczenia wybranych funkcji aplikacji webowej i uzgodnione poprawki. Pracuję wyłącznie przy systemach, do których właściciel udzielił odpowiednich uprawnień.
OD OBSERWACJI DO POPRAWKI
Bezpieczeństwo w szczegółach.
Zobacz, jak można opisać obserwację tak, żeby właściciel produktu i programista wiedzieli, co z nią zrobić.
SCHEMAT POGLĄDOWY01 / 03
Zasady przekazane przeglądarce.
EX-01 / FIELD NOTE
Ustawienia przeglądarki też mają znaczenie.
- 01Dlaczego to ważne
- Brak wybranego nagłówka może oznaczać brak dodatkowego ograniczenia. Sam w sobie nie potwierdza jednak podatności aplikacji.
- 02Kierunek poprawki
- Dobrać nagłówki do technologii i używanych integracji. Politykę CSP planować oraz sprawdzać tak, żeby nie zepsuć potrzebnych funkcji.
- 03Jak sprawdzić zmianę
- Potwierdzić nagłówki w odpowiedziach aplikacji i sprawdzić działanie formularzy, skryptów oraz osadzonych materiałów po zmianie.
WSPÓŁPRACA I REZULTAT
Wiesz, co zostało zmienione.
Zawartość ustalamy przed rozpoczęciem. Otrzymujesz ustalenia dotyczące wybranych funkcji aplikacji oraz informacje o wprowadzonych zmianach.
Jak pracujemy
- 01
Ustalamy zakres
Opisujesz aplikację, jej użytkowników i technologię. Wybieramy obszary do sprawdzenia, potwierdzamy uprawnienia i sposób pracy.
- 02
Wybieramy poprawki
Omawiamy stan wyjściowy i priorytety. Przed wdrożeniem uzgadniamy zmiany oraz możliwość ich wycofania.
- 03
Sprawdzamy efekt
Po wdrożeniu sprawdzamy uzgodnione ustawienia i działanie objętych nimi funkcji. Otrzymujesz opis zmian i dalszych zaleceń.
Co zostaje w Twoich rękach
Opis stanu wyjściowego
Co sprawdzono, jakie ustawienia są dostępne i które pytania wymagają dalszej oceny.
Lista priorytetów
Propozycje podstawowych zmian z wyjaśnieniem, co mają poprawić i od czego zależą.
Uzgodnione poprawki
Zmiany wybrane do wdrożenia po potwierdzeniu zakresu i możliwości aplikacji oraz jej środowiska.
Ponowne sprawdzenie
Potwierdzenie wprowadzonych ustawień i działania funkcji objętych zmianą oraz krótkie zalecenia do utrzymania.
PAKIET / ZABEZPIECZENIA APLIKACJI
Najpierw poznajmy Twoją aplikację.
Zakres, koszt i termin potwierdzamy przed rozpoczęciem prac.
PRZED PIERWSZĄ ROZMOWĄ
Jasne zasady. Jasne odpowiedzi.
Ustalamy, co mogę poprawić, jak to sprawdzimy i co zostaje po stronie utrzymania.
01Od czego możemy zacząć?
Od opisu aplikacji i wybranego obszaru: ról użytkowników, dostępu do danych, formularzy, plików lub konfiguracji. Po rozmowie ustalamy, jakie podstawowe zmiany mogę wykonać w Twojej technologii.
02Jak ograniczyć ryzyko związane z przesyłanymi plikami?
Możemy ustalić dopuszczalne typy i rozmiary plików, sposób ich przechowywania oraz zasady dostępu. Te kontrole nie są wykrywaniem złośliwego oprogramowania. Jeśli potrzebne jest skanowanie antywirusowe, możliwość integracji z zewnętrznym rozwiązaniem ustalamy osobno; żaden skaner nie daje gwarancji wykrycia każdego zagrożenia.
03Czy to pełny audyt lub test penetracyjny?
To przegląd podstawowych zabezpieczeń wybranych funkcji aplikacji i uzgodnione poprawki. Nie zastępuje specjalistycznego audytu bezpieczeństwa ani testu penetracyjnego. Bardziej zaawansowane potrzeby wymagają osobnej oceny zakresu i kompetencji.
04Czy po zmianach aplikacja będzie całkowicie bezpieczna?
Żaden zestaw podstawowych ustawień nie daje takiej gwarancji. Sprawdzamy uzgodniony obszar i działanie poprawek; aktualizacje, kontrola dostępów i utrzymanie aplikacji wymagają dalszej uwagi.
05Czy zajmujesz się aktualizacjami i kopiami?
Możemy uwzględnić je w ustalonym zakresie, zależnie od technologii i możliwości środowiska. Najpierw określamy zgodność aktualizacji, dostępność kopii oraz sposób przywrócenia danych i działania aplikacji.
06Jak ustalamy koszt i termin?
Po doprecyzowaniu aplikacji, obszaru do sprawdzenia i wybranych poprawek. Przed rozpoczęciem potwierdzamy zakres, koszt oraz sposób przekazania potrzebnych materiałów i dostępów.
PUNKTY ODNIESIENIA
Publiczne wytyczne pomagają porządkować wymagania i rozmowę o bezpieczeństwie. Odwołanie do nich nie oznacza certyfikacji ani deklaracji pełnej zgodności.
TWOJA APLIKACJA / NASTĘPNY KROK
Zacznijmy od tego, co chcesz chronić.
Opisz aplikację, jej użytkowników i to, co chcesz uporządkować: dostęp do danych, formularze, przesyłane pliki lub konfigurację. Wrócę z pytaniami oraz propozycją konkretnego zakresu.
j.marcinkowski@skicode.plJAKUB MARCINKOWSKI / SKICODEGDAŃSK, POLSKA · REMOTE