Was gehört zum Umfang?
Zwei Angebote sind nur dann vergleichbar, wenn sie dieselben Arbeiten umfassen. Führen Sie für einen Penetrationstest im Bankensektor Banking-Anwendungen, Zahlungs-APIs und privilegierte Zugriffe auf, legen Sie aber auch die zu testenden Rollen, Umgebungen und Geschäftsvorgänge fest. Geben Sie an, welche Nachweise Sie erwarten, welche Aktionen untersagt sind und ob ein Retest Teil der Anfrage ist.
Services den Abhängigkeiten zuordnen
Eine Supportanwendung kann zum Einstiegspunkt für CI-Zugangsdaten und eine überprivilegierte Zahlungsidentität werden. Ein separater Signaturdienst kann die Freigabe dennoch verhindern. Eine aussagekräftige Bewertung erläutert jeden Übergang, statt aus einem einzelnen verwundbaren Host abzuleiten, dass die gesamte Bank kompromittiert wurde.
Zuerst die Geschäfts- oder Versorgungsleistungen auflisten und anschließend die sie unterstützenden Anwendungen, Identitätssysteme, Netzwerke und Anbieter zuordnen. Dokumentieren, welcher Verantwortliche jede Komponente genehmigen kann. Eine reine Anzahl von Domains beschreibt weder die Berechtigungsgrenzen noch die betrieblichen Folgen.
Bereiten Sie Rollen und repräsentative Daten vor
Stellen Sie dedizierte Identitäten mit dokumentierten Rollen und bekannten, erwarteten Berechtigungen bereit. Verwenden Sie mehr als einen Mandanten, Kunden oder eine Organisationseinheit, wenn Abgrenzungen zum Prüfziel gehören. Kennzeichnen Sie Canary-Objekte, damit Prüfende und Verantwortliche sie von echten Datensätzen unterscheiden können.
Wählen Sie die Prüfbereiche aus
Testen Sie eine kundenorientierte App? Beginnen Sie mit dem Prüfungsumfang für Penetrationstests von Banking-Apps, der mobile Builds, Onlinebanking, API-Abhängigkeiten und repräsentative Kundenrollen umfasst.
- Penetrationstests für digitales Banking und APIs: Kontoinhaberschaft, delegierte Befugnisse und Transaktionsstatus ergeben ein komplexeres Berechtigungsmodell als die Anmeldung allein. Alternative APIs, Exporte und Backoffice-Funktionen müssen denselben Geschäftsregeln folgen.
- Tests von Banknetzwerken & privilegierten Identitäten: Management-Ausnahmen, Build-Artefakte und gemeinsam genutzte Dienstrollen können ansonsten getrennte Zonen verbinden. Entscheidend ist die am Ende eines Pfads erlangte Berechtigung, nicht nur die Anzahl erreichter Hosts.
- Tests von Zahlungsabläufen und Autorisierungen: Eine Funktion zur Funktionstrennung nach dem Vier-Augen-Prinzip kann in der Benutzeroberfläche korrekt erscheinen, während ein Dienstprinzipal beide Vorgänge aufrufen kann. Token-Zielgruppe, Vorgangsbereich und Transaktionsversion müssen an die Geschäftsrichtlinie gebunden bleiben.
Testbedingungen abstimmen
Verwenden Sie vorbereitete Zahlungen und synthetische Kunden bei deaktivierter Abwicklung. Vereinbaren Sie eine unabhängige Befugnis zum Stoppen, den Transaktionsabgleich, namentlich benannte Systemverantwortliche und Berechtigungen für Drittanbieter-Dienste. Trennen Sie nachgewiesene Änderungen an Entwürfen von nicht ausgeführten Geldtransfers.
- Benannte Testquellen, Zielsysteme und zulässige Schnittstellen.
- Genehmigte Zeitfenster, Ratenbegrenzungen und ausgeschlossene Methoden.
- Zustimmung Dritter, Ansprechpartner für die Steuerung und Befugnis zum Abbruch.
- Verantwortlichkeiten für den Umgang mit Nachweisen, die Bereinigung, die Berichterstattung und den Retest.
Änderungen nachvollziehbar machen
Dokumentieren Sie wesentliche Releases, neue Routen und Berechtigungsänderungen während des Tests. Führt ein unerwarteter Pfad zu einem System außerhalb des autorisierten Geltungsbereichs, unterbrechen Sie den Test und klären Sie den Umfang mit der benannten entscheidungsbefugten Person. Nehmen Sie nicht getestete Abhängigkeiten in die abschließende Abdeckungsdarstellung auf.
Bereiten Sie vor dem Scoping-Gespräch ein Briefing vor
Beschreiben Sie den Bankbetrieb, den Sie schützen müssen, und die Grenze, die der Test nachweisen soll. Ein aussagekräftiger Prüfauftrag unterscheidet zwischen Kanalzugriff, Zahlungsfreigabe und tatsächlicher Ausführungsbefugnis.
Verwenden Sie den kostenlosen Generator für Leistungsbeschreibungen von Bank-Penetrationstests, um Ziele, Prüfbereiche, Einschränkungen und NDA-Präferenzen festzuhalten. Prüfen Sie den vorgeschlagenen Umfang und senden Sie ihn anschließend direkt über das Kontaktformular an Atlant Security.
