Testes de intrusão e segurança para SaaS
Para um negócio de SaaS, a segurança condiciona as vendas: os potenciais clientes pedem o seu SOC 2 e o seu pentest antes de assinar. Testamos o isolamento entre inquilinos, a aplicação web e as suas APIs, e a cloud onde corre, e juntamos os testes à preparação para a auditoria. Sobretudo manual, ao abrigo de NDA e com um reteste gratuito dentro do prazo fixado no SoW.
O que está em jogo no SaaS
O risco definidor do SaaS é o isolamento de inquilinos: numa plataforma partilhada, o pior cenário é uma falha que permite a um cliente alcançar os dados de outro. A par disso estão os problemas de web, de API e de configuração de cloud que decidem se a sua plataforma é fiável.
Isolamento de inquilinos
IDOR/BOLA entre inquilinos, em que um cliente lê ou modifica os dados de outro. É a falha multi-inquilino de maior impacto.
Autorização entre funções
Autorização quebrada ao nível da função e do objeto entre os papéis de administrador, membro e visualizador. Só se deteta com testes em vários papéis.
Configuração incorreta da cloud
IAM com permissões em excesso, armazenamento público e registo fraco. A maior parte do risco da cloud está na configuração, que não se vê do exterior.
A porta de venda do SOC 2
Sem preparação para SOC 2 e sem um pentest credível, os negócios com grandes empresas ficam parados, porque o departamento de compras costuma exigir ambos antes de assinar.
Como testamos plataformas SaaS
Focamo-nos no que faz ou desfaz uma plataforma SaaS: a aplicação web, a API multi-inquilino testada entre funções e inquilinos, a configuração da cloud onde corre e a preparação para SOC 2, para que os testes se transformem em evidências que os seus compradores aceitam.
Assente nos padrões que os compradores de SaaS verificam
Os testes de aplicação e de API seguem o OWASP WSTG v4.2, o OWASP API Security Top 10 (2023) e o OWASP ASVS 5.0; a configuração da cloud é revista face aos CIS Benchmarks; a preparação para SOC 2 segue os AICPA Trust Services Criteria. Prestamos preparação, avaliação de lacunas e o pentest de apoio; o relatório SOC 2 é emitido por uma empresa de CPA independente, não por nós. Os achados são pontuados com CVSS 3.1.
O que esperar de um projeto de SaaS
A Vexaro também constrói produtos e infraestrutura, além de os testar. Por isso examinamos a fundo a lógica multi-inquilino e escrevemos relatórios com que os seus engenheiros podem trabalhar de imediato. Não nomeamos clientes.
- Testes sobretudo manuais da aplicação web, das suas APIs e do isolamento entre inquilinos
- Testes com várias funções e vários inquilinos que revelam falhas de isolamento
- Preparação para SOC 2 mais as evidências do pentest que os seus compradores pedem
- Relatórios sobre os quais os seus engenheiros podem agir, com um reteste gratuito das correções dentro do prazo fixado no SoW
- NDA antes de qualquer acesso; evidências cifradas e depois eliminadas ou devolvidas