BlogBeveiliging
Waarom securityscans fouten in bedrijfslogica missen
Lees waarom automatische securityscans fouten in bedrijfslogica kunnen missen en hoe tests op maat belangrijke processen beschermen.
Een securityscanner kan bekende technische zwaktes vinden, maar kent niet automatisch alle regels die een bedrijfsproces veilig maken. Een betaalproces kan ongeldige invoer weigeren en toch toestaan dat een korting twee keer wordt toegepast. Om de workflow te testen moet je weten wat hoort te gebeuren, wie de actie mag uitvoeren en in welke volgorde.
Wat is een fout in bedrijfslogica?
Bedrijfslogica bepaalt bijvoorbeeld wie een aanvraag mag goedkeuren, wanneer een bestelling mag worden terugbetaald en bij welk account een document hoort. Een fout ontstaat wanneer iemand legitieme functies op een onbedoelde manier kan combineren. Losse verzoeken kunnen geldig lijken terwijl het gezamenlijke resultaat een bedrijfsregel schendt.
Stel dat een terugbetaling de bestelstatus alleen bij het begin controleert. Twee gelijktijdige verzoeken kunnen dan mogelijk allebei slagen. Of dat werkelijk kan, hangt af van de implementatie en vraagt om een gerichte test.
Wat test je naast een scan?
Kies een belangrijk proces en beschrijf de verwachte uitkomsten. Test zowel het normale pad als het overslaan, herhalen en wijzigen van de volgorde van stappen. Controleer rechten per rol, waarden die de server berekent en acties die later worden uitgevoerd. Test bij acties die maar één keer mogen plaatsvinden ook gelijktijdige verzoeken in een gecontroleerde omgeving.
Gebruik aparte testaccounts en synthetische gegevens. Leg verwachte en werkelijke resultaten vast, zodat ontwikkelaars een probleem kunnen reproduceren en oplossen. Test de oplossing opnieuw en controleer of legitieme gebruikers hun taak nog kunnen uitvoeren. De OWASP-handleiding voor businesslogictests beschrijft deze testgebieden.
Waar tests op maat helpen
Generieke tools blijven nuttig voor bekende kwetsbaarheidspatronen. Tests op maat voegen de context van jouw rollen, code en bedrijfsregels toe. PolderLabs kan samen met je team risicovolle processen bepalen en controles bouwen die passen bij de bestaande applicatie en ontwikkelwerkwijze. Bekijk onze dienst security op maat.
