Executive Summary
Al inicio del Report y con una extensión no superior a una página, es el resumen de alto nivel destinado a la Dirección.
Analizamos las Apps hasta el Servidor
Mobile Application Security Testing para apps iOS y Android
Mobile Application Security Testing (MAST)
El Mobile Application Security Testing es un servicio de seguridad aplicativa, Application Security Assessment, ofrecido por ISGroup para las plataformas iOS y Android, adaptado según el lenguaje de programación utilizado en el desarrollo de apps nativas (Objective-C, Swift, Java, Kotlin) o de apps desarrolladas con frameworks híbridos (como por ejemplo React, React Native, Cordova, Xamarin, Titanium Appcelerator, Ionic, PhoneGap).
Son muchas las empresas que han invertido en aplicaciones móviles, pero a menudo existe poca atención a la seguridad, ya que las vulnerabilidades y las posibilidades de ataque por parte de un usuario malintencionado son menos conocidas.
El equipo de ISGroup se mantiene constantemente actualizado sobre los últimos avances en Mobile Security, tanto desde el punto de vista del atacante como del desarrollador que debe proteger la aplicación, con el fin de ofrecer el mejor servicio de análisis posible a sus clientes.
Mediante el uso de técnicas manuales y herramientas avanzadas, el tester es capaz de realizar un análisis estático y en tiempo de ejecución de la aplicación, con el objetivo de eludir posibles limitaciones o lógicas de negocio implementadas.
Las aplicaciones móviles son por su naturaleza susceptibles también a vulnerabilidades de tipo cliente, relacionadas con la interacción de la aplicación con el sistema operativo y el dispositivo subyacente. Por ejemplo, la aplicación podría no comprobar si el teléfono o la tablet tiene jailbreak o root, o bien almacenar datos sensibles o importantes de forma insegura.
Por último, el auditor se ocupa de verificar las interacciones entre la aplicación y el servidor remoto, las cuales pueden estar sujetas a vulnerabilidades similares a las de las aplicaciones web (controles de autenticación y autorización, SQL Injection).
Descripción
Una actividad de Mobile Application Security Testing representa la simulación de un atacante frente a una aplicación descargable directamente desde las tiendas oficiales (AppStore y PlayStore) o distribuida de forma alternativa para uso interno.
El test puede realizarse en modalidad Grey Box o Black Box.
En el primer caso, el tester analiza el código de la aplicación que el cliente ha proporcionado, con el fin de identificar de forma exhaustiva las vulnerabilidades que podrían quedar ocultas por la ofuscación del código, para luego continuar con el análisis en tiempo de ejecución del lado cliente de la aplicación y de las interacciones con los servicios expuestos en el lado servidor.
En el caso del análisis de tipo Black Box, el tester se sitúa en la posición de un atacante que analiza la aplicación descargada desde la tienda, como un usuario normal.
Dado que el código de la aplicación cliente se encuentra en el dispositivo, el tester realiza un intento de ingeniería inversa con el fin de verificar la presencia y la robustez de las posibles contramedidas implementadas para prevenir el robo de propiedad intelectual, así como el conocimiento de posibles mecanismos de seguridad que, con esta modalidad, podrían ser eludidos.
A continuación se verifica la posibilidad de manipulación de la aplicación durante su ejecución y, finalmente, de forma manual y con el uso de herramientas, se prueban todos los parámetros identificados en las solicitudes intercambiadas entre cliente y servidor.
En función del tipo de aplicación y del nivel de acceso obtenido, se intentará modificar el flujo de la aplicación y manipular y aprovechar en beneficio propio los datos almacenados en local y en el servidor remoto.
El Informe
Recibirás un documento claro y detallado, dividido en tres áreas.
Vulnerability Details
La parte técnica que describe en detalle las vulnerabilidades encontradas y su impacto, dedicada al Security Manager.
Remediation Plan
Sección técnica con instrucciones precisas sobre cómo resolver los problemas identificados, dedicada a los desarrolladores.
Cuánto cuesta
Desde 5.000 € + IVA
Para una sola app. El precio aumenta con las plataformas que probar (iOS, Android), los roles y flujos de la app, las API y los servicios backend y la criticidad de los datos tratados.
