OWASP MASVS
Objectifs des contrôles de sécurité pour le stockage mobile, la cryptographie, l’authentification, le réseau, la plateforme, le code et la résilience.
Tests d’intrusion
Tests d’intrusion d’applications mobiles
Une évaluation combinant des analyses statiques et dynamiques d'une version autorisée d'une application mobile et de ses interactions avec la plateforme de l'appareil et les services backend.
Périmètre de l’évaluation
Éléments testés
La couverture définitive des tests est convenue lors de la définition du périmètre et se limite aux systèmes pour lesquels une autorisation écrite a été fournie.
Stockage local et fuite de données
Authentification et gestion des sessions
Autorisations de la plateforme et communication entre processus
Sécurité du transport et validation des certificats
Contrôles de protection contre l’altération de l’application et de résilience
Autorisation d’accès aux API côté serveur
Déroulement de la mission
Un processus maîtrisé, de l’autorisation au test de vérification.
01
Périmètre et autorisation
Définissez les objectifs, les systèmes approuvés, les contraintes, les créneaux de test, les contacts et les règles d’engagement.
02
Découverte
Définissez la surface d’attaque autorisée, l’architecture, les rôles utilisateurs, les actifs et les critères d’évaluation applicables.
03
Tests maîtrisés
Évaluez le périmètre approuvé à l’aide de méthodes manuelles et techniques adaptées à l’environnement.
04
Validation
Confirmez les constats en toute sécurité, éliminez les faux positifs et établissez les impacts concrets sur les plans technique et métier.
05
Production de rapports
Recevez des constats étayés par des preuves, une évaluation des risques, une synthèse destinée à la direction et des priorités de remédiation.
06
Examen des mesures de remédiation
Examinez les actions correctives proposées et clarifiez les priorités de mise en œuvre avec l’équipe d’évaluation.
07
Nouveau test
Vérifiez les corrections convenues et consignez, pour chaque constat testé, si le problème a été résolu, atténué ou reste ouvert.
Références de l’évaluation
Normes et recommandations sectorielles
OWASP MASTG
Couverture pratique des tests pour les applications Android et iOS.
Recommandations du fournisseur concernant la plateforme
Exigences de sécurité Apple et Android applicables et comportement des plateformes.
Les normes guident la définition du périmètre et de la couverture des tests. Une évaluation ne constitue pas en elle-même une certification et ne garantit pas la conformité.
Production de rapports
Ce que vous recevez
Constats pour chaque plateforme
Éléments probants issus de l’analyse statique et dynamique
Actions de remédiation classées par niveau de risque
Rapport technique destiné aux développeurs
Nouveau test des contrôles corrigés
Définissez un périmètre de test adapté.
Discutez des systèmes, des objectifs, du niveau d’accès et des éléments probants requis avec DIGITPOL.