Penetrationstester i rätt tid förhindrade att Fintech-företag drabbades av driftstörningar

Utmaningen

Banken utvecklade en applikation för en ny marknad och behövde penetrationstest för att minska finansiella risker och anseenderisker.

• Finansbranschen är den sektor som utsätts för näst flest attacker. Den digitala karaktären hos fintech och neobanking ökar riskerna för cyberattacker.
• På den nya marknaden, där kundens rykte är särskilt svagt, blir behovet av säkerhet i toppklass avgörande.
• Expertpenetrationstestning var nödvändigt för att upprätthålla affärsintegriteten.

Kunden sökte en leverantör med erfarenhet av testning av finansiella applikationer och unik tillgång till hotinformation.

Målen för denna testning inkluderade:

• Identifiering av potentiella problem med applikationerna och de externa nätverken i deras nuvarande tillstånd.
• Bedömning av hur långt en angripare med specifika färdigheter och motivation kan ta sig in i systemet.

Lösningen

• För sin penetrationstestning valde kunden BlackBox-metoden för penetrationstestning.
• FS Groups team genomförde testerna i produktionsmiljön och simulerade en extern angripare utan förkunskaper om målinfrastrukturen.
• Processen för penetrationstestning bestod av följande steg:
  • Insamling av information från kunden
  • Förtydliga målen för testningen
  • Diskutera regler för engagemang
  • Genomföra en studie om målen
  • Genomföra automatiserade kontroller
  • Utföra manuella kontroller och analysera resultaten
  • Undersöka upptäckta sårbarheter för att fastställa exploateringsmetoder och utveckla attackprogramvara
  • Utarbeta en rapport och rekommendationer för att eliminera identifierade sårbarheter

FS-gruppen utförde bedömningen enligt best-in-class praxis som definieras av:

• ISECOM:s metodhandbok för säkerhetstestning av öppen källkod (OSSTMM)
• OWASP (Open Web Application Security Project)
• Vägledning för penetreringstest för PCI DSS-standarden

De tekniker som användes i projektet var:

1. Burp Suite community edition
2. Nessus
3. Immunity’s CANVAS
4. Acunetix Vulnerability Scanner
5. Netsparker Cloud Web Application Security Scanner
6. PMI
7. QWATCH
8. CrossLink
9. QSentry
10. FS Groups egenutvecklade verktyg

Resultat

• FS Group upptäckte 2 kritiska, 4 höga, 13 medelhöga och 10 lågrisk-sårbarheter.
• Den övergripande risknivån kategoriserades som hög.
• FS Group förhindrade en potentiell ekonomisk förlust på tiotals miljoner dollar genom att upptäcka de kritiska bristerna och bristerna med hög allvarlighetsgrad. Denna ekonomiska förlust skulle inkludera ryktesskada, regulatoriska böter och sanktioner, förlust av konsumenter och en hög sannolikhet för affärsstörningar och permanent stängning.
• Kunden försågs med en detaljerad rapport om pentestresultaten som består av följande:

• Sammanfattning av testresultaten och rangordning av problem efter risknivå
• Detaljerade resultat för den gemensamma omfattningen samt för Android- och iOS-applikationer separat
• Rekommendationer om hur varje sårbarhet kan minskas

Det lyckade resultatet i det här fallet var möjligt tack vare FS Groups tjänster för penetrationstestning och sårbarhetsskanning.