บริการ
บริการ
ทุกบริการทำภายใต้ขอบเขตและหนังสืออนุญาตที่ตกลงกันเป็นลายลักษณ์อักษร และเราจะเสนอเฉพาะวิธีทดสอบที่เหมาะกับระบบและความเสี่ยงของคุณจริง ๆ
- 01
ทดสอบเจาะระบบเว็บแอปพลิเคชัน
ทดสอบด้วยมือเป็นหลักตาม OWASP Web Security Testing Guide รวมถึงช่องโหว่ในตรรกะทางธุรกิจที่สแกนเนอร์หาไม่เจอ
- ทดสอบอะไร
- เว็บแอปพลิเคชันในขอบเขต ทั้งส่วนที่ต้องล็อกอินและไม่ต้อง ครอบคลุมกระบวนการทางธุรกิจหลัก การจัดการ session และการควบคุมสิทธิ์ทุกระดับ
- ทดสอบอย่างไร
- ทดสอบด้วยมือตาม OWASP WSTG ใช้เครื่องมือช่วยเฉพาะขั้นสำรวจ ส่วนตรรกะทางธุรกิจที่เครื่องมืออัตโนมัติมองไม่เห็น เราไล่ทดสอบเอง
- ได้อะไรกลับไป
- รายงานพร้อมหลักฐาน ขั้นตอนทำซ้ำ คะแนน CVSS วิธีแก้ไขที่เจาะจงกับระบบของคุณ และการทดสอบซ้ำหลังแก้
- คุ้มค่ากับธุรกิจอย่างไร
- ลดโอกาสข้อมูลรั่วจากแอปที่ลูกค้าและคู่ค้าใช้งานจริง และมีหลักฐานการทดสอบไว้ตอบผู้ตรวจสอบและข้อกำหนดในสัญญา
- การควบคุมสิทธิ์และการยกระดับสิทธิ์ทั้งแนวราบและแนวดิ่ง
- Injection, XSS, SSRF และ Deserialization
- ตรรกะทางธุรกิจและขั้นตอนที่ข้ามได้
- 02
ทดสอบความปลอดภัย API
ทดสอบ REST, GraphQL และ gRPC ตาม OWASP API Security Top 10 เน้นการควบคุมสิทธิ์ระดับ object และระดับ property
- ทดสอบอะไร
- API ในขอบเขต ทั้ง REST, GraphQL และ gRPC ครอบคลุมการยืนยันตัวตน การควบคุมสิทธิ์ระดับ object และ property และการจำกัดการใช้ทรัพยากร
- ทดสอบอย่างไร
- อ้างอิง OWASP API Security Top 10 ทดสอบจากมุมมองผู้ใช้หลาย role วิเคราะห์ schema และเอกสาร API แล้วดัดแปลง request ด้วยมือ
- ได้อะไรกลับไป
- รายงานแยกราย endpoint พร้อม request ตัวอย่างที่ทำซ้ำได้ ข้อมูลที่เสี่ยงรั่ว และคำแนะนำระดับการออกแบบเมื่อจำเป็น
- คุ้มค่ากับธุรกิจอย่างไร
- ปิดช่องทางเข้าถึงข้อมูลข้ามบัญชีและการใช้ API ในทางที่ผิด ซึ่งเป็นต้นเหตุอันดับต้น ๆ ของข้อมูลรั่วไหลในระบบยุคใหม่
- Broken Object Level และ Function Level Authorization
- การเปิดเผยข้อมูลเกินจำเป็นและ Mass Assignment
- Rate limiting และการใช้ทรัพยากรแบบไม่จำกัด
- 03
ทดสอบความปลอดภัยแอปมือถือ
ทดสอบแอป Android และ iOS ตาม OWASP MASVS และ MASTG ทั้งตัวแอป ช่องทางสื่อสาร และ backend ที่แอปเรียกใช้
- ทดสอบอะไร
- แอป Android และ iOS ในขอบเขต การเก็บข้อมูลในเครื่อง การสื่อสารกับ backend บริการที่แอปเรียกใช้ และการป้องกัน reverse engineering
