Pentest Mobile

Revise as metodologias de pentest Vatnco para aplicativos móveis.

O teste de invasão de aplicativos móveis é um processo no qual um testador usa ataques simulados para identificar possíveis vulnerabilidades de segurança em um aplicativo móvel.,

Seguimos uma metodologia padrão do setor baseada principalmente no Padrão de Verificação de Segurança de Aplicativos Móveis (MASVS) e no Guia de Teste (MASTG) da OWASP. Saiba mais sobre o OWASP Mobile Application Security (MAS).

O teste de invasão de um aplicativo móvel inclui as seguintes etapas:

• Reconhecimento de escopo alvo

• Testes automatizados e manuais

• Explorar vulnerabilidades descobertas

• Relatórios, triagem e novos testes

Os pentesters Vantico não precisam de acesso ao código-fonte do seu aplicativo, a menos que você o especifique como um requisito.

Observamos a lógica do aplicativo trabalhando com seu aplicativo. Para apoiar nossos pentesters, compartilhe os arquivos IPA (iOS) e/ou APK (Android) ao definir seus ativos. Você também pode compartilhar essas informações no canal privado do Slack para seu pentest.

Reconhecimento do Escopo Alvo

Com base no briefing do pentest preparado pelo cliente, os pentesters da Vantico buscam informações sobre os alvos e investigam o escopo. Essas informações incluem:

• Noções básicas sobre fluxos de trabalho

• Compreendendo a lógica de negócios

• Mapeando a superfície de ataque do aplicativo

Os pentesters então confirmam que podem:

• Alcançar e escanear os alvos

• Testar a funcionalidade do aplicativo

Testes automatizados e manuais

Nossos pentesters usam uma variedade de técnicas manuais e ferramentas automatizadas para garantir uma cobertura adequada. Eles analisam seu aplicativo móvel dinamicamente. Eles também avaliam o arquivo, bem como o arquivo local.

Nossos pentesters se concentram em:

• Canais de comunicação

• Tráfego que o aplicativo troca com endpoints externos

• Comunicação entre processos (IPC)

Nossos pentesters também podem fazer engenharia reversa do aplicativo para obter insights e tentar acessar dados confidenciais.

Para testes de backend, eles usam metodologias API Pentest.

Ferramentas:

Os pentesters Vantico podem usar ferramentas como:

• MobSF

• Frida

• Apktool

• Dex2Jar

• Objection

As ferramentas que nossos pentesters usam durante cada fase de teste podem variar de teste para teste.

Explorar vulnerabilidades descobertas

Quando nossos pentesters descobrem uma vulnerabilidade, eles usam diversas técnicas para medir o impacto nos seguintes aspectos dos seus dados:

• Confidencialidade

• Integridade

• Disponibilidade

Nossos pentesters usam diversas técnicas para explorar o armazenamento de dados, permissões de plataforma e outros controles de segurança relevantes.

Relatórios, triagem e novo teste

Os pentesters Vantico relatam e fazem a triagem de todas as vulnerabilidades durante a avaliação. Você pode revisar os detalhes de todas as descobertas, em tempo real, por meio da plataforma Vantico. Nessas descobertas, assim como em qualquer relatório, nossos pentesters incluem informações detalhadas sobre como você pode:

• Corrija cada descoberta

• Melhore sua postura geral de segurança

Você pode corrigir as descobertas durante e após o pentest. Em seguida, você pode enviar as descobertas para novo teste. Nossos pentesters testam os componentes atualizados e testam novamente os problemas para garantir que não haja riscos residuais relacionados à segurança.