Въздействие
Автоматизираните скенери за сигурност могат да идентифицират критични уязвимости като SQL инжектиране и междусайтови скриптове (XSS), но също така представляват риск от повреда на целевите системи поради техните нестандартни методи за взаимодействие [S1]. Неправилно конфигурираните сканирания могат да доведат до прекъсване на услугата, повреда на данните или нежелано поведение в уязвими среди [S1]. Въпреки че тези инструменти са жизненоважни за намиране на критични грешки и подобряване на състоянието на сигурността, използването им изисква внимателно управление, за да се избегне оперативно въздействие [S1].
Първопричина
Основният риск произтича от автоматизирания характер на инструментите DAST, които изследват приложения с полезни натоварвания, които могат да задействат крайни случаи в основната логика [S1]. Освен това, много уеб приложения не успяват да внедрят основни конфигурации за сигурност, като правилно защитени HTTP заглавки, които са от съществено значение за защитата срещу общи уеб базирани заплахи [S2]. Инструменти като Mozilla HTTP Observatory подчертават тези пропуски, като анализират съответствието с установените тенденции за сигурност и насоки [S2].
Възможности за откриване
Професионалните скенери и скенери от обществен клас се фокусират върху няколко категории уязвимости с голямо въздействие:
- Атаки с инжектиране: Откриване на инжектиране на SQL и XML External Entity (XXE) [S1].
- Манипулиране на заявка: Идентифициране на фалшификация на заявка от страна на сървъра (SSRF) и фалшификация на заявка между сайтове (CSRF) [S1].
- Контрол на достъпа: Проучването за обхождане на директория и други оторизации заобикалят [S1].
- Анализ на конфигурацията: Оценяване на HTTP заглавки и настройки за сигурност, за да се гарантира съответствие с най-добрите практики в индустрията [S2].
Конкретни поправки
- Упълномощаване за предварително сканиране: Уверете се, че всички автоматизирани тестове са разрешени от собственика на системата за управление на риска от потенциални щети [S1].
- Подготовка на средата: Архивирайте всички целеви системи, преди да започнете активно сканиране за уязвимости, за да осигурите възстановяване в случай на повреда [S1].
- Внедряване на хедъри: Използвайте инструменти като Mozilla HTTP Observatory, за да одитирате и внедрите липсващи хедъри за сигурност, като Политика за сигурност на съдържанието (CSP) и Сигурност на строгия транспорт (HSTS) [S2].
- Стандартни тестове: Провеждайте активни сканирания с висок интензитет в изолирани сценични или развойни среди, а не производствени, за да предотвратите оперативно въздействие [S1].
Как FixVibe го тества
FixVibe вече разделя пасивните проверки, безопасни за производството, от активните проби със съгласие. Пасивният модул headers.security-headers осигурява покритие на заглавката в стил Обсерватория, без да изпраща полезни товари. Проверките с по-голямо въздействие като active.sqli, active.ssti, active.blind-ssrf и свързаните сонди се изпълняват само след проверка на собствеността върху домейна и удостоверяване при стартиране на сканиране и използват ограничени неразрушителни полезни натоварвания с фалшиво-положителни предпазители.