Тестирование на проникновение и безопасность для SaaS
Для SaaS-бизнеса безопасность становится условием продаж: потенциальные клиенты просят показать SOC 2 и результаты пентеста ещё до подписания договора. Мы тестируем изоляцию арендаторов, веб-приложение, его API и облако, в котором оно работает, и совмещаем тестирование с подготовкой к аудиту. С упором на ручную работу, в рамках NDA и с бесплатной повторной проверкой в срок, указанный в SoW.
Что поставлено на карту в SaaS
Главный риск для SaaS связан с изоляцией арендаторов: на общей платформе худшая ошибка позволяет одному клиенту добраться до данных другого. Рядом стоят проблемы веба, API и конфигурации облака, от которых зависит, можно ли доверять вашей платформе.
Изоляция арендаторов
Межарендаторный IDOR/BOLA, при котором один клиент читает или изменяет данные другого. Это самая опасная уязвимость мультиарендной платформы.
Авторизация между ролями
Нарушенная авторизация на уровне функций и объектов между ролями admin, member и viewer. Её находит только тестирование в нескольких ролях.
Неправильная конфигурация облака
Слишком широкие права в IAM, публичные хранилища и слабое журналирование. Большая часть облачного риска скрыта в конфигурации и снаружи не видна.
Барьер продаж SOC 2
Без подготовки к SOC 2 и убедительного пентеста сделки с крупными компаниями буксуют: отдел закупок обычно требует и то и другое ещё до подписания.
Как мы тестируем SaaS-платформы
Мы фокусируемся на том, что создаёт или ломает SaaS-платформу: веб-приложение, мультиарендный API, протестированный по ролям и арендаторам, конфигурация облака, в котором оно работает, и подготовка к SOC 2, чтобы тестирование превратилось в доказательства, которые принимают ваши покупатели.
Основано на стандартах, которые проверяют покупатели SaaS
Тестирование приложений и API ведётся по OWASP WSTG v4.2, OWASP API Security Top 10 (2023) и OWASP ASVS 5.0; конфигурация облака проверяется по CIS Benchmarks; подготовка к SOC 2 ведётся по AICPA Trust Services Criteria. Мы обеспечиваем подготовку, оценку пробелов и сопутствующий пентест, а отчёт SOC 2 выпускает независимая CPA-фирма, не мы. Находки оцениваются по CVSS 3.1.
Чего ожидать от SaaS-проекта
Vexaro не только тестирует, но и сама создаёт продукты и инфраструктуру. Поэтому мы пристально проверяем логику мультиарендности и пишем отчёты, с которыми ваши инженеры могут сразу работать. Мы не называем клиентов.
- Ручное тестирование веб-приложения, его API и изоляции арендаторов
- Многоролевое, мультиарендное тестирование, выявляющее ошибки изоляции
- Подготовка к SOC 2 плюс доказательства пентеста, которые просят ваши покупатели
- Отчёты, по которым ваши инженеры могут действовать, с бесплатной повторной проверкой исправлений в срок, указанный в SoW
- NDA до любого доступа; доказательства шифруются, затем удаляются или возвращаются