- ทดสอบอย่างไร
- ทดสอบทั้ง static และ dynamic ตาม OWASP MASVS และ MASTG บนเครื่องจริงและ emulator พร้อมทดสอบ API ที่แอปเรียกใช้ไปด้วยกัน
- ได้อะไรกลับไป
- รายงานที่จับคู่ทุกข้อค้นพบกับข้อกำหนด MASVS พร้อมระดับความรุนแรง หลักฐาน และวิธีแก้ที่เหมาะกับแต่ละแพลตฟอร์ม
- คุ้มค่ากับธุรกิจอย่างไร
- ปกป้องข้อมูลผู้ใช้บนอุปกรณ์ที่คุณควบคุมไม่ได้ และมีหลักฐานไว้ตอบข้อกำหนดของ App Store, Play Store และผู้ตรวจสอบ
- การเก็บข้อมูลในเครื่องและการจัดการคีย์เข้ารหัส
- ความปลอดภัยของช่องทางสื่อสารและการตรวจสอบ certificate
- การทำงานร่วมกับแพลตฟอร์มและความทนทานต่อ reverse engineering
- 04
ทดสอบเจาะระบบเครือข่ายภายใน
จำลองผู้โจมตีที่หลุดเข้ามาในเครือข่ายได้แล้ว ดูว่าจะยกระดับสิทธิ์และเคลื่อนไปถึงระบบสำคัญได้อย่างไร
- ทดสอบอะไร
- เครือข่ายภายใน Active Directory เซิร์ฟเวอร์ เครื่องพนักงาน และบริการภายในที่อยู่ในขอบเขต จากมุมมองของคนที่เข้าถึงเครือข่ายได้แล้ว
- ทดสอบอย่างไร
- จำลองสถานการณ์ assumed breach ตั้งแต่สำรวจ ยกระดับสิทธิ์ ไปจนถึง lateral movement ภายใต้ Rules of Engagement ที่ตกลงกันอย่างเข้มงวด
- ได้อะไรกลับไป
- เส้นทางโจมตีที่พิสูจน์แล้วตั้งแต่จุดเริ่มต้นถึงเป้าหมาย จุดที่ควรตัดวงจรในแต่ละเส้นทาง และลำดับความสำคัญของการแก้ไข
- คุ้มค่ากับธุรกิจอย่างไร
- รู้ว่าถ้าผู้โจมตีหรือมัลแวร์ยึดเครื่องได้หนึ่งเครื่อง จะไปได้ไกลแค่ไหน และควรหยุดไว้ตรงไหนก่อนถึงระบบสำคัญ
- การยกระดับสิทธิ์และ lateral movement
- การตั้งค่า Active Directory และบริการภายในที่ไม่ปลอดภัย
- การแบ่งเครือข่ายและขอบเขตความเชื่อถือ
- 05
ทดสอบเจาะระบบจากภายนอก
ประเมินทุกอย่างที่องค์กรเปิดสู่อินเทอร์เน็ต จากมุมมองผู้โจมตีที่ยังไม่มีสิทธิ์อะไรเลย
- ทดสอบอะไร
- ทรัพย์สินที่เข้าถึงได้จากอินเทอร์เน็ตตามขอบเขต เช่น IP โดเมน บริการที่เปิดพอร์ต VPN และหน้าล็อกอินต่าง ๆ
- ทดสอบอย่างไร
- สำรวจ attack surface จากภายนอก ระบุบริการและการตั้งค่าที่ไม่ปลอดภัย แล้วยืนยันช่องโหว่ด้วยมือโดยไม่กระทบบริการที่ใช้งานอยู่
- ได้อะไรกลับไป
- แผนที่ attack surface ภายนอก รายการช่องโหว่ที่ยืนยันแล้วพร้อมหลักฐาน และคำแนะนำในการลดสิ่งที่เปิดเผยโดยไม่จำเป็น
- คุ้มค่ากับธุรกิจอย่างไร
- ตัดทางเข้าที่ผู้โจมตีจากภายนอกใช้ และเห็นภาพรวมที่เป็นปัจจุบันว่าองค์กรเปิดอะไรสู่อินเทอร์เน็ตบ้าง
