OWASP MASVS
Doelstellingen voor beveiligingsmaatregelen voor mobiele opslag, cryptografie, authenticatie, netwerken, platforms, code en weerbaarheid.
Penetratietesten
Penetratietests voor mobiele applicaties
Een gecombineerde statische en dynamische beoordeling van een geautoriseerde build van een mobiele applicatie en de interacties daarvan met het apparaatplatform en de backenddiensten.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Lokale gegevensopslag en gegevenslekken
Authenticatie en sessiebeheer
Platformmachtigingen en communicatie tussen processen
Transportbeveiliging en certificaatvalidatie
Beheersmaatregelen tegen applicatiemanipulatie en voor weerbaarheid
Autorisatie voor de backend-API
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
OWASP MASTG
Praktische testdekking voor Android- en iOS-applicaties.
Platformrichtlijnen van de leverancier
Relevante beveiligingsvereisten en platformgedrag van Apple en Android.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Bevindingen per platform
Bewijsmateriaal uit statische en dynamische beoordeling
Herstelacties gerangschikt naar risico
Technisch rapport voor ontwikkelaars
Hertest van gecorrigeerde beheersmaatregelen
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.