کنترل دسترسی به داده
بررسی اینکه هر حساب فقط به داده و عملیات مجاز خود دسترسی داشته باشد؛ از API تا کد سمت سرور.
امن‌سازی پروژه وب
رفع آسیب‌پذیری API و کد؛ امن‌سازی ASP.NET Core و Next.js
گزارش امنیتی دارید یا ضعفی در API و کد پیدا کرده‌اید؟ ابتدا صحت مشکل، اثر آن و بخش‌های درگیر را بررسی می‌کنیم. سپس موارد توافق‌شده را در کد یا تنظیمات اصلاح می‌کنیم و نتیجه آزمون دوباره را همراه شرح تغییرات تحویل می‌دهیم.
اصلاح‌ها در محدوده توافق‌شده انجام می‌شوند. این خدمت جای ارزیابی رسمی، تست نفوذ بدون مجوز یا صدور گواهی امنیتی را نمی‌گیرد.
پاسخ کوتاه
رفع آسیب‌پذیری API و کد چه بخش‌هایی را پوشش می‌دهد؟
از گزارش موجود یا یک مشکل قابل بازسازی شروع می‌کنیم. ابتدا علت و بخش‌های درگیر مشخص می‌شوند؛ سپس برای اصلاح کد یا تنظیمات و آزمون دوباره برنامه می‌دهیم. در ASP.NET Core و Next.js، دامنه کار می‌تواند شامل ورود کاربران، سطح دسترسی، حفاظت از داده، ورودی‌ها و تنظیمات راه‌اندازی باشد.
ورود و نشست کاربران
بررسی جریان ورود، توکن، بازیابی حساب و کنترل نقش‌ها در بخش‌های توافق‌شده.
ورودی، فایل و تنظیمات
بررسی اعتبارسنجی داده، بارگذاری فایل، کلیدها و تنظیمات اجرا، متناسب با گزارش و محدوده اصلاح.
چه کمکی می‌کنیم؟
چه زمانی به این خدمت نیاز دارید؟
- گزارش ممیزی یا آزمایشگاه دارید، اما تیم برای تبدیل آن به کارهای اجرایی به کمک نیاز دارد.
- ضعف‌های احراز هویت، کنترل دسترسی، Server Action، API یا مدیریت Secrets در کد دیده شده‌اند.
- وابستگی‌های قدیمی یا پیکربندی استقرار، ریسک امنیتی ایجاد کرده‌اند.
- سامانه فعال است و اصلاح باید مرحله‌ای، کم‌ریسک و قابل بازگشت باشد.
- پس از تغییر می‌خواهید بدانید یافته واقعاً رفع شده است یا نه.
آنچه تحویل می‌گیرید
چه چیزی تحویل می‌گیرید؟
تحلیل یافته‌ها و تبدیل آن‌ها به برنامه اصلاح اولویت‌دار
اصلاح توافق‌شده در ASP.NET Core، Next.js، API، کنترل دسترسی یا پیکربندی
راستی‌آزمایی، گزارش تغییرات و انتقال دانش به تیم فنی
مراحل همکاری
از شروع همکاری تا تحویل
- 01
مرور یافته و دامنه
نتیجه این مرحله: اعتبار، شدت، اثر کسب‌وکار و اجزای درگیر هر مورد
- 02
طراحی اصلاح کم‌ریسک
نتیجه این مرحله: راه‌حل فنی، اثر جانبی، آزمون و برنامه انتشار
- 03
پیاده‌سازی و بازبینی
نتیجه این مرحله: تغییرات کد ASP.NET Core یا Next.js و پیکربندی با بازبینی و مستندات
- 04
آزمون و راستی‌آزمایی
نتیجه این مرحله: کنترل اینکه اصلاح، مسیر آسیب‌پذیری را پوشش داده است
- 05
تحویل و انتقال دانش
نتیجه این مرحله: گزارش تغییر، موارد باقیمانده و توصیه برای جلوگیری از تکرار
زمان و هزینه
زمان و هزینه چطور مشخص می‌شود؟
ابتدا نیازها و وضعیت پروژه را بررسی می‌کنیم؛ سپس زمان و هزینه را پیشنهاد می‌دهیم. این موارد در برآورد اثر دارند:
- تعداد و شدت یافته‌ها
- فناوری و کیفیت کد موجود
- وابستگی به سرویس‌های بیرونی
- حساسیت عملیات و داده
- نیاز به انتشار مرحله‌ای
- دامنه راستی‌آزمایی
- نیاز به مستندسازی و انتقال دانش
کاهش ریسک پروژه
از وضعیت کار باخبر می‌مانید
کارهای مورد توافق
پیش از شروع هر مرحله مشخص می‌کنیم چه چیزی باید تحویل شود.
