Napadalci se pogosto ne trudijo prebiti požarnega zidu, ker najdejo nastavitev v aplikaciji, ki pušča vrata odprta. Vzemimo spletno trgovino z otroško opremo iz Celja: v Pantheonu vsi delajo s skrbniškimi pravicami, ker je pred leti nekdo ni mogel odpreti poročila in so mu pravice dodelili, odvzeli pa jih niso nikoli. Povezava s Ceneje.si in Amazonom teče prek osebnega uporabniškega imena zaposlenega, zato njegovega računa ob odhodu ne morejo zapreti, ker bi se ustavila naročila. Skrivni ključ ponudnika spletnih plačil je zapisan v izvorni kodi trgovine, kopija kode pa je še vedno v repozitoriju nekdanje agencije. Nič od tega samo po sebi ni »napad«, a vse skupaj napadalcu zelo olajša delo. Varnost aplikacij pomeni zapreti ta vrata v programih, s katerimi poslujete. Pri kupljeni programski opremi se osredotočimo na vloge, račune in integracije, pri lastnih aplikacijah pa še na kodo in knjižnice. V obeh primerih delamo na daljavo, v dogovoru z vašim dobaviteljem programske opreme in tako, da aplikacija ves čas deluje.
Delamo s kupljeno in z lastno programsko opremo. Pri kupljeni ostanemo večinoma na ravni vlog in integracij, pri razviti po meri gremo tudi v kodo in razvojni proces.
V Pantheonu, Minimaxu, Metakocki, Business Central ali SAP Business One preverimo, kdo lahko odpre novega partnerja, spremeni ceno ali posodobi bančne podatke. Pripravimo pregledno matriko vlog, ki upošteva ločevanje dolžnosti.
Povezave s spletnimi tržnicami, ponudnikom izmenjave e-računov, dostavnimi službami in banko dobijo vsaka svoj tehnični račun z le nujnimi pravicami. Ko zaposleni odide, se nobena integracija ne ustavi.
Ključe API, gesla podatkovnih baz in certifikate premaknemo iz izvorne kode, konfiguracijskih datotek in e-pošte v trezor: Azure Key Vault, AWS Secrets Manager ali upravitelj gesel, ki ustreza vaši ekipi. Izpostavljene ključe zamenjamo.
Kjer aplikacija to podpira, enotna prijava z Entra ID ali Google, sicer vsaj večfaktorska prijava in osebni računi. Dostop zaposlenega, ki odide, se zapre na enem mestu.
Pri programski opremi po meri v cevovod CI dodamo pregled knjižnic, iskanje skrivnosti v kodi in osnovno statično analizo. Knjižnica z znano ranljivostjo se opazi, preden pride v produkcijo.
Kdo in kdaj je spremenil bančne podatke, cenik ali pravice uporabnika? Vklopljeni dnevniki razkrijejo poskuse goljufije in vam dajo dokaze, če pride do spora.
Začnemo z zemljevidom aplikacij in povezav med njimi, ker se večina težav skriva na prehodih.
Katere aplikacije imate, kdo jih uporablja, s katerim računom teče posamezna integracija, kje so shranjeni ključi? Vse zberemo na eni strani.
Za vsako aplikacijo preverimo vloge, račune, ključe in dnevnike. Ugotovitve razvrstimo po tveganju in dodamo predlog popravka.
Prehod na ločene servisne račune, trezor in model vlog poteka postopoma. Vsak korak uskladimo z dobaviteljem, da integracije tečejo brez prekinitve.
Kontrolni seznam za nove aplikacije in integracije, samodejni pregledi v razvojnem cevovodu in letni pregled pravic.
Najnevarnejši račun je tisti, ki ga nihče ne čuti kot svojega. Integracija, ki teče pod imenom nekdanjega zaposlenega, skrbniški račun, pozabljen ob menjavi agencije, ali plačilni ključ v kodi ne sprožijo nobenega alarma, dokler jih nekdo ne najde. Vsak račun in vsak ključ potrebuje lastnika, namen in datum menjave.
Matriko vlog pripravimo skupaj z vami. Spremembe izvedemo neposredno na daljavo, če imate za to pravice, sicer skupaj s partnerjem za vašo programsko opremo. V podatkovno bazo kupljene programske opreme ne posegamo, vse spremembe naredimo v skrbniških zaslonih aplikacije.
Najprej ključ zamenjamo: v portalu tržnice ustvarimo novega, integracijo posodobimo in starega prekličemo. Novi ključ shranimo v trezor in omejimo, kdo ga vidi. Enako naredimo s ključi ponudnika spletnih plačil, na primer Stripe ali Bankart.
Penetracijski test je ločena storitev v področju Testiranje in zagotavljanje kakovosti. Varnost aplikacij vzpostavi trajen red: vloge, upravljanje ključev, preglede knjižnic. Storitvi se dopolnjujeta, red iz te storitve pa pomaga, ko odpravljate ugotovitve testa.
Pri podjetju z nekaj aplikacijami in petimi ali šestimi integracijami pregled navadno traja en do dva tedna. Če je obseg jasen, pripravimo ponudbo s fiksno ceno, sicer delamo po 50 € na uro + DDV s predhodno oceno.
Na kratko naštejte poslovne aplikacije in integracije, ki jih uporabljate. Povedali vam bomo, kje je smiselno začeti.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
