Tag: Testy penetracyjne

Audyt Bezpieczeństwa OWASP aplikacji www, mobilnych, testy penetracyjne, BlackBox, WhiteBox, GreyBox, OWASP, Audyt aplikacji webowych, Audyt środowiska serwerowego, Ataki XSS, CSRF, SQL Injection, Man-in The-Middle

Opublikowane w

WAF – Web Application Firewall – zabezpieczenie aplikacji webowych

Nasze sklepy internetowe, strony firmowe, aplikacje typu SaaS (Software as a Service), aplikacje mobilne czy inne są obecnie jeszcze bardziej narażone na ataki takie jak przejęcia dostępów do stron, dostęp do danych umieszczonych w bazach danych czy zablokowaniu możliwości działania danej usługi. Ochronę przed podatnościami i atakami naszych serwisów internetowych mogą zapewnić firewalle typu WAF. Chronią one systemy internetowe szukając podatności w już zidentyfikowanych lukach bezpieczeństwa wykorzystując np. tzw. blackisty i whitelisty monitorując ruch z do aplikacji. często działają zgodnie z regułami dobrych praktyk jak OWASP (Open Web Application Security Project).

Przykładowe ataki, które może wykryć zapora WAF:

  • SQL injection
  • Ataki spamerskie
  • Ataki XSS
  • Ataki na hasła (brut force)
  • Ataki na pliki konfiuguracyjne
  • Wsparcie w atakach DoS i DDoS
  • itd.

Przykładami takich zapór sieciowych chroniących nasze serwisy www są np. Cloudflare, NAXSI (moduł do serwera Nginx), Modsecurity (Modsec, Open Source projekt), WAF on Azure, itd.

Jeśli potrzebujesz wsparcia w obszarze aplikacji webowych, eCommerce i bezpieczeństwa zapraszamy do kontaktu:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 300 zadowolonych klientów
Opublikowane w

Top zagrożeń cyberbezpieczeństwa

Cyberbezpieczeństwo było a obecnie powinno być kluczowym elementem każdej polityki bezpieczeństwa, strategii utrzymania ciągłości biznesowej, strategii IT czy strategii biznesowej. Nasilenie ataków, wycieków i kradzieży danych w ostatnich okresach przybiera na sile a trendy są wyraźnie wzrostowe. Poniżej kilka zagrożeń, które są top w ostatnim czasie w skali globalnej gospodarki:

Malware

Szkodliwe oprogramowanie Malware jest stosowane przez hackerów do kradzieży danych jak hasła, dane, szyfrowania zasobów np. celem wyłudzenia okupu czy wykorzystania komputerów do ataków DDoS. Obecnie obserwuje się ogromny wzrost infekcji komputerów czy smartphonów.

Ataki DoS, DDoS

Ataki DoS (Denial of Service) i DDoS (Distributed Denial of Services) są skierowane na usługi internetowe czy sieci komputerowe celem ich blokady lub zmniejszenia wydajności i możliwości użycia. Obecnie dzięki Malware i dużej ilości komputerów zombi bardzo popularne i powszechnie wykorzystywane przez hackerów.

Phishing – wyłudzenie danych

Wyłudzenie danych to ogromny globalny trend w przestępczości cybernetycznej. Wyłudzeniu mogą podlegać dane osobowe, numery i hasła do konto i kart kredytowych, dane dostępowe do usług rozrywkowych, dane ubezpieczeń, itd. Najczęściej są to ataki przez email.

Ataki Brute Force

Ataki Brute Force są skierowane zarówno do łamania haseł do stron www celem ich infekowania, łamania haseł do zasobów np. celem ich szyfrowania i wyłudzania okupów jak i innych, itd. Wzrost używania tej techniki przez hackerów jest związany z dostępnością słowników językowych czy specjalistycznych w danych językach online i niską świadomość użytkowników końcowych.

Ataki XSS (Cross-Site-Scripting)

Ataki XSS są skierowane na usługi internetowe podatne na wstrzyknięcia do przeglądarki kodu java script lub innego. Atak taki pozwala na zmianę działania usługi internetowej aby np. wykraść hasła, zablokować usługę, wykasować dane z usługi, zainfekowanie strony www, przejęcie sesji użytkownika (cookies), itd.

