חברות וארגונים רבים מפתחים יישומים לסלולר. היישומים הללו אוגרים מידע רב ומתקשרים עם מערכות חיצוניות.
Mobile Penetration Test הוא סט של בדיקות שמתמקדות באיתור חולשות באפליקציות שפותחו עבור מכשירי Android ו-Apple.
מתודולוגית הבדיקה היא Mobile OWASP TOP 10, והיא כוללת בין היתר את בדיקת האפליקציה המותקנת במכשירי הקצה, בדיקות API, הזדהות, חולשות שמאפשרות דליפת מידע, לוגיקה עסקית, בדיקת אופן אחסון המידע במכשיר הקצה, אופן העברת המידע המאובטח ועוד.
למי מיועד Mobile Penetration Test?
- לחברות שמעוניינות לבדוק האם האקר יכול לבצע מגוון פעולות זדוניות אשר עלולות להוביל לפגיעה בתשתית או במשתמשי הקצה.
- לחברות שנדרשות להציג בפני הלקוחות אישור על ביצוע מבדק PT.
מהם היתרונות בביצוע Mobile Penetration Test?
- בחינה של המערכת על ידי מומחה בדיקות חוסן בתחום ה-Mobile וקבלת רשימה מסודרת של ממצאים והנחיות לטיפול בחולשות שיתגלו.
- עמידה בדרישות של לקוחות ורגולציה דוגמת: הגנת הפרטיות, GDPR, HIPAA.
- פיתוח ואבטחת מידע לא הולכים בהכרח יד ביד, לכן חשוב לוודא שהמערכות עומדת בסטנדרט מוכר ובינלאומי של אבטחת מידע.
מה יהיו הדגשים במבדק?
במסגרת הבדיקות ייבדקו כל הקטיגוריות הנדרשות בהתאם למתודולוגית OWASP.
- Improper Platform Usage.
- Insecure Data Storage.
- Insecure Communication.
- Insecure Authentication.
- Insufficient Cryptography.
- Insecure Authorization.
- Client Code Quality.
- Code Tampering.
- Reverse Engineering.
- Extraneous Functionality.
Mobile Penetration Test מחייב בודק עם למעלה מחמש שנות ניסיון. לניסיון יש השפעה מכרעת על כמות הממצאים ועל היכולת להעריך את חומרתם. אל תתפשרו בנושא, וודאו שמדובר ב Pentester שהוא עובד החברה, בעל הסמכות מוכרות ושיש מאחוריו ביטוח אחריות מקצועית.