Demuestra tu compromiso
Al finalizar el Mobile Application Security Testing recibes un documento firmado, en italiano e inglés, que indica la actividad, el periodo y el alcance. A diferencia del informe, no contiene vulnerabilidades ni detalles técnicos: puedes entregarlo a quien te lo pida sin exponerte. Está incluido en el servicio.
Certificado de ejecución
IT / EN
- Cliente
- Actividad
- Periodo
- Perímetro
ISGroup
Mobile Application Security Testing
y cumplimiento
PCI DSS
Identifica debilidades en software móvil que gestiona pagos o datos de tarjetas y apoya las prácticas de desarrollo seguro del requisito 6.2.4 PCI DSS.
NIS2
Evalúa la eficacia de las medidas de ciberseguridad en apps, datos locales y comunicaciones backend, según NIS2 art. 21.2.f.
DORA
Prueba apps móviles y servicios backend de servicios financieros y documenta los resultados para el programa previsto por DORA arts. 24-25.
RGPD
Examina apps, almacenamiento local y comunicaciones servidor que tratan datos personales y produce resultados técnicos como apoyo al RGPD art. 32.1.d.
ISO/IEC 27001
Identifica vulnerabilidades en la app, el almacenamiento y las interacciones backend y documenta correcciones como apoyo al control A.8.8 de ISO/IEC 27001:2022.
OWASP MASVS
Verifica almacenamiento, criptografía, autenticación, red, plataforma, código, resiliencia y privacidad respecto a los grupos de control OWASP MASVS.
Preguntas frecuentes sobre el
Mobile Application Security Testing
¿Qué es el Mobile Application Security Testing (MAST) y qué verifica?
El Mobile Application Security Testing simula a un atacante que apunta a una app iOS o Android, publicada en las tiendas o distribuida para uso interno. Los especialistas de ISGroup combinan verificaciones manuales y herramientas de apoyo para analizar el comportamiento de la app en el dispositivo, los datos que guarda localmente y sus comunicaciones con el servidor. Como referencias técnicas usamos OWASP MASVS y MASTG.
¿Cuál es la diferencia entre un test Black Box y Grey Box?
En el test Black Box el tester parte de la app descargada de la tienda, como haría cualquier usuario. En el test Grey Box el cliente proporciona el código fuente y, cuando se acuerda, documentación o credenciales: el análisis del código precede a las verificaciones en tiempo de ejecución del lado cliente y de las interacciones con los servicios del servidor.
¿Qué tenemos que proporcionar para iniciar el test?
Necesitamos la app que se va a analizar, a través de la tienda o de la distribución interna, y un alcance acordado, incluidas las plataformas y los servicios de backend implicados.
¿El MAST es un escaneo automático de la app?
No. El MAST es una actividad manual apoyada en herramientas e incluye la verificación de los falsos positivos. Un escaneo automático es un servicio distinto: si es lo que necesitas, consulta el escaneo Ostorlab para apps móviles.
¿El test cubre también las API y el backend que usa la app?
ISGroup analiza las peticiones intercambiadas entre la app y el servidor, donde pueden aparecer vulnerabilidades similares a las de las aplicaciones web, como fallos de autenticación o autorización y SQL Injection. Si también necesitas probar el portal u otras aplicaciones web relacionadas, valora un Web Application Penetration Test.
¿Qué recibo al final del Mobile Application Security Testing?
Recibes un informe en tres partes: un Executive Summary de una página para la dirección, los Vulnerability Details con vulnerabilidades e impacto para el Security Manager y un Remediation Plan con instrucciones de corrección para los desarrolladores. También se incluye el certificado de ejecución firmado, en italiano e inglés, que puedes compartir sin revelar vulnerabilidades.
¿Está incluido el retest de las vulnerabilidades?
El retest vuelve a comprobar las vulnerabilidades señaladas después de las correcciones de tu equipo e indica para cada una si está completamente resuelta, parcialmente resuelta, no resuelta o no se puede probar. Es opcional en proyectos de 5.000 € y está incluido en proyectos de mayor importe.
¿Cuánto cuesta un MAST?
Un Mobile Application Security Testing cuesta desde 5.000 € + IVA para una sola app. El precio aumenta con las plataformas que probar, los roles y flujos de la app, las API y los servicios backend y la criticidad de los datos tratados.
Da forma a tus prioridades de seguridad con una propuesta a medida