Ataki SQL Injection

Ataki SQL Injection w przeciwieństwie do XSS atakują nie aplikacje a jej bazę danych. Atak polega na dodanie złośliwego kodu w zapytaniu do baz danych. Atak pozwala na dostęp do bazy danych a więc na modyfikację danych, ich przejęcie a nawet skasowanie. Szacuje się, że 60% ataków na strony www lub sklepy internetowe wykorzystuje SQL Injection, natomiast 30% ataki XSS.

Zobacz naszą ofertę Doradztwa Strategicznego IT, Strategii IT

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

UAT czyli Testy Akceptacyjne

UAT (User Acceptance Tests) to testy akceptacyjne, które pozwalają odebrać stworzone oprogramowanie lub ich fragment przez osoby odpowiedzialne za procesy biznesowe lub klienta końcowego. Pozwalają one w prosty sposób określić dany ekran lub funkcjonalność jest zgodna z oczekiwaniami wszystkich odbiorców oprogramowania.

Testy akceptacyjne powinny uwzględniać np. za ISTBQ:

  • Wymagania użytkowników końcowych
  • Wymagania systemowe
  • Przypadki użycia
  • Procesy biznesowe

Przykłady testów akceptacyjnych UAT:

  • Testy akceptacyjne przez użytkownika wewnętrznego – czy product spełnia wymagania
  • Testy akceptacyjne przez klienta (CAT – Customer Acceptance Test) – czy oprogramowanie spełnia wymagania klienta
  • Testy Alfa – testy wewnętrzne deweloperów np. u wykonawcy
  • Testy Beta – testy poza zespołem wytwarzającym testy np. wśród użytkowników końcowych, itd.
  • Testy zgodności z podpisaną umową
  • Testy zgodności z prawem (legalności)
  • Testy akceptacyjne produkcyjne – testy na środowisku produkcyjnym, w różnych warunkach np. podczas obciążenia, awarii, problemów z danymi, itd.

W metodyce zwinnej Scrum UAT może być częścią Definition of Done czyli opisem jak ma wyglądać oddany produkt. Testy akceptacyjne UAT są w gestii odpowiedzialności Product Ownera i powinny być częścią sprintów Scruma.

Zobacz naszą ofertę doradztwa w zakresie projektów informatycznych

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Audyt Ciągłość Biznesowa (Business Continuity)

GoTechnologies bazując na swoim wieloletnim doświadczeniu w pracy z największymi, średnimi i małymi międzynarodowymi firmami, liderami swoich branż realizuje doradztwo i audyt w zakresie zachowania ciągłości biznesowej (Business Continuity) przedsiębiorstw.

Audyt ciągłości biznesowej składa się z:

  • Analiza corowych i pobocznych procesów, systemów, integracji, zasobów i ich wpływ na ciągłość biznesową.
  • Określenie potencjalnych, realnych zagrożeń mających wpływ na ciągłość biznesową
  • Benchmarking zagrożeń na casach lokalnych, branżowych i światowych
  • Symulacja wystąpienia zagrożeń i ich wpływ na ciągłość biznesową firmy (Stress Test)
  • Rekomendacje eliminacji zagrożeń lub ich zminimalizowanie w obszarze bezpieczeństwa, procesów, systemów, przechowywania danych, zabezpieczeń, redundancji, itd.

Audyt Business Continuity w zależności od klienta może być szybki (tzw. Quick Check) oraz kompleksowy. Proponowaną metodą jest szybki audyt Quick Check pozwalający ocenić poziom dojrzałości w obszarze Ciągłości Biznesowej i dalsze prace nad zdiagnozowanymi i kluczowymi obszarami w dalszych krokach.

W obszarze procesów procesów analizujemy corowe procesy z punktu widzenia biznesu czy reputacji klienta jak procesy handlowe (eCommerce, Retail, Omnichannel), logistyczne i magazynowe, finansowe, HR-owe czy produkcyjne.

W obszarze infrastruktury krytycznej badamy wpływ zagrożeń na systemy (software i hardware), ich wydajność, bezpieczeństwo, zasoby, backupy, możliwości odtworzenia po awarii, itd.