- บริการที่เปิดสู่ภายนอกและการตั้งค่าที่ไม่ปลอดภัย
- หน้าล็อกอิน VPN และบริการ remote access
- ข้อมูลและบริการที่เปิดเผยเกินจำเป็น
- 06
ประเมินความปลอดภัยคลาวด์
ตรวจการตั้งค่าบัญชีคลาวด์ สิทธิ์ (IAM) และการแยกทรัพยากร เทียบกับแนวปฏิบัติของผู้ให้บริการแต่ละราย
- ทดสอบอะไร
- บัญชีและโปรเจกต์คลาวด์ในขอบเขต ครอบคลุม IAM ที่เก็บข้อมูล เครือข่ายเสมือน การเก็บ log และการแยกสภาพแวดล้อม
- ทดสอบอย่างไร
- ตรวจการตั้งค่าเทียบกับแนวปฏิบัติที่ผู้ให้บริการแต่ละรายเผยแพร่ ควบคู่กับการวิเคราะห์เส้นทางยกระดับสิทธิ์ด้วยมือ
- ได้อะไรกลับไป
- รายการตั้งค่าที่มีความเสี่ยงเรียงตามผลกระทบ เส้นทางยกระดับสิทธิ์ที่พบ และแนวทางแก้ไขระดับนโยบาย
- คุ้มค่ากับธุรกิจอย่างไร
- ปิดความเสี่ยงข้อมูลรั่วจากการตั้งค่าผิด ซึ่งเป็นสาเหตุอันดับหนึ่งของเหตุการณ์บนคลาวด์ และคุมค่าใช้จ่ายจากทรัพยากรที่ถูกนำไปใช้ในทางที่ผิด
- สิทธิ์ที่กว้างเกินจำเป็นและเส้นทางยกระดับสิทธิ์
- ที่เก็บข้อมูลและคีย์ที่เข้าถึงได้โดยไม่ตั้งใจ
- การเก็บ log การเฝ้าระวัง และการแยกสภาพแวดล้อม
- 07
ตรวจสอบความปลอดภัยของซอร์สโค้ด
อ่านโค้ดควบคู่กับการทดสอบจริง เพื่อหาต้นตอของช่องโหว่ ไม่ใช่แค่อาการที่แสดงออกมา
- ทดสอบอะไร
- ซอร์สโค้ดของแอปหรือส่วนประกอบในขอบเขต จุดรับ input การยืนยันตัวตน การจัดการ secret และการใช้ไลบรารีเข้ารหัส
- ทดสอบอย่างไร
- ผู้ทดสอบอ่านโค้ดเอง โดยใช้เครื่องมือ static analysis ช่วย และยืนยันด้วยการทดสอบจริงเมื่อทำได้ เพื่อไม่ให้ false positive หลุดไปในรายงาน
- ได้อะไรกลับไป
- ข้อค้นพบที่ชี้ตำแหน่งในโค้ด ระบุต้นเหตุ รูปแบบที่เกิดซ้ำ และตัวอย่างโค้ดที่แก้แล้วอย่างปลอดภัย
- คุ้มค่ากับธุรกิจอย่างไร
- แก้ที่ต้นเหตุแทนที่จะแก้ทีละอาการ ลดช่องโหว่แบบเดิมในอนาคต และยกระดับแนวทางเขียนโค้ดของทีม
- ไล่เส้นทางข้อมูลจาก input ที่ไม่น่าเชื่อถือไปจนถึงจุดเสี่ยง
- รูปแบบการเขียนโค้ดที่ทำให้เกิดบั๊กแบบเดิมซ้ำ ๆ
- การใช้ไลบรารีเข้ารหัสและการจัดการ secret
- 08
ยืนยันช่องโหว่ (Vulnerability Validation)
คัดกรองผลจากเครื่องมือสแกน ตัด false positive ออก และยืนยันเฉพาะรายการที่โจมตีได้จริง
- ทดสอบอะไร
- ผลจากเครื่องมือสแกนช่องโหว่ หรือรายงานจากผู้ให้บริการรายอื่นที่อยู่ในขอบเขต
- ทดสอบอย่างไร
- ทำซ้ำทีละรายการด้วยมือในระบบที่ได้รับอนุญาต ตัด false positive ออก และประเมินว่าโจมตีได้จริงแค่ไหนในสภาพแวดล้อมของคุณ
