Liste de contrôle complète des tests de sécurité des applications Web

• Collecter des informations
• Planification
• Performance
• Signaler
• Fixation
• Confirmation
• FAQ

Étape 1. Collecte d'informations

L'étape de base de notre liste de contrôle des tests de sécurité des applications consiste à poser des questions. Cela garantira les applications, les codes et les systèmes réseau qui doivent être testés. Faites un effort supplémentaire et informez-vous sur le processus de test que vous utiliserez, et surtout quelles sont les attentes.

Identifier les zones extrêmement incertaines de l'application

Cette zone fait référence à l'endroit où les utilisateurs modifient le contenu. Cet emplacement nécessite une vérification, à la fois sur les codes d'entrée et de sortie. Un tel exemple peut être une application qui permet à ses utilisateurs d'insérer une grande quantité de données. Surtout si elle est effectuée via un éditeur HTML, l'application présente un risque élevé d'attaques si le mécanisme de prévention n'est pas mis en œuvre.

Construire la logique de l'entreprise et le flux d'informations

Cela fait référence aux domaines qui nécessitent des tests manuels, principalement axés sur les systèmes d'escalade ou d'exposition de données sensibles. La logique d'organisation est liée au flux d'informations, qui est un cours spécial et rare d'une application. Cette fonction a tendance à être négligée par l'analyse automatisée, il est donc important de la mentionner.

Un testeur QA doit sécuriser :

• La sincérité de la mission
• Les utilisateurs réguliers ne peuvent pas sauter les étapes
• Les utilisateurs finaux ne sont pas autorisés à effectuer des activités privilégiées

Comprendre les autorisations et la structure des rôles

En cas d'accès verrouillé ou d'accès de plusieurs membres de l'équipe, une telle étape est importante aux fins d'autorisation. Essayez également de tester la configuration de l'autorisation de contournement, en ignorant la page de connexion ou en faisant croire à l'application que l'utilisateur est déjà autorisé. Vérifiez également s'il est possible d'accéder aux fonctions administratives tout en étant connecté en tant qu'utilisateur régulier.

Étape 2: Planification

Lors de la planification des tests de sécurité de vos applications, documentez d'abord votre stratégie. Choisissez les bons testeurs, expliquez-leur sur quoi ils vont travailler et la date limite des tâches de test. Cela vous fera gagner du temps et des ressources et vous assurera une bonne stratégie de test de sécurité.

Organisez les vulnérabilités de votre application

Faites une liste des outils dont vous avez besoin, comme un scanner de vulnérabilité Web. Si vous prévoyez d'aller plus loin et de tester l'authentification, un proxy HTTP sera nécessaire. Vous pouvez utiliser une analyse de code source si vous prévoyez d'approfondir vos tests de sécurité.

La liste de contrôle des tests de sécurité des applications suivante peut couvrir:

• Rassembler les sessions de gestion
• Force brute
• Accès amélioré aux ressources protégées
• Sécurité par mot de passe

Attribuer des rôles aux membres de l'équipe

Si vous envisagez de faire les tests de sécurité avec une équipe, vous devez partager les responsabilités. Une équipe peut être en charge des fonctionnalités, tandis que l'autre équipe peut tester les vulnérabilités. Il est important de choisir les bons testeurs QA pour cette opération. Il est essentiel d'avoir des professionnels préparés, prêts à agir et à approfondir la sécurité de l'application avec des résultats complets.

Mettre en place des tests automatiques

Assemblez une vérification manuelle qui contiendra des tâches supplémentaires que l'équipe devra effectuer manuellement. Une fois le test automatique terminé, affectez un membre de l'équipe pour analyser et configurer les résultats. Bien que la technologie soit un grand atout, un suivi humain ne fera que faire mieux!

Fixez la date limite

C'est le moment où votre équipe terminera les tests et documentera les vulnérabilités trouvées. À cette étape de la liste de contrôle des tests de sécurité des applications, il est temps pour vous de rédiger le rapport de conclusion. Les résultats devraient vous aider à avoir une vision claire de la sécurité de votre application et de sa position par rapport aux attentes.