Możliwe zagrożenia mające wpływ na przedsiębiorstwa to: cyberataki zarówno zewnętrzne jak i wewnętrzne (sabotaże), wycieki danych i kradzież danych (reputacja firmy), awarie zasilania, zalanie Data Center, vendor locking (uzależnienie od dostawców), błędy w aplikacjach np. API, ataki typu DoS czy DDoS na platformy eCommerce, pandemia, itd.

Zobacz naszą ofertę:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Audyt i Doradztwo technologiczne dla Sklepu Internetowego

Technologiczny audyt sklepu internetowego (B2B, B2C), strony webowej (www) czy platformy SaaS (Software as a Service) jest dopiero wykonywany jak pojawiają się problemy wydajnościowe, problemy z bezpieczeństwem, długiem technologicznym, RODO, zwiększającym się czasem wdrażania zmian na produkcję (time to market), kosztami zmian czy z brakiem chęci programistów do pracy ze starą technologią.

Wybór systemów i platformy eCommerce

Wybór odpowiednich systemów i ich integracje jest kluczowym elementem po analizie procesów eCommerce. Systemy eCommerce i Omnichannel wraz z Retail, Contact Center i Logistyką muszą być ze sobą zintegrowane, gdzie wymiana danych musi być często w czasie rzeczywistym. Nasz biznes eCommerce musi posiadać system ERP (Enterprise Resources Planning), gdzie obsługujemy płatności, rozliczenia, często stocki. Musi posiadać odpowiednio dobrany silnik eCommerce. Są to platformy typu Open Source jak Magento czy Presta Shop, systemy SaaS, gdzie płacimy abonament lub fee od transakcji lub pisane dla nas systemy dedykowane. Do kampanii sprzedażowych i kontaktu z klientem wykorzystamy system CRM (Client Relationship Management) z Marketing Automation. Magazynem możemy zarządzać poprzez systemy WMS (Warehouse management Systems) z opcjami multickingu lub wykorzystać funkcje dropshippingu. Zarządzanie zamówieniami w systemach Omnichannel (eCommerce, Retail, Contact Center) robimy przez systemy OMS (Order Management System), a zarządzanie produktami w systemach klasy PIM (Product Management System).

Wspieramy projekty edukacyjne. M.in. jesteśmy współautorami książek o eCommerce
Wykładamy „Skuteczne Projekty Internetowe” na najlepszych polskich uczelniach np. na „Handlu elektronicznym” Akademii Leona Koźmińskiego

Wydajność sklepu internetowego

Wydajność sklepu internetowego jest kluczowa w sezonie jak i w dniach typu Cyber Monday czy Black Friday. Nasz system powinien być tak przygotowany aby łatwo mógł korzystać z dodatkowych zasobów jak ilość wirtualnych maszyn, przestrzeni dyskowej, baz danych czy przepustowości internetowej. Zwiększone peaki na zasoby są oczywiści dodatkowo kosztowne. Należy tak zaprojektować architekturę systemów np. z wykorzystaniem chmury (cloud) jak Amazon AWS czy Google GCP. Warto wykonać audyt wydajności sklepu internetowego z testami obciążeniowymi, gdzie możemy poznać nasze ograniczenie w postaci ilości równoczesnych użytkowników na naszej platformie. Poznamy także wąskie gardła naszej platformy np. technologia na Frontend, API czy CMS na Backend.

Bezpieczeństwo sklepu internetowego

Bezpieczeństwo sklepu internetowego do aspekty związane z ciągłością biznesową (Business Continuity) i ochroną danych. Dziurawy sklep z długiem technologicznym naraża firmę na ataki internetowe jak DoS (Denial of Service) i przestoje sklepu internetowego jak i na wyciek danych wrażliwych. Oba te aspekty powodują bezpośrednie straty finansowe, utratę reputacji jak i konsekwencje prawne (RODO).

Audyt technologiczny istniejącego sklepu internetowego

Audyt technologiczny sklepu internetowego oprócz audytów eCommerce (UX, UI, ścieżka konwersji, SEO, SEM, itd.) służy ocenie i poprawie problemów występujących w systemie i mających bezpośredni wpływ na przychody (słaba wydajność, błędy na stronie), koszty rozwoju (dług technologiczny, długi time to market nowych funkcjonalności).

