1282722690

PTER - metodyka testowania bezpieczeństwa aplikacji internetowych

celem nadrzędnym jest wykazanie poziomu uzasadnionego zaufania do aplikacji internetowej w wyniku przeprowadzonego procesu testowego oraz za pomocą udostępnionych narzędzi, w sposób przedstawiający wartość dla kadry zarządzającej i pozwalający na gromadzenie wykazanych podatności w celu późniejszego śledzenia postępów związanych z minimalizacją ryzyka.

Analizując dokładniej cel opracowania wytycznych jak przeprowadzać testy bezpieczeństwa aplikacji internetowych można powiedzieć, że kompleksowa metodyka powinna:

•    dostarczyć wiedzy, jak należy wykonać testy (w szczególności tzw. „ścieżki technicznej”), w jaki sposób przeprowadzać je skutecznie i miarodajnie, jak zmniejszać ich koszty (np. wykorzystując darmowe rozwiązania),

•    prowadzić do opracowania finalnego raportu w formie czytelnej, uwzględniającej zarówno wykazanie błędów wpływających na bezpieczeństwo aplikacji WWW, jak i potencjalnych możliwości ich wykorzystania w postaci scenariusza użycia oraz wskazania ewentualnych sposobów- eliminacji, bądź minimalizacji powstałych na ich skutek ryzyk,

•    pomagać w przezwyciężaniu problemów, które towarzyszą przedmiotowym testom (problemy te zostały dokładniej opisane w dalszej części tego punktu),

•    dostarczyć wskazówek w jaki sposób zbudować repozytorium testów, w którym będą przechowywane zarówno wyniki poszczególnych testów, jak i statusy realizacji związane z naprawą błędów (usuwaniem podatności), bądź minimalizacją ryzyka,

•    pobudzać świadomość związaną z testami bezpieczeństwa u zainteresowanych stron.

Problemy związane z realizacją testów bezpieczeństwa aplikacji internetowych mogą być spowodowane między innymi brakiem:

•    zrozumienia istoty takich testów,

•    odpowiedniej wiedzy merytorycznej związanej z ich wykonaniem,

•    wystarczającej ilości czasu lub odpowiednich zasobów (finansowych oraz osobowych),

•    priorytetyzacji wykrytych błędów i niezrozumiałym ich omówieniem skierowanym do strony testowanej,

•    możliwości śledzenia postępów związanych z naprawą błędów, bądź zmniejszeniem ryzyka ich wystąpienia.

37

Pr/egląd T eleinformatyczny. 1-2/2014