Penetrationstests & Security für SaaS
Für ein SaaS-Unternehmen entscheidet Sicherheit mit über den Vertriebserfolg: Interessenten verlangen Ihren SOC-2-Bericht und Ihren Pentest, bevor sie unterschreiben. Wir testen die Mandantentrennung, die Webanwendung und ihre APIs sowie die Cloud, auf der sie läuft, und verbinden die Tests mit der Vorbereitung auf das Audit. Überwiegend manuell, unter NDA und mit einem kostenlosen Re-Test innerhalb des im SoW festgelegten Zeitfensters.
Was in SaaS auf dem Spiel steht
Das bestimmende SaaS-Risiko ist die Mandantenisolierung: In einer geteilten Plattform erlaubt der Worst-Case-Bug einem Kunden, die Daten eines anderen zu erreichen. Daneben stehen die Web-, API- und Cloud-Konfigurationsprobleme, die darüber entscheiden, ob Ihre Plattform vertrauenswürdig ist.
Mandantenisolierung
Mandantenübergreifendes IDOR/BOLA, bei dem ein Kunde die Daten eines anderen liest oder verändert. Das ist der folgenreichste Fehler in mandantenfähigen Systemen.
Autorisierung über Rollen hinweg
Fehlerhafte Autorisierung auf Funktions- und Objektebene zwischen Admin-, Member- und Viewer-Rollen. Finden lässt sie sich nur mit Tests über mehrere Rollen.
Cloud-Fehlkonfiguration
Zu weit gefasste IAM-Rechte, öffentlicher Speicher und schwaches Logging. Das meiste Cloud-Risiko steckt in der Konfiguration und ist von außen nicht sichtbar.
Das SOC-2-Sales-Gate
Ohne SOC-2-Vorbereitung und einen glaubwürdigen Pentest geraten Enterprise-Deals ins Stocken, denn der Einkauf verlangt meist beides vor der Unterschrift.
Wie wir SaaS-Plattformen testen
Wir konzentrieren uns auf das, was eine SaaS-Plattform ausmacht oder bricht: die Webanwendung, die mandantenfähige API, getestet über Rollen und Mandanten hinweg, die Cloud-Konfiguration, auf der sie läuft, und SOC-2-Readiness, damit die Tests zu Nachweisen werden, die Ihre Käufer akzeptieren.
Gegründet auf den Standards, die SaaS-Käufer prüfen
Anwendungs- und API-Tests richten sich nach OWASP WSTG v4.2, den OWASP API Security Top 10 (2023) und OWASP ASVS 5.0; die Cloud-Konfiguration wird gegen die CIS Benchmarks geprüft; die SOC-2-Vorbereitung richtet sich nach den AICPA Trust Services Criteria. Wir liefern Vorbereitung, Gap-Assessment und den begleitenden Pentest; den SOC-2-Bericht stellt eine unabhängige CPA-Firma aus, nicht wir. Befunde werden mit CVSS 3.1 bewertet.
Was Sie bei einem SaaS-Projekt erwarten können
Vexaro entwickelt selbst Produkte und Infrastruktur und testet sie auch. Deshalb prüfen wir mandantenfähige Logik besonders genau und schreiben Berichte, mit denen Ihre Entwickler direkt arbeiten können. Wir nennen keine Kunden.
- Manuelle Tests der Webanwendung, ihrer APIs und der Mandantenisolierung
- Tests über mehrere Rollen und Mandanten, die Isolationsfehler zutage fördern
- SOC-2-Readiness plus die Pentest-Nachweise, nach denen Ihre Käufer fragen
- Berichte, mit denen Ihre Ingenieure arbeiten können, mit einem kostenlosen Re-Test der Korrekturen innerhalb des im SoW festgelegten Zeitfensters
- NDA vor jedem Zugang; Nachweise verschlüsselt, danach gelöscht oder zurückgegeben