Configurer des appels internes et externes

C'est à vous de décider de la fréquence à laquelle vous vous coordonnez avec votre équipe. Pour une application sécurisée réussie, nous vous suggérons de planifier des appels deux fois par semaine. La communication étant essentielle, ces appels doivent inclure les testeurs d'assurance qualité et le chef de projet ou client, afin de déterminer la situation de l'équipe et de transmettre les détails pertinents aux membres.

Exemples de tests de documents

Cela ne peut exister sur la liste de contrôle de test de sécurité de votre application que si le client l'exige. La documentation doit contenir des cas de test qui représentent un intérêt pour votre client et qui ont eu un certain impact sur les résultats.

Effectuer une exploration automatisée ou manuelle

Si le contrat l'exige, cette étape offre des détails ou des ajustements nécessaires à la portée du test.

Étape 3 : Performances

La plus grande partie de la liste de contrôle des tests de sécurité des applications est l'exécution. Une fois que vous avez la stratégie du plan et l'équipe prête à partir, c'est le moment où vous effectuez les tests et traquez les vulnérabilités.

Tests et résultats automatisés

Vous devez faire attention aux outils d'automatisation que vous sélectionnez. De cette façon, les testeurs adapteront leurs compétences à la fois à la logique de l'entreprise et au flux d'informations, ce qui nécessite une analyse manuelle. Le test automatique est légèrement différent, selon l'organisation.

Test manuel

Les tests manuels sont axés sur la logique de l'entreprise et le flux d'informations spécifiques à l'application. Il est généralement négligé par les tests automatiques. Les tests manuels peuvent ressembler à ceci:

1. Un testeur QA identifie un lien entré par un administrateur qui est quelque peu différent de son extrémité
2. Ils «s'exécutent» en tant qu'administrateur et tentent de modifier l'URL
3. Sur la base des résultats, si une vulnérabilité est détectée, il est préférable de la documenter. Après cela, le testeur peut continuer à naviguer vers les pages associées et vérifier si le problème persiste.

À ce stade du test de sécurité des applications, la majorité des outils envoient des requêtes à une page pour voir si la réponse est différente. Lorsque des erreurs HTTP 500 sont livrées, cela signifie qu'une vulnérabilité existe quelque part. C'est maintenant la capacité du testeur à examiner l'erreur et à déterminer s'il existe effectivement une vulnérabilité.

Documenter les vulnérabilités découvertes

Parfois, les clients ou même la haute direction peuvent demander la sortie des tests de sécurité effectués. Ils veulent voir les conclusions même si aucune vulnérabilité n'a été identifiée, donc soyez également prêts pour un tel rapport.

Étape 4: Signaler

La prochaine étape de notre liste de contrôle des tests de sécurité des applications est l'étape du rapport. Il s'agit d'une action entreprise après le test. Les rapports sur les résultats doivent être soigneusement documentés, puis rapportés pour votre client ou votre direction, comme suit:

Formaliser les résultats

La première étape du reporting consiste à rassembler la description du test, les URL concernées, les rôles des membres de l'équipe, les preuves, les étapes de reproduction, l'impact et la correction.

Examiner les rapports techniques

Cette partie garantit l'exactitude et la cohérence de la rédaction technique du rapport. Si nécessaire, passez en revue les résultats avec l'équipe et apportez les ajustements appropriés.

Étape 5: Fixation

Cette étape corrige les vulnérabilités lors des tests de sécurité des applications.

Adressez-vous aux directives d'assistance

La responsabilité du propriétaire de l’application est de facturer à un développeur Web des demandes de correction détaillées. Il est nécessaire d’implémenter des correctifs dans le code concerné. Un simple test de boîte noire pourrait ne pas suffire et des problèmes pourraient toujours exister.

Étape 6: Confirmation

La dernière étape de la liste de contrôle des tests de sécurité des applications que nous avons préparée pour vous est la vérification. Cette étape est généralement effectuée à la fin de la procédure de test. Il est important de souligner que les vulnérabilités trouvées sont corrigées et qu’elles ne peuvent pas être trompées.

Revoir

Jetez un autre coup d'œil aux problèmes spécifiques identifiés précédemment. Assurez-vous qu'ils ont été complètement corrigés et ne présentent aucune vulnérabilité potentielle.

La prévention

Assurez-vous que ces correctifs ne peuvent plus être vulnérables par des tentatives transformées. Pour ce faire, exécutez le filtrage pour XSS, les attaques avec différents rôles et la redirection vers différents liens URL.