Jak wzmocniliśmy fundamenty platformy Ekostrateg? Od audytu black-box do pełnej odporności systemu
Dla Atmoterm S.A. bezpieczeństwo danych to obietnica złożona klientom. Przeprowadziliśmy rygorystyczne testy penetracyjne aplikacji atmoterm360 metodą black-box, symulując realne ataki z zewnątrz. Dzięki naszej diagnozie i ścisłej współpracy z programistami klienta, wyeliminowaliśmy krytyczne podatności (m.in. Stored XSS), budując trwałą kulturę bezpieczeństwa bez ograniczania swobody działania wewnętrznego działu IT.
Bezpieczeństwo danych w służbie ekologii, czyli jak wzmocniliśmy fundamenty platformy Ekostrateg
W dobie cyfrowej transformacji zaufanie klientów buduje się nie tylko na funkcjonalności oprogramowania, ale przede wszystkim na gwarancji bezpieczeństwa ich danych. Właśnie przed takim wyzwaniem stanęła firma Atmoterm S.A., uznany dostawca rozwiązań doradczych i technologicznych w obszarze ochrony środowiska. Ich autorska platforma Ekostrateg, znana obecnie jako atmoterm360, stała się kluczowym narzędziem dla wielu przedsiębiorstw, co automatycznie postawiło ją na celowniku potencjalnych zagrożeń. Nasza współpraca nie była rutynową kontrolą pełną biurokratycznych zawiłości – stała się strategicznym działaniem mającym na celu potwierdzenie, że technologia, którą dostarcza Atmoterm, jest w pełni odporna na współczesne cyberzagrożenia.
Wyzwanie polegające na ochronie cyfrowego serca Atmoterm
Głównym zadaniem postawionym przed zespołem IT Develop było przeprowadzenie rygorystycznej weryfikacji odporności aplikacji webowej Ekostrateg. Jako system przetwarzający wrażliwe informacje i wspierający krytyczne procesy biznesowe w zakresie ochrony środowiska, platforma ta wymagała podejścia wykraczającego poza standardowe skanowanie podatności.
Klientowi zależało na uzyskaniu obiektywnego, zewnętrznego obrazu poziomu zabezpieczeń, który pozwoliłby zespołowi deweloperskiemu na precyzyjne wyeliminowanie ewentualnych luk. Sytuacja wymagała od nas wejścia w rolę potencjalnego napastnika, aby sprawdzić, czy bariery ochronne są tak szczelne, jak zakładano.
Metodyka black-box w służbie realistycznego ataku
Do realizacji tego zadania wybraliśmy metodę black-box, która najlepiej symuluje realny atak z zewnątrz, bez wcześniejszej znajomości kodu źródłowego czy architektury wewnętrznej systemu. Nasze działania oparliśmy na uznanej na całym świecie metodologii OWASP Top 10, co pozwoliło na systematyczne sprawdzenie aplikacji pod kątem najgroźniejszych i najczęściej wykorzystywanych klas podatności.
Takie podejście gwarantuje, że audyt jest głęboką analizą logiczną procesów zachodzących wewnątrz aplikacji, od formularzy e-usług po mechanizmy sesji i autoryzacji.
Precyzyjna diagnostyka i identyfikacja krytycznych podatności
Podczas prowadzonych testów nasz zespół zidentyfikował szereg istotnych luk, które mogłyby zostać wykorzystane przez nieuprawnione osoby. Kluczowym znaleziskiem była podatność typu Stored XSS w formularzach, która przy braku odpowiedniej reakcji mogłaby pozwolić na wstrzyknięcie złośliwego kodu bezpośrednio do bazy danych i jego późniejsze wykonanie w przeglądarkach innych użytkowników.
Dodatkowo wskazaliśmy na brak tokenów CSRF, co narażało sesje użytkowników na próby przejęcia, oraz błędy w konfiguracji serwera HTTP, które w przypadku wystąpienia awarii ujawniały zbyt szczegółowe informacje techniczne. Każda z tych luk została przez nas dokładnie opisana i oceniona w skali CVSS, aby nadać jej odpowiedni priorytet naprawczy.
Partnerstwo oparte na ewolucji i mierzalnych efektach
Nie ograniczyliśmy się jedynie do wskazania błędów – dostarczyliśmy kompleksowy plan naprawczy z konkretnymi rekomendacjami dla programistów. Najważniejszym wnioskiem z przeprowadzonej weryfikacji poprawek był fakt, że większość błędów zidentyfikowanych w poprzednich cyklach została skutecznie wyeliminowana.
To najlepszy dowód na to, że nasza współpraca przynosi trwałą zmianę w kulturze bezpieczeństwa firmy, a platforma atmoterm360 staje się z każdym rokiem coraz bezpieczniejszym środowiskiem dla biznesu. Dzięki naszym działaniom Atmoterm może dziś z pełną odpowiedzialnością gwarantować swoim klientom najwyższy poziom ochrony danych.
Zadbaj o bezpieczeństwo swojej infrastruktury już dziś
Jeśli zastanawiasz się, czy Twoje systemy są gotowe na starcie z realnym zagrożeniem, nie czekaj na pierwszy incydent. W IT Develop wierzymy, że stabilność biznesu zaczyna się od rzetelnej wiedzy o własnych słabościach i ich proaktywnym eliminowaniu. Zapraszamy do kontaktu, abyśmy mogli wspólnie przeanalizować Twoją sytuację i przygotować plan działania, który wzmocni Twój dział IT – bez sztucznych ograniczeń i ubezwłasnowalniania.