ہمیں یہ اعلان کرتے ہوئے بہت خوشی ہو رہی ہے کہ AhaSlides نے Viettel سائبر سیکیورٹی کے زیر انتظام گرے باکس پینٹسٹ کو مکمل کیا ہے۔ اس گہرائی سے حفاظتی امتحان نے ہمارے دو فلیگ شپ آن لائن پلیٹ فارمز کو نشانہ بنایا: پریزنٹر ایپ (presenter.ahaslides.com) اور سامعین ایپ (ناظرین.ahaslides.com).
20 دسمبر سے 27 دسمبر 2023 تک جاری رہنے والے سیکیورٹی ٹیسٹ میں سیکیورٹی کی مختلف کمزوریوں کی باریک بینی سے جانچ پڑتال شامل تھی۔ Viettel Cyber Security کی ٹیم نے گہرے غوطے کا تجزیہ کیا اور ہمارے سسٹم میں بہتری کے لیے کئی شعبوں کو نشان زد کیا۔
اہم نکات:
- ٹیسٹ کا دورانیہ: دسمبر 20-27، 2023
- دائرہ کار: مختلف ممکنہ حفاظتی کمزوریوں کا گہرائی سے تجزیہ
- نتیجہ: AhaSlides نے شناخت شدہ کمزوریوں کو دور کرنے کے بعد ٹیسٹ پاس کیا۔
- اثر: ہمارے صارفین کے لیے بہتر سیکورٹی اور قابل اعتماد
Viettel Security's Pentest کیا ہے؟
ایک Pentest، دخول ٹیسٹ کے لیے مختصر، بنیادی طور پر آپ کے سسٹم پر ایک فرضی سائبر اٹیک ہے جس سے فائدہ اٹھانے والے کیڑے نکالے جا سکتے ہیں۔ ویب ایپلیکیشنز کے تناظر میں، ایک Pentest ایک مکمل تشخیص ہے جو کسی ایپلیکیشن کے اندر حفاظتی خامیوں کی نشاندہی، تجزیہ اور رپورٹ کرتا ہے۔ اسے اپنے سسٹم کے دفاع کے لیے تناؤ کے ٹیسٹ کے طور پر سوچیں - یہ ظاہر کرتا ہے کہ ممکنہ خلاف ورزیاں کہاں ہو سکتی ہیں۔
Viettel Cyber Security میں تجربہ کار پیشہ ور افراد کی طرف سے منعقد کیا گیا، جو سائبر سیکیورٹی کے شعبے میں ایک اعلیٰ کتا ہے، یہ ٹیسٹ ان کے وسیع سیکیورٹی سروس سوٹ کا حصہ ہے۔ ہماری تشخیص میں استعمال ہونے والا گرے باکس ٹیسٹنگ طریقہ کار بلیک باکس اور وائٹ باکس ٹیسٹنگ دونوں کے پہلوؤں کو شامل کرتا ہے۔ ٹیسٹرز کے پاس ہمارے پلیٹ فارم کے اندرونی کاموں پر کچھ انٹیل ہوتا ہے، جو کسی ایسے ہیکر کے حملے کی نقل کرتا ہے جس کا سسٹم کے ساتھ کچھ پہلے سے تعامل ہوتا ہے۔
ہمارے ویب انفراسٹرکچر کے مختلف پہلوؤں کو منظم طریقے سے استعمال کرتے ہوئے، سرور کی غلط کنفیگریشنز اور کراس سائٹ اسکرپٹنگ سے لے کر ٹوٹی ہوئی تصدیق اور حساس ڈیٹا کی نمائش تک، Pentest ممکنہ خطرات کی حقیقت پسندانہ تصویر پیش کرتا ہے۔ یہ مکمل ہے، مختلف اٹیک ویکٹرز کو گھیرے ہوئے ہے، اور اسے ایک کنٹرول شدہ ماحول میں منعقد کیا جاتا ہے تاکہ اس بات کو یقینی بنایا جا سکے کہ اس میں شامل سسٹمز کو کوئی حقیقی نقصان نہ پہنچے۔