- ได้อะไรกลับไป
- รายการที่ยืนยันแล้วพร้อมหลักฐาน ระดับความรุนแรงที่ปรับตามบริบทจริง และรายการที่ตัดออกพร้อมเหตุผล
- คุ้มค่ากับธุรกิจอย่างไร
- ทีมของคุณได้ใช้เวลากับความเสี่ยงที่มีอยู่จริง แทนที่จะไล่ตามรายการนับพันจากเครื่องมือ
- ยืนยันว่าโจมตีได้จริงในระบบที่ได้รับอนุญาต
- จัดลำดับตามผลกระทบจริงต่อระบบของคุณ
- ทีมพัฒนาไม่ต้องเสียเวลากับ false positive
- 09
ให้คำปรึกษาการแก้ไขช่องโหว่
ทำงานร่วมกับทีมพัฒนาและทีมระบบของคุณ ออกแบบวิธีแก้ที่ใช้ได้จริงกับสถาปัตยกรรมที่มีอยู่
- ทดสอบอะไร
- ข้อค้นพบจากการทดสอบของเราหรือของผู้อื่น รวมถึงสถาปัตยกรรมส่วนที่เกี่ยวข้องกับการแก้ไข
- ทดสอบอย่างไร
- ประชุมร่วมกับทีมพัฒนาและทีมโครงสร้างพื้นฐาน ออกแบบวิธีแก้ให้เข้ากับระบบที่มี และรีวิวแนวทางร่วมกันก่อนลงมือ
- ได้อะไรกลับไป
- คำแนะนำเป็นลายลักษณ์อักษร ทางเลือกในการแก้พร้อมข้อดีข้อเสีย และเกณฑ์ที่ใช้ยืนยันว่าแก้สำเร็จแล้ว
- คุ้มค่ากับธุรกิจอย่างไร
- แก้ได้เร็วขึ้นและถูกตั้งแต่ครั้งแรก ลดรอบทดสอบซ้ำ และลดความเสี่ยงที่ค้างอยู่ระหว่างรอแก้
- อธิบายต้นเหตุพร้อมทางเลือกในการแก้
- รีวิววิธีแก้ที่ทีมของคุณเสนอ
- แนะนำมาตรการชั่วคราวเมื่อยังแก้ถาวรไม่ได้
- 10
ทดสอบซ้ำหลังแก้ไข (Retest)
ทดสอบซ้ำเฉพาะรายการที่แก้แล้ว เพื่อยืนยันว่าแก้ได้ผลจริงและไม่เปิดช่องโหว่ใหม่
- ทดสอบอะไร
- รายการข้อค้นพบจากรายงานฉบับก่อน ที่แจ้งว่าแก้ไขแล้ว
- ทดสอบอย่างไร
- ทดสอบซ้ำทีละรายการด้วยวิธีเดิมและวิธีใกล้เคียง เพื่อยืนยันว่าช่องโหว่ปิดสนิทและไม่มีช่องโหว่ใหม่เกิดขึ้นจากการแก้
- ได้อะไรกลับไป
- รายงานปิดงานที่ระบุสถานะทุกรายการ (แก้แล้ว แก้บางส่วน ยังไม่แก้) พร้อมหลักฐานชุดใหม่
- คุ้มค่ากับธุรกิจอย่างไร
- มีหลักฐานที่เชื่อถือได้ให้ผู้บริหาร ผู้ตรวจสอบ และคู่ค้า ว่าความเสี่ยงที่รายงานไว้ได้รับการจัดการแล้ว
- ยืนยันผลการแก้ทีละรายการพร้อมหลักฐาน
- ตรวจว่าการแก้ไม่ได้เปิด attack surface ใหม่
- รายงานปิดงานที่ใช้แนบเอกสารกำกับดูแลได้
ถ้างานของคุณไม่ตรงกับรายการด้านบนพอดี ติดต่อมาคุยเรื่องขอบเขตได้เลย และถ้างานไหนอยู่นอกความถนัดของเรา เราจะบอกตรง ๆ
ติดต่อเรา
เริ่มจากคุยกันก่อน
เล่าคร่าว ๆ ว่าระบบเป็นแบบไหน อยากให้ทดสอบอะไร แล้วเราจะเสนอขอบเขต ระยะเวลา และวิธีทดสอบที่เหมาะกลับไปให้
เราทดสอบเฉพาะระบบที่ได้รับอนุญาตเป็นลายลักษณ์อักษร และอยู่ในขอบเขตที่ตกลงกันไว้เท่านั้น