I: Test varnosti custom skripte

Ne vem kam naj tole točno vtaknem ampak mogoče se najde kdo ali pa ve kam se naj obrnem. Iščem firmo, posameznika, ki bi stestiral varnost ene naše custom aplikacije. Se pravi nadzorovan poskus vdora (firewall spuščen za določen IP, ki bi to izvajal, SSL vklopljen ) in analiza kode, ter na koncu poročilo kaj in kje je treba popravit, izboljšat...

Tiste osnovne vdore znamo sami izvest in pokrpat luknje. Iščem načeloma nekoga, ki ste stem ukvarja malo bolj profi.

Obstajajo podjetja, je pa vprašanje če niso na previsokem nivoju: http://www.viris.si/

Vprasanje, ce boste dobili boljsi rezultat kot s kaksno avtomatiko. Jaz sem uporabljal http://www.acunetix.com/, ampak bolj za serverje in omrezje kot aplikacije ...

Sam izvajam penetracijske teste že več let (ni enako varnostni pregled!). Avtomatiko se uporabi na začetku, da ti da neke osnovne smernice o aplikaciji, v nadaljevanju pa se je potrebno zakopati v aplikacijo pa jo predelat vse povprek. Lahko se slišiva, da predstaviš podrobno za kaj se gre.

Uporabljam netsparker. Imaš tudi free verzijo https://www.netsparker.com/communityedition/. Se pa avtomatika uporablja le za hitro "skeniranje žrtve" in iskanje bolj očitnih lukenj. Vse ostalo gre potem ročno. Ti pa tudi avtomatika ne bo kaj dosti pomagala, če je ne znaš brat.

Drugače je dečko z imenom Edi Strosar kar dober na tem. Nimam kontakta, je pa pisal za revijo Monitor.

Imam izkušnje z Viris, sem sodeloval s podjetjem, kjer so delali penetracijski test. Mnja, saj avtomatika je OK, ampak čisto vsega se tudi ne da avtomatizirat.

Mislim da je @gasper_k (na twitterju) tudi vešč teh stvari. Se spomnim, da je enkrat na eni PHP konferenci imel predavanje o varnosti.

Hvala za predloge, vem kje tipat. Avtomatika kaže, da je tip top samo še vedno ni to to. Zadnje čase imam tudi čedalje več strank, ki sprašujejo po tej tematiki in je lažje, če jih lahko na nekoga usmerim + pri nas se skos nekaj dogaja z razno raznimi moduli in aplikacijami in bi rad dodal še en security check pred objavami.

@hackTheDay lahko poveš kaj več, ker ZS verjetno ne boš še mogel pošiljat? Oprosti. Nov uporabnik, prva objava... sej, če si v svetu IT varnosti razumeš draw back.