حتمی رپورٹ نہ صرف کمزوریوں کی نشاندہی کرتی ہے بلکہ شدت کے لحاظ سے ان کو ترجیح بھی دیتی ہے اور ان کو ٹھیک کرنے کے لیے سفارشات بھی شامل کرتی ہے۔ اس طرح کے جامع اور سخت امتحان میں کامیاب ہونا کسی تنظیم کی سائبرسیکیوریٹی کی مضبوطی کو واضح کرتا ہے اور ڈیجیٹل دور میں اعتماد کے لیے ایک بنیادی عمارت ہے۔
شناخت شدہ کمزوریوں اور اصلاحات
جانچ کے مرحلے کے دوران، کئی کمزوریاں پائی گئیں، جن میں کراس سائٹ اسکرپٹنگ (XSS) سے لے کر ٹوٹے ہوئے رسائی کنٹرول (BAC) کے مسائل شامل ہیں۔ مخصوص ہونے کے لیے، ٹیسٹ نے متعدد خصوصیات میں ذخیرہ شدہ XSS، پریزنٹیشن ڈیلیٹ کرنے کے فنکشن میں غیر محفوظ ڈائریکٹ آبجیکٹ ریفرینسز (IDOR) اور مختلف فنکشنلٹیز میں استحقاق بڑھنے جیسی کمزوریوں کا پتہ لگایا۔
AhaSlides ٹیک ٹیم، Viettel Cyber Security کے ساتھ مل کر کام کر رہی ہے، نے تمام شناخت شدہ مسائل کو حل کیا ہے۔. ان پٹ ڈیٹا فلٹرنگ، ڈیٹا آؤٹ پٹ انکوڈنگ، مناسب رسپانس ہیڈرز کا استعمال، اور ایک مضبوط مواد کی حفاظتی پالیسی (CSP) کو اپنانے جیسے اقدامات ہمارے دفاع کو تقویت دینے کے لیے لاگو کیے گئے ہیں۔
AhaSlides نے Viettel Security کے ذریعے داخلے کا امتحان کامیابی سے پاس کر لیا۔
پیش کنندہ اور سامعین دونوں ایپلی کیشنز نے Viettel Security کی طرف سے کئے گئے ایک جامع دخول ٹیسٹ کو کامیابی کے ساتھ پاس کیا ہے۔ یہ سخت تشخیص مضبوط حفاظتی طریقوں اور صارف کے ڈیٹا کے تحفظ کے لیے ہماری وابستگی کو واضح کرتا ہے۔
ٹیسٹ، جو دسمبر 2023 میں کیا گیا تھا، نے ایک گرے باکس طریقہ کار کو استعمال کیا، جس میں ایک حقیقی دنیا کے حملے کے منظر نامے کی تقلید کی گئی۔ Viettel کے سیکورٹی ماہرین نے کمزوریوں کے لیے ہمارے پلیٹ فارم کا بغور جائزہ لیا، بہتری کے لیے علاقوں کی نشاندہی کی۔
شناخت شدہ کمزوریوں کو AhaSlides انجینئرنگ ٹیم نے Viettel Security کے تعاون سے دور کیا۔ لاگو کیے گئے اقدامات میں ان پٹ ڈیٹا فلٹرنگ، آؤٹ پٹ ڈیٹا انکوڈنگ، ایک مضبوط مواد کی حفاظتی پالیسی (CSP)، اور پلیٹ فارم کو مزید مضبوط کرنے کے لیے مناسب جوابی ہیڈر شامل ہیں۔
AhaSlides نے ریئل ٹائم خطرے کا پتہ لگانے اور جواب دینے کے لیے جدید مانیٹرنگ ٹولز میں بھی سرمایہ کاری کی ہے۔ مزید برآں، سیکیورٹی کی خلاف ورزی کی صورت میں فوری اور موثر کارروائی کو یقینی بنانے کے لیے ہمارے واقعے کے ردعمل کے پروٹوکول کو بہتر بنایا گیا ہے۔
ایک محفوظ اور محفوظ پلیٹ فارم
صارفین کو یقین ہو سکتا ہے کہ ان کا ڈیٹا محفوظ ہے اور ان کے انٹرایکٹو تجربات محفوظ ہیں۔ سیکیورٹی کے جاری جائزوں اور مسلسل بہتری کے ساتھ، ہم اپنے صارفین کے لیے ایک قابل اعتماد اور محفوظ پلیٹ فارم بنانے کے لیے پرعزم ہیں۔