UX – User Experience, UI – User interface

Jakość sklepu internetowego to nasze zyski i wizerunek. Sklep powinien mieć dopracowana wartwę graficzną i użyteczną dobrze pasującą do zsegmentowanego klienta. Interfejs powinien być prosty w użytkowaniu i powinien realizować w najprostszy, nierozpraszający sposób cele nasze i naszego klienta.

Zobacz naszą ofertę doradczą:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Audyt Frontend

Frontend wraz z Backendem tworzą aplikację internetową, sklep internetowy, stronę www czy aplikację typu SaaS (Software as a Service).

Dlaczego do frontendu trzeba przyłożyć więcej wagi niż do innych części naszych systemów?

  • Frontend jest naszą wizytówką
  • Frontend zarabia dla nas pieniądze

Dlatego frontend musi mieć dopracowany UX (User interface), UI (User Interface), musi być szybki, wydajny, działający na wielu różnych ekranach (aplikacja mobilna), użyteczny dla użytkownika końcowego. Frontend jest często łączony z Backendem poprzez API (Application Programming Interface), który umożliwia podłączenie backendu do wielu frontendów np. desktop, mobile, itd.

Oferta Audytu Frontend:

Zobacz także:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

M-Commerce – doradztwo technologiczne

Mobile commerce (M-Commerce lub mCommerce) jest częścią eCommerce czyli handlu elektronicznego (cyfrowego, internetowego), gdzie dostęp do zasobów jest realizowany przez smartphony, tablety i inne urządzenia kieszonkowe.

Dostęp mobilny dzięki coraz lepszemu dostępowi do sieci internet, szybszym telefonom oraz lepszym aplikacją pozwala na zwiększanie usług i produktów oferowanych klientom mobilnym. Obecnie nikt nie wyobraża sobie życia bez map na telefonie, gdzie możemy pokazywać biznesy w pobliżu i sprzedawać produkty. Użytkownicy aktywnie korzystają z usług finansowych (banki, porównywarki) czy portali sprzedażowych (np. Allegro czy OLX). Rośnie też większa aktywność w tym obszarze przez sklepy internetowe m.in. dzięki technologią RWD (Responsive Web Design), mobile i PWA (Progressive Web Application). Obecnie każdy sklep internetowy musi mieć wersję mobilną sklepu internetowego umożliwiającego pełną ścieżkę zakupową.

Oferta technologiczna w obszarze M-Commerce:

Zobacz także naszą ofertę doradztwa technologicznego dla eCommerce:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Audyt i doradztwo CMS (Content Management System)

Systemy CMS (Content Management System) służą do zarządzania treścią zarówno w sklepach internetowych, stronach internetowych, stronach mobilnych jak i w platformach SaaS (Software as a Service). Są często nazywane Backend i oddzielone często od Frontendu poprzez np. API (Application Programming Interface).

Systemy CMS spotykane w organizacjach często charakteryzują się dużym długiem technologicznym, który powoduje wiele negatywnych skutków dla pracy zespołu programistów i firmy. Dług technologiczny powoduje:

  • Podatność systemów na ataki zewnętrzne i wewnętrzne spowodowane brakiem aktualizacji bezpieczeństwa i narażenie firmy na wyciek danych (patrz Audyt RODO) i utratę zaufania klientów i reputację firmy. Ataki te np. DDoS (Distributed Denial of Service – patrz Testy Penetracyjne) mogą także spowodować zatrzymanie się stron www czy sklepu internetowego i narazić zyski firmy (Business Continuity).
  • Zmiany funkcjonalne w startych systemach CMS powodują zarówno opór zespołów programistycznych, którzy lubią pracować w nowoczesnych technologiach jak i zwiększone koszty zmian z powodu braku dokumentacji, znajomości kodu przez nowych programistów, brak kompetencji starych technologii itd.

Obecnie spotykane systemy CMS to przeważnie otwarte platformy Open Source lub systemy dedykowane. Popularne platformy CMS to:

  • WordPress ze sklepem internetowym WooCommerce
  • Wix
  • Squarespace
  • Joomla
  • Shopify
  • Drupal
  • Prestashop
  • Blogger
  • Magento
  • Bitrix
  • Typo3
  • Textpattern
  • itd.

Audyt platformy CMS pozwala na zmniejszenie długu technologicznego, określenie i ocena ryzyka używania takiej platformy, wskazuje rekomendacje zmian lub migracji na inną platformę CMS, itd.

