Namnge vad den får röra.
Du listar målen och väljer hur långt agenten får gå. Att läsa och kartlägga är alltid ofarligt. Allt som ändrar något körs bara där du tillåter det, och aldrig mot produktion om inte ditt scope uttryckligen säger det.
Säkerhetstest
Hitta hålen innan någon annan gör det.
Peka en säkerhetsagent på din applikation så loggar den in, kartlägger vad du verkligen exponerar, letar svagheter en klass i taget och försöker sedan utnyttja varje hål den hittar. Du får hålen som går att återskapa, med förfrågan som bevisar vart och ett och fixen som stänger det.
Hur det fungerar
Från scope till bekräftade, stängda fynd.
Ett riktigt test är metodiskt. Agenten arbetar sig genom fem faser i ordning, bevisar det den hittar och bevisar sedan att din fix fungerade.
Logga in, kartlägg, leta, bevisa, rapportera.
Varje fas är ett eget arbetsmoment med ett eget resultat, körda i ordning, så som en mänsklig testare arbetar sig genom en applikation. De fem står listade nedan.
Bara det som går att återskapa rapporteras.
En misstänkt svaghet är inte ett fynd. Agenten försöker utnyttja var och en, och registrerar den som bekräftad först när den går att återskapa. Det som inte kan bevisas står kvar som öppet i stället för att rapporteras som fakta.
Även den uppenbara varianten.
Efter din fix kör agenten om förfrågan som bevisade fyndet, och sedan minst en variant av den, eftersom en fix som blockerar exakt den förfrågan men missar varianten bredvid inte är en fix.
De fem faserna
Vad agenten faktiskt gör, i ordning.
Varje fas är ett eget arbetsmoment med ett eget resultat, och nästa startar från det den förra hittade.
Den loggar in först.
Ge testet ett testkonto så autentiserar den sig innan den börjar. De flesta verkliga svagheter sitter bakom inloggningen, så ett test som aldrig loggar in ser dem aldrig.
Den kartlägger vad du faktiskt exponerar.
Portar och tjänster, subdomäner, tekniken bakom sajten och de vägar som verkligen svarar. Med tillgång till källkoden läser den även dina beroendeversioner och route-filer, så kartan blir din verkliga angreppsyta, inte bara det startsidan länkar till.
Den letar klass för klass.
SQL-injektion, cross-site scripting, brister i behörighetskontroll, server-side request forgery, katalogtraversering, felkonfigurerad cross-origin, exponerade inloggningsuppgifter, saknade säkerhetsheaders. Specifika svagheter, eftersökta med avsikt, en klass i taget.
Den försöker bevisa var och en.
Varje misstänkt svaghet får ett exploateringsförsök. De som går att återskapa blir bekräftade fynd med exakt den förfrågan som bevisar dem. Med tillgång till källkoden pekar ett bekräftat fynd dessutom ut kodraden bakom.
Den skriver ihop det, och täckningen kontrolleras.
Varje fynd får en allvarlighetsgrad, beviset och en åtgärd. Testet räknas inte som klart förrän det har täckt de tolv sårbarhetsklasser plattformen kräver, så ett tyst test måste förtjäna tystnaden.
Vad du får
En pentest, inte en utskrift.
Black-box eller med din källkod
Black-box ser bara din publika adress, precis som en utomstående angripare. Hybrid läser även källkoden, så beteende och kod kontrolleras mot varandra och ett bekräftat fynd pekar ut fil och rad bredvid förfrågan som bevisade det.
Betyg agenten inte kan prata ner
Lämnad åt sitt eget omdöme sätter en agent betygen för lågt. En bekräftad SQL-injektion registreras aldrig under kritisk, en förbikoppling av autentiseringen aldrig under kritisk, åtkomst till en annan kunds data aldrig under hög. Nivåerna sätts av plattformen, inte av agenten.
Förfrågan som bevisar det
Varje fynd bär med sig förfrågan som utlöser det, så din utvecklare kan köra den och se samma resultat i stället för att ta rapporten på förtroende. Det som inte går att återskapa skrivs inte som fakta.
Originalförfrågan, plus en variant
Fixar verifieras genom att beviset körs om, och minst en variant av det. Fyndet kommer tillbaka antingen fixat eller fortfarande öppet, och inget stängs bara för att någon markerat det klart.
Bara målen du listar
Den testar det du namngav och inget annat, inga tredjepartstjänster, ingen vandring vidare till en granne. Ingen lösenordsknäckning och ingen massskanning, så ett säkerhetstest aldrig blir en incident i sig.
Tester körs på EU-infrastruktur
Kör på infrastruktur i Stockholm, baserad inom EU, med varje åtgärd loggad.
Hur det hänger ihop
Agenterna som bygger det kan testa det.
Säkerhet är inget separat team här. Samma flotta som skeppar ditt hostade projekt med kodningsagenter kan penetrationstesta det, navigerar koden via kodbaskartor, och körs på en plattform där varje test är avgränsat och loggat.
Frågor och svar
Raka svar.
Är det en sårbarhetsscanner?
Nej. En scanner avfyrar en fast checklista mot din adress och lämnar tillbaka en logg att reda ut själv. Det här loggar in, kartlägger vad du faktiskt exponerar, letar en svaghetsklass i taget och försöker sedan utnyttja varje misstanke, och rapporterar bara det som går att återskapa.
Kan den förstöra min applikation?
Att läsa och kartlägga är alltid ofarligt och alltid tillåtet. Allt som ändrar något, inloggningsförsök, injektion, förfrågningar som skriver, körs bara där du tillåter det, och aldrig mot produktion om inte ditt scope uttryckligen säger det. Den knäcker heller aldrig lösenord och massskannar aldrig.
Hur ser ett fynd faktiskt ut?
En rubrik, en allvarlighetsgrad, svaghetsklassen, den drabbade adressen, en beskrivning i klartext, förfrågan som återskapar det och en åtgärd. Ett reflekterat cross-site scripting-hål i en sökruta kommer till exempel tillbaka som hög allvarlighetsgrad, klass xss, med exakt den förfrågan som speglar payloaden och en åtgärd som pekar ut output-kodning och en content security policy.
Testar den bakom inloggningen?
Ja, det är första fasen. Ge testet ett testkonto så autentiserar den sig innan något annat, eftersom svagheterna som betyder något oftast bara går att nå som inloggad.
Hur vet jag att en fix verkligen fungerade?
Agenten testar om fyndet: originalförfrågan som bevisade det, och sedan minst en variant, eftersom fixar som blockerar den bokstavliga förfrågan men missar den uppenbara varianten är vanliga. Fyndet slutar antingen som fixat eller fortfarande öppet.
Kör ett pentest på din applikation.
Endast via inbjudan medan vi introducerar ett litet antal företag. Begär en inbjudan så hör vi av oss.