تحویل کد و راهنماها
کد و اطلاعات لازم برای ادامه پروژه، بخشی از تحویل است.
مالکیت کد و دسترسی‌ها
مالک کد، سرویس‌ها و دسترسی‌ها در قرارداد مشخص می‌شود.
حفاظت از اطلاعات پروژه
برای حفاظت از اطلاعات حساس می‌توانیم قرارداد محرمانگی ببندیم.
تحویل مرحله‌به‌مرحله
پیش از پایان کل پروژه، نتیجه هر مرحله را می‌بینید.
پشتیبانی مشخص
نوع و مدت پشتیبانی پیش از تحویل نهایی روشن می‌شود.
پرسش‌های رایج
پرسش‌های شما درباره این خدمت
رفع آسیب‌پذیری API با تست نفوذ چه تفاوتی دارد؟
در رفع آسیب‌پذیری، روی اصلاح یک مشکل مشخص در کد یا تنظیمات و بررسی نتیجه آن کار می‌کنیم. تست نفوذ برای شناسایی و ارزیابی مسیرهای حمله در محدوده مجاز است. اگر هنوز گزارش یا مشکل مشخصی ندارید، ابتدا نوع بررسی و محدوده آن را با شما تعیین می‌کنیم.
گزارش امنیت داریم؛ آیا اصلاح کد و تست مجدد انجام می‌دهید؟
پس از بررسی اعتبار یافته و دسترسی مجاز به کد و محیط آزمون، برای اصلاح موارد توافق‌شده برنامه ارائه می‌شود. نتیجه هر مورد با معیار مشخص تست و وضعیت رفع‌شده یا باقیمانده مستند می‌شود.
رفع آسیب‌پذیری API چقدر هزینه دارد؟
تعداد و شدت یافته‌ها، کیفیت کد، وابستگی‌ها، حساسیت انتشار و دامنه تست مجدد بر هزینه اثر دارند. ابتدا شرح یا گزارش بررسی می‌شود؛ مبلغ ثابت یا زمان قطعی پیش از شناخت دامنه اعلام نمی‌شود.
آیا ابتدا ممیزی لازم است؟
اگر گزارش معتبر دارید، می‌توان از همان شروع کرد. اگر نه، ابتدا یک بررسی محدود برای تعیین دامنه و اعتبار موارد لازم است.
آیا فقط کد تغییر می‌کند؟
خیر. بعضی ریسک‌ها در پیکربندی، کنترل دسترسی، مدیریت Secrets، وابستگی‌ها یا شیوه استقرار هستند و اصلاح آن‌ها ممکن است خارج از کد باشد.
چطور مطمئن می‌شویم اصلاح اثر کرده است؟
برای هر مورد، معیار راستی‌آزمایی مشخص می‌کنیم و پس از تغییر، نتیجه آزمون و وضعیت نهایی آن را در گزارش ثبت می‌کنیم.
امن‌سازی ASP.NET Core شامل چه بخش‌هایی است؟
بسته به دامنه پروژه، Identity و احراز هویت، Policy و کنترل دسترسی، CSRF و CORS، اعتبارسنجی ورودی، Data Protection، Secrets، وابستگی‌ها، لاگ و پیکربندی Kestrel، IIS یا reverse proxy بررسی و اصلاح می‌شود.
در پروژه Next.js چه مواردی بررسی می‌شود؟
مرز کد سرور و کلاینت، Server Actions و Route Handlers، مجوز دسترسی به داده، کش، Middleware یا Proxy، redirect و rewrite، CSP، متغیرهای محیطی و نسخه‌های React و Next.js از نقاط اصلی بررسی هستند.
راهنماهای مرتبط برای تصمیم‌گیری
منابع و مراجع مرتبط
برای شروع اصلاح، وضعیت یافته را توضیح دهید
فرم با گزینه «امن‌سازی پروژه موجود» باز می‌شود. برای شروع، مشکل را بدون اطلاعات محرمانه توضیح دهید. درباره دریافت گزارش و دسترسی فنی بعداً هماهنگ می‌کنیم.
- فناوری سامانه و نوع یافته: کنترل دسترسی، ورود، تزریق، فایل یا پیکربندی.
- منبع یافته و وضعیت آن: گزارش ممیزی، بررسی داخلی یا خطای قابل بازسازی.
- اجزای تحت تأثیر، محیط آزمایش و محدودیت زمانی یا انتشار.
کلیدها، توکن‌ها و داده کاربران را در شرح عمومی درخواست قرار ندهید. اصلاح یک یافته، تضمین نبود تمام آسیب‌پذیری‌های سامانه نیست.
از توضیح نیازتان شروع کنیم
در گفت‌وگوی اول، نیاز و وضعیت پروژه را بررسی می‌کنیم. این گفت‌وگو تعهدی برای عقد قرارداد ایجاد نمی‌کند.