IT SELECT LAB

Penetration Testing ทดสอบเจาะระบบ โดยผู้เชี่ยวชาญตัวจริง

บริการทดสอบเจาะระบบ Web, API, Mobile และ Network & AD โดยทีมระดับ Senior มากประสบการณ์ พร้อมรายงานที่มีหลักฐานครบทุกข้อค้นพบ

ปรึกษา scope ทาง LINE นัดคุย 30 นาที

ทีมมีประสบการณ์ มากกว่า 10 ปี และใบรับรองระดับสากล OSCPOSWECISSPCISM ดูทีมและใบรับรอง

FINDING · SAMPLE-014 HIGH

ผู้ใช้สามารถเข้าถึงข้อมูลบัญชีของผู้ใช้อื่นผ่าน API Broken Object Level Authorization

CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
7.1High
อ้างอิง
CWE-639 API1:2023 WSTG-ATHZ-04
หลักฐาน
Request / Response 3 ภาพ
สถานะ
ตรวจซ้ำแล้ว · แก้ไขเรียบร้อย
ตัวอย่างรูปแบบรายงาน · ข้อมูลสมมติ p. 14 / 42

มาตรฐานและข้อกำหนดที่รายงานอ้างอิง

หน่วยงานกำกับ
ธปท.สกช. 5/2566
ก.ล.ต.สธ. 38/2565
PDPAพ.ศ. 2562
พ.ร.บ.ไซเบอร์พ.ศ. 2562
มาตรฐาน
ISO/IEC 27001:2022
NIST CSF2.0
OWASP ASVS4.0.3
CVSS3.1 / 4.0 (FIRST)

บริการ

เลือกระบบที่ต้องการทดสอบ

แยก scope ให้ชัดก่อนประเมินเวลาและงบประมาณ

เลือก Black / Grey / White Box
บริการอื่น: Red Team · IT Audit · ISO 27001

คำแนะนำแก้ไขช่องโหว่ได้จริง

  1. 01

    ขอบเขตชัดเจน

    ระบบไหน ช่วงเวลาไหน อะไรไม่ทดสอบ เขียนไว้ก่อนเริ่มงาน

    Scope เป็นลายลักษณ์อักษร
  2. 02

    มีหลักฐานทุกช่องโหว่

    มีขั้นตอนและ Request/Response จริง ทีม IT ทำตามแล้วเห็นผลเอง

    PoC · CVSS · CWE
  3. 03

    ตรวจซ้ำหลังแก้ไข

    บอกว่าใครต้องแก้อะไร และตรวจซ้ำเพื่อปิดงาน เงื่อนไขอยู่ในใบเสนอราคา

    Owner · Retest
เปิด Scope Questionnaire + Vendor Checklist

ระยะเวลาและเงื่อนไขบริการขึ้นกับ scope และใบเสนอราคาที่ตกลง ไม่ใช่เงื่อนไขเหมารวมทุกโครงการ

PENETRATION TEST REPORTCONFIDENTIAL · v1.0

รายงานผลการทดสอบเจาะระบบ — ระบบตัวอย่าง

1ขอบเขตและข้อจำกัด

ระบบ
app.example.co.th · api v2
ช่วงทดสอบ
UAT · 09:00–18:00
ไม่รวม
DoS, social engineering

2ข้อค้นพบ

ระดับ
HIGH · 7.1
อ้างอิง
CWE-639 · API1:2023
หลักฐาน
Req/Resp · 3 ภาพ

3แนวทางแก้ไขและการตรวจซ้ำ

รายการผู้รับผิดชอบRetest
ตรวจสิทธิ์ระดับ objectทีม APIยืนยันแล้ว
ตั้งค่า session timeoutทีม Webรอรอบถัดไป
ข้อมูลสมมติp. 14 / 42
โครงสร้างรายงานตัวอย่าง — เนื้อหาจริงขึ้นกับ scope ที่ตกลง

เตรียมหลักฐานสำหรับการตรวจสอบตามขอบเขตที่ตกลง

เลือกอ่านข้อกำหนดที่เกี่ยวข้องกับธุรกิจและระบบของคุณ การทำ Pentest ไม่ใช่การรับประกันผลพิจารณาของหน่วยงานกำกับหรือการรับรองมาตรฐาน

ธปท.IT Risk และ i-Pentest ก.ล.ต.ข้อกำหนดสำหรับธุรกิจที่อยู่ภายใต้การกำกับ PDPAมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล ISO 27001ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ

งานที่เกี่ยวกับ PCI DSS: เตรียมขอบเขตระบบข้อมูลบัตรและข้อกำหนดจากผู้รับผิดชอบ compliance เพื่อหารือก่อนเสนอราคา ไม่ใช้ข้อกำหนด ISO 27001 แทน PCI DSS

อ่านต่อก่อนตัดสินใจ

ทำความเข้าใจงานทดสอบและเตรียมคำถามให้ตรงกับระบบของคุณ

มีระบบที่จะทดสอบแล้ว?

ส่งคำอธิบายระบบแบบไม่เป็นความลับ พร้อมจำนวน role และกำหนดเวลา เพื่อเริ่มประเมิน scope

  • คำอธิบายระบบ
  • จำนวน role
  • กำหนดเวลา
คุยทาง LINE @itselectlab นัดคุยเรื่องขอบเขตงาน