Que doit comprendre le périmètre ?
Deux devis ne sont comparables que s’ils couvrent le même travail. Pour un test d’intrusion bancaire, énumérez les applications bancaires, les API de paiement et les accès privilégiés, et définissez également les rôles, les environnements et les opérations métier à tester. Précisez les preuves attendues, les actions interdites et si la demande inclut un nouveau test.
Associer les services à leurs dépendances
Une application de support peut devenir un point d’entrée vers des identifiants CI et une identité de paiement excessivement privilégiée. Un service de signature distinct peut toutefois empêcher le déblocage. Une évaluation utile explique chaque transition au lieu de conclure, à partir d’un seul hôte vulnérable, que l’ensemble de la banque a été compromis.
Répertoriez d’abord les services métier ou de soins, puis cartographiez les applications, les systèmes d’identité, les réseaux et les fournisseurs qui les prennent en charge. Consignez le responsable habilité à autoriser chaque composant. Le seul nombre de domaines ne permet de décrire ni les limites d’autorisation ni les conséquences opérationnelles.
Préparez les rôles et les données représentatives
Fournissez des identités dédiées, avec des rôles documentés et des autorisations attendues connues. Utilisez plusieurs locataires, clients ou unités organisationnelles lorsque les limites font partie de l’objectif. Étiquetez les objets leurres afin que les personnes chargées des tests et les responsables puissent les distinguer des enregistrements réels.
Sélectionnez les domaines d’évaluation
Vous testez une application destinée aux clients ? Commencez par le périmètre des tests d’intrusion des applications bancaires, qui couvre les versions mobiles, la banque en ligne, les dépendances aux API et des profils de clients représentatifs.
- Tests d’intrusion pour la banque numérique et les API : La titularité du compte, les pouvoirs délégués et l’état des transactions créent un modèle d’autorisation plus riche que la seule connexion. Les API alternatives, les exports et les fonctions de back-office doivent appliquer les mêmes règles métier.
- Tests des réseaux bancaires et des identités privilégiées : les exceptions de gestion, les artefacts de build et les rôles de service partagés peuvent relier des zones autrement séparées. Le résultat essentiel est le niveau d’autorité obtenu au terme d’un chemin, et non le seul nombre d’hôtes atteints.
- Tests des processus de paiement et des autorisations : Un contrôle de séparation des tâches peut sembler correct dans l’interface utilisateur alors qu’un principal de service peut appeler les deux opérations. L’audience du jeton, le périmètre de l’opération et la version de la transaction doivent rester liés à la politique métier.
Convenir des conditions de test
Utilisez des paiements préalimentés et des clients synthétiques avec le règlement désactivé. Convenez d’une autorité indépendante habilitée à arrêter les tests, du rapprochement des transactions, de responsables système nommément désignés et des autorisations pour les services tiers. Distinguez les modifications de brouillons démontrées des transferts de fonds non exécutés.
- Sources de test, destinations et interfaces autorisées désignées.
- Créneaux horaires, limites de débit et méthodes exclues approuvés.
- Consentement des tiers, contacts de contrôle et autorité habilitée à interrompre les tests.
- Responsabilités relatives à la gestion des éléments probants, au nettoyage, au reporting et aux tests de retest.
Rendre les changements visibles
Consignez les mises en production, les nouveaux parcours et les changements d’autorisations intervenus pendant le test. Si un parcours inattendu atteint un système situé hors du périmètre autorisé, suspendez le test et clarifiez le périmètre avec le décideur désigné. Mentionnez les dépendances non testées dans la déclaration finale de couverture.
Préparez un brief avant l’appel de cadrage
Décrivez l’opération bancaire à protéger et la limite que le test doit établir. Un périmètre utile distingue l’accès aux canaux, l’approbation des paiements et l’autorité permettant leur exécution effective.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion bancaires afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