Przykładowy zakres audytu CMS:

  • Analiza Core CMS
  • Analiza code review pod kątem zgodności ze standardami wytwórczymi CMS
  • Audyt Architektury systemu CMS
  • Ocena Maintability (łatwość konserwacji)
  • Ocena Violations (naruszenia)
  • Ocena bezpieczeństwa platformy CMS
  • Ocena zastosowania dobrych praktyk dla wdrożeń CMS
  • Audyt API (Application Programming Interface)
  • Audyt Frontend PWA, RWD, mobile, itd.
  • Ocena hostingu dla platformy CMS
  • Ocena dostawcy platformy CMS

Zobacz także:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Audyt bezpieczeństwa API

Obecnie większość systemów posiada API (Application Programming Interface) lub integruje się z innymi systemami w inny sposób. API w przypadku systemów firm typu Omnichannel, eCommerce, Retail, banków, aplikacji mobilnych czy platform SaaS (Software as a Service) staje się elementem krytycznymi (bezpieczeństwo i wydajność) i naraża firmę na straty finansowe i utratę reputacji.

Projekt OWASP (Open Web Application Security Project) w 2019 r. zdefiniował następujące najważniejsze ryzyka i ataki związane z API:

  • Broken Object Level Authorization
  • Broken Authentication
  • Excessive Data Exposure
  • Lack of Resources & Rate Limiting
  • Broken Function Level Authorization
  • Mass Assignment
  • Security Misconfiguration
  • Injection
  • Improper Assets Management
  • Insufficient Logging & Monitoring

Ataki na API pozwalają na zdobycie nieautoryzowanego dostępu do danych i systemów łączenie z przejęciem całego dostępu do nich co pozwala na manipulację danymi czy wykasowanie danych. Ataki na API często wykorzystuje się w celu uzyskania dostępu do danych prywatnych celem kradzieży tożsamości (phishing) potrzebnej do zakładania fałszywych kont bankowych i innych usług. Inne przestępstwa to ujawnienie danych wrażliwych lub osób korzystających z danych usług cyfrowych. API staje się także często ofiarą ataków typów DoS (Denial of Services) lub DDoS (Distributed Denial of Services), które powodują braki odpowiedzi API dla innych usług czy użytkowników poprzez ich przeciążenie.

Zobacz naszą ofertę doradczą dla aplikacji, systemów, platform SaaS, sklepów internetowych w zakresie jakości kodu, bezpieczeństwa i wydajności:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów
Opublikowane w

Metodyka rozwoju oprogramowania DevOps

Nazwa DevOps pochodzi od słów „development” czyli wytwarzanie oprogramowania i „operations” czyli operacje, eksploatacji systemów. Metodyka DevOps ma połączyć światy wytwarzania, testowania, wdrażania, administrowania i utrzymania, często inne, o innych celach i kompetencjach. Kładzie ona nacisk na komunikację pomiędzy działem utrzymania (administratorami systemów) oraz programistów i testerów oprogramowania.

Włączenie administratorów do rozwoju oprogramowania ma ewidentne zalety:

  • Pozwala na szybsze wdrażanie zmian „na produkcję” dzięki czemu biznes osiąga więcej korzyści np. częstsze wdrożenia zmian w platformie eCommerce (sklep internetowy) lub na platformie SaaS
  • Pozwala na lepsze wykorzystaniu posiadanych zasobów serwerowych i obniżeniu kosztów
  • Zwiększa wydajność i bezpieczeństwo systemów obniżając koszty utrzymania.

Metoda DevOps wykorzystuje szeroko zdalne narzędzia do komunikacji pomiędzy członkami zespołu jak wiki, wideokonferencje, czaty, itd. Dlatego bardzo dobrze sprawdza się w okresie pandemii wirusa corona Covid-19.

Metodyka i inżynierowie DevOps lubą pracować ze zwinnymi metodykami wytwarzania oprogramowania (Agile np. Scrum) czy z środowiskami chmurowymi (np. Microsoft Azure, Google GCP, Amazon AWS).

Metodyka DevOps pozwala na lepsze zarządzania cyklem życia aplikacji (oprogramowania), gdzie już w fazie planowania przewidujemy przyszłość i rozwój systemu w kolejnych latach.

Zobacz także:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów