Testy penetracyjne aplikacji mobilnych

(1 opinia klienta)

9999,00  + VAT

Testy penetracyjne aplikacji mobilnych iOS i Android zgodne z:

  • OWASP Mobile Top 10
  • OWASP Mobile Application Security Testing Guide (MSTG)
  • OWASP Mobile Application Security Verification Standard (MASVS).

Wykrywamy luki bezpieczeństwa i zabezpieczamy Twoją aplikację przed realnymi zagrożeniami. Więcej tutaj!

Przed zakupem prosimy o kontakt.

W celu otrzymania indywidualnej oferty, prosimy o kontakt za pośrednictwem formularza kontaktowego znajdującego się na dole strony lub bezpośrednio przez e-mail lub numer telefonu.

Chętnie odpowiemy na wszelkie pytania i dopasujemy zakres usługi do Twoich potrzeb.

Uzyskaj Wycenę
Kategoria:

Opis

Testy penetracyjne aplikacji mobilnych iOS / Android

Testy bezpieczeństwa aplikacji mobilnych zostaną przeprowadzone z wykorzystaniem podejścia dwutorowego – poprzez analizę statyczną kodu aplikacji oraz analizę dynamiczną działania aplikacji w kontrolowanym środowisku testowym. Weryfikacja aplikacji w zakresie wskazanej funkcjonalności zostanie wykonana zgodnie z wymaganiami standardów oraz wymagań:

  • OWASP Mobile Top 10
  • OWASP Mobile Application Security Testing Guide (MSTG)
  • OWASP Mobile Application Security Verification Standard (MASVS).

W trakcie testów zostaną przeanalizowane następujące obszary bezpieczeństwa aplikacji mobilnych:

  • Architektura aplikacji – ocena struktury, komponentów i ich interakcji,
  • Przechowywanie danych – identyfikacja wrażliwych danych zapisywanych lokalnie, ich ochrona i ewentualne narażenie,
  • Zastosowanie kryptografii – weryfikacja poprawności implementacji algorytmów szyfrowania, przechowywania kluczy i mechanizmów ochrony danych,
  • Mechanizmy uwierzytelniania i zarządzania sesją – ocena bezpieczeństwa procesu logowania, utrzymania sesji oraz odporności na ataki,
  • Komunikacja sieciowa aplikacji – analiza zabezpieczeń transmisji danych, takich jak TLS, weryfikacja certyfikatów, ochrona przed MITM,
  • Interakcja aplikacji ze środowiskiem mobilnym – badanie komunikacji z innymi aplikacjami, komponentami systemowymi i usługami urządzenia,
  • Konfiguracja aplikacji – analiza uprawnień, manifestów, ustawień builda oraz opcji debugowania,
  • Zabezpieczenia przed inżynierią wsteczną – weryfikacja odporności aplikacji na dekompilację, debugowanie oraz manipulacje w czasie rzeczywistym.

Testy będą obejmować zarówno manualną weryfikację poszczególnych klas podatności, jak i automatyczne skanowanie, przeprowadzane równolegle w celu uzyskania pełnego obrazu poziomu bezpieczeństwa aplikacji.

W trakcie testów zostaną wykorzystane specjalistyczne narzędzia, w tym:

  • Burp Suite Professional – do przechwytywania, analizy i modyfikacji ruchu sieciowego,
  • Frida – do dynamicznej instrumentacji i analizowania działania aplikacji,
  • Objection – do testów na zrootowanych/jailbreakowanych urządzeniach,
  • MobSF – Mobile Security Framework – do automatycznej analizy statycznej i dynamicznej,
  • Android Studio – jako środowisko do testów aplikacji Android,
  • Xcode – do analizy aplikacji iOS,
  • Dodatkowe narzędzia i skrypty dostępne w systemie Kali Linux, wykorzystywane w testach komunikacji, analizie API, debugowaniu i eksploracji kodu aplikacji.

Raportowanie

Po zakończeniu testów dostarczony zostanie szczegółowy raport zawierający:

  • Zidentyfikowane podatności, sklasyfikowane według poziomu istotności (Krytyczne, Wysokie, Średnie, Niskie oraz Informacyjne), co umożliwia szybkie zrozumienie priorytetów oraz zakresu ryzyk dla organizacji.
  • Szczegóły każdej podatności, obejmujące:
    • techniczny i biznesowy opis problemu,
    • przypisany poziom ryzyka zgodny z uznanymi standardami (np. CVSS),
    • możliwe skutki wykorzystania podatności przez osoby niepowołane,
    • kroki umożliwiające odtworzenie podatności – zrzuty ekranu, komendy, payloady, logi itp.,
    • przypisany identyfikator CWE, ułatwiający klasyfikację problemu w międzynarodowych rejestrach,
    • oraz odnośniki do źródeł zewnętrznych (np. OWASP, MITRE, CVE), które pozwalają na dalsze zgłębianie tematu lub weryfikację podatności.
  • Zalecenia dotyczące skutecznej mitygacji ryzyk, dopasowane do kontekstu organizacji i środowiska testowego – w tym wskazówki dotyczące konfiguracji, aktualizacji komponentów, zmian w logice aplikacji, ograniczeń dostępu czy wdrożenia mechanizmów detekcji i monitorowania.]

Uwagi końcowe

VIPentest Sp. z o.o. zastrzega sobie prawo do modyfikacji planu testów w zależności od bieżących potrzeb i ustaleń z klientem.


Kontakt

Uzyskaj wycenę! Chętnie udzielimy szczegółowych informacji!

Skontaktuj się z nami:

📧 Email: kontakt@vipentest.com
📞 Telefon: +48 735-380-170

    *Wyrażam zgodę na przetwarzanie moich danych osobowych przez firmę VIPentest Sp. z o.o. Więcej informacji o tym, jak chronimy powierzone nam dane osobowe i na jakiej podstawie je przetwarzamy znajduje się w Polityce Prywatności oraz RODO

    1 opinia dla Testy penetracyjne aplikacji mobilnych

    1. Krzysztof

      Po otrzymaniu bardzo konkurencyjnej oferty postanowiliśmy po raz pierwszy skorzystać z usług Vipentest przy testach bezpieczeństwa naszej aplikacji mobilnej (zarówno na iOS, jak i Androida). Mimo że początkowo podchodziliśmy do tego z pewną ostrożnością, efekt końcowy zdecydowanie nas pozytywnie zaskoczył.

      Zespół znalazł realne, istotne podatności, a cały proces przebiegł sprawnie – bez zbędnych formalności i z bardzo dobrą komunikacją. Raporty były konkretne, dobrze opisane i zawierały jasne instrukcje, co i jak należy poprawić. Widać, że wiedzą, co robią.

      Na pewno wrócimy z kolejnymi projektami – skuteczność, przejrzystość i profesjonalne podejście to coś, co zdecydowanie wyróżnia Vipentest na tle innych firm, z którymi mieliśmy wcześniej do czynienia.

    Dodaj opinię

    Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *

    FAQs

    1. W jaki sposób przekazać dostęp do środowiska testowego?

    Dostęp do środowiska testowego może być realizowany na różne sposoby, w zależności od rodzaju infrastruktury oraz charakteru przeprowadzanych testów penetracyjnych.

    Najczęściej stosowane metody to:

    • VPN – klient udostępnia dane dostępowe do swojego vpna, co pozwala testerom na uzyskanie wewnętrznego dostępu do infrastruktury

    • aplikacja zewnętrzna – w przypadku aplikacji dostępnej publicznie, klient przekazuje adresy url lub hosty, dokumentację oraz konta użytkowników

    • obraz iso – klient otrzymuje od nas gotowy obraz systemu linux w formacie .iso, który może być uruchomiony w sieci wewnętrznej jako punkt dostępowy vpn

    • RDP – klient może udostępnić zdalny dostęp do środowiska testowego (np. maszyny z systemem kali linux) poprzez protokół RDP.

    • TailScale – opcjonalne rozwiązanie umożliwiające szybkie zestawienie bezpiecznego połączenia z infrastrukturą klienta bez konieczności skomplikowanej konfiguracji

    Wybór odpowiedniej metody powinien zostać ustalony indywidualnie z naszym zespołem technicznym, tak aby zapewnić sprawne i bezpieczne przeprowadzenie testów. W razie pytań – jesteśmy do dyspozycji.

    2. Ile czasu trwa test penetracyjny?

    Czas trwania testu penetracyjnego zależy od wielu czynników, takich jak zakres projektu, złożoność środowiska oraz rodzaj wybranego testu. Poniżej przedstawiamy kluczowe elementy wpływające na długość realizacji:

    • zakres i skala projektu – większe i bardziej złożone środowiska wymagają więcej czasu

    • rodzaj testu – testy black-box zwykle trwają dłużej niż white-box lub grey-box ze względu na brak dostępu do informacji

    • głębokość analizy – testy podstawowe realizowane są szybciej niż pełne analizy bezpieczeństwa

    • liczba testowanych systemów – im więcej aplikacji, serwerów czy urządzeń, tym dłuższy czas testów

    • dostępność dokumentacji i osób kontaktowych po stronie klienta

    • poziom złożoności infrastruktury i zabezpieczeń

    Standardowy test penetracyjny trwa zazwyczaj od kilku dni do kilku tygodni. W przypadku mniejszych projektów czas realizacji wynosi zwykle 1–2 tygodnie. Bardziej rozbudowane testy w dużych środowiskach mogą trwać od 4 do 6 tygodni lub dłużej.

    3. Czym różnią się testy penetracyjne typu black-box, grey-box i white-box?

    Różnice między tymi typami testów wynikają z poziomu wiedzy i dostępu, jaki tester otrzymuje przed rozpoczęciem analizy. Każde z podejść ma inne zastosowanie i sprawdza się w różnych scenariuszach.

    • Black-box - Tester nie ma żadnej wiedzy o systemie. Działa jak zewnętrzny atakujący, bez dostępu do kodu, konfiguracji czy kont użytkowników. To podejście pozwala ocenić, jak system wygląda z zewnątrz i jak skutecznie chroni się przed nieautoryzowanym dostępem. Jego zaletą jest realistyczna symulacja ataku, natomiast ograniczeniem - brak wglądu w wewnętrzne warstwy aplikacji oraz brak możliwości wykrycia podatności, które wymagają określonego poziomu uprawnień, np. eskalacji z użytkownika do administratora.
    • Grey-box - Tester ma częściowy dostęp do informacji o systemie – np. dane logowania, dokumentację użytkownika lub uproszczoną architekturę. Łączy spojrzenie z zewnątrz z podstawową znajomością środowiska. Pozwala to na bardziej precyzyjne i efektywne testy, które mogą objąć zarówno elementy narażone na ataki zewnętrzne, jak i podatności wewnętrzne.
    • White-box - Tester ma pełen dostęp do środowiska, kodu źródłowego, dokumentacji technicznej oraz kont z uprawnieniami administracyjnymi. To podejście umożliwia najbardziej szczegółową ocenę bezpieczeństwa – idealne do przeglądu kodu, testowania zgodności z dobrymi praktykami oraz analizy wewnętrznych komponentów. Jego ograniczeniem jest to, że nie odzwierciedla realnego scenariusza ataku z zewnątrz.
    4. Jakie informacje są potrzebne do przeprowadzenia testów penetracyjnych?

    Aby zapewnić płynne i skuteczne przeprowadzenie testów bezpieczeństwa, konieczne jest dostarczenie odpowiednich informacji w zależności od rodzaju testu penetracyjnego. Poniżej przedstawiamy wymagania dla poszczególnych typów testów:

    1. Pentest Black-Box
      Pentest typu black-box zakłada brak wcześniejszej wiedzy testera na temat środowiska. Wymagane informacje to:

      • Adresy URL środowiska testowego i produkcyjnego aplikacji.

    1. Pentest Grey-Box
      W podejściu grey-box tester otrzymuje ograniczony dostęp i dane logowania. Wymagane informacje to:

      • Adresy URL środowiska testowego i produkcyjnego aplikacji

      • Dane logowania do kont testowych; preferowany jest superużytkownik. W przeciwnym razie wymagane są co najmniej dwa konta dla każdej roli użytkownika

      • Dokumentacja użytkownika oraz informacje kontekstowe dotyczące działania aplikacji

      • Lista funkcjonalności, linki oraz wykaz komponentów aplikacji

    1. Pentest White-Box
      Zakłada pełny dostęp do środowiska, kodu oraz dokumentacji. Wymagane informacje to:

      • Adresy URL środowiska testowego i produkcyjnego aplikacji

      • Dane logowania do kont testowych; preferowany jest superużytkownik. W przeciwnym razie wymagane są co najmniej dwa konta dla każdej roli użytkownika

      • Dostęp do środowiska testowego (np. przez SSH, RDP lub FTP) z minimalnymi uprawnieniami odczytu i zapisu (preferowane sudo rights)

      • Pełna dokumentacja aplikacji i architektury

      • Dostęp do kodu źródłowego aplikacji

      • Dostęp do API (jeśli jest w zakresie), np. kolekcja Postman zawierająca wszystkie zapytania

    5. Jak często należy przeprowadzać testy penetracyjne?

    Częstotliwość testów penetracyjnych zależy od wielu czynników, takich jak ryzyko, zmiany w systemie oraz wymagania branżowe. Oto ogólne wytyczne:

    • Minimum raz w roku – rekomendowane dla większości organizacji.

    • Co 6 miesięcy lub co kwartał – w branżach wysokiego ryzyka (np. finanse, medycyna).

    • Po większych aktualizacjach aplikacji – w celu wykrycia nowych podatności.

    • Po zmianach infrastruktury – np. migracja na nowy serwer lub do chmury.

    • Zgodnie z regulacjami branżowymi – np. PCI DSS, HIPAA, NIS2, DORA, ISO 27001.

    • Na podstawie oceny ryzyka – im większe ryzyko, tym częstsze testy.

    W celu dobrania odpowiedniej częstotliwości testów dla Twojej organizacji, skontaktuj się z naszym zespołem – pomożemy w analizie ryzyka i zaplanowaniu strategii bezpieczeństwa.

    6. Ile kosztują testy penetracyjne?

    Koszt testów penetracyjnych ustalany jest indywidualnie i zależy od wielu czynników, takich jak zakres usługi, złożoność środowiska, liczba testowanych systemów oraz wielkość organizacji.

    Cena za usługę rozpoczyna się od 9999 zł netto + VAT, jednak ostateczna wycena każdorazowo przygotowywana jest na podstawie szczegółowych informacji dotyczących testowanego środowiska.

    Przed zamówieniem testów penetracyjnych zachęcamy do kontaktu z naszym ekspertem, który pomoże określić odpowiedni zakres i przygotuje dedykowaną ofertę dopasowaną do potrzeb Twojej firmy.

    7. Jak przygotować środowisko do testów penetracyjnych?
    Aby testy penetracyjne przebiegły skutecznie i bez zakłóceń, należy odpowiednio przygotować środowisko testowe. Poniżej znajduje się lista kluczowych kroków:
    1. Przygotuj środowisko testowe
      Upewnij się, że środowisko zawiera aktualny kod oraz bieżące konfiguracje. Testy powinny być wykonywane najlepiej w środowisku preprodukcyjnym lub testowym. Jeśli środowisko nie jest wierną kopią produkcji, powinno przynajmniej zawierać odpowiednie dane testowe – umożliwi to pełną weryfikację funkcjonalności systemu.

    2. Zweryfikuj poprawność działania środowiska
      Sprawdź, czy wszystkie funkcje i komponenty aplikacji działają poprawnie i odpowiadają tym z wersji produkcyjnej. Przeprowadź dokładny przegląd systemu i poinformuj zespół testerów o wszelkich ograniczeniach lub nieaktywnych funkcjach.

    3. Utwórz kopie zapasowe
      Zadbaj o wykonanie pełnych backupów przed rozpoczęciem testów. W trakcie testów penetracyjnych dane mogą zostać zmodyfikowane lub usunięte, dlatego posiadanie aktualnych kopii zapasowych jest kluczowe.

    4. Poinformuj dostawcę usług hostingowych
      Skontaktuj się z dostawcą hostingu i poproś o dodanie adresów IP zespołu testującego do listy dozwolonych adresów w systemach IDS/IPS oraz w mechanizmach ograniczających ruch (rate limiting). Dzięki temu testy nie będą zakłócane przez systemy bezpieczeństwa. Szczegółowe informacje znajdziesz w sekcji FAQ.

    5. Dostarcz niezbędne informacje
      W zależności od wybranego rodzaju testu penetracyjnego (np. white-box, grey-box), może być wymagane przekazanie dodatkowych informacji, takich jak konta testowe, dokumentacja API czy schematy sieci. Więcej informacji na ten temat znajduje się w FAQ.

    6. Dostosuj ustawienia SMTP
      Jeśli środowisko testowe wysyła wiadomości e-mail, upewnij się, że konfiguracja SMTP nie prowadzi do wysyłania maili do rzeczywistych użytkowników. Zastosuj ograniczenia lub przekierowania, aby uniknąć niezamierzonego powiadamiania klientów w trakcie testów.

    8. Do kogo skierowane są usługi testów penetracyjnych?

    Nasze testy penetracyjne są skierowane do firm i instytucji, które priorytetowo traktują bezpieczeństwo systemów informatycznych oraz zgodność z obowiązującymi standardami i regulacjami. Współpracujemy z szerokim wachlarzem klientów, w tym z organizacjami działającymi w branżach:

    • Bankowość i Fintech

    • High-Tech

    • IoT (Internet of Things)

    • Gaming i Gambling

    • Branża medyczna

    • E-Commerce

    Szczególną uwagę poświęcamy branżom regulowanym, takim jak sektor finansowy, opieka zdrowotna czy energetyka, które muszą spełniać surowe normy bezpieczeństwa. Nasze testy penetracyjne wspierają te podmioty w realizacji wymagań takich jak:

    • HIPAA – ochrona danych medycznych,

    • PCI DSS – bezpieczeństwo danych kart płatniczych,

    • ISO 27001 – systemy zarządzania bezpieczeństwem informacji,

    • RODO (GDPR) – ochrona danych osobowych,

    • oraz inne krajowe i branżowe regulacje.