Mõju
Automaatsed turvaskannerid suudavad tuvastada kriitilisi haavatavusi, nagu SQL-i süstimine ja saidiülene skriptimine (XSS), kuid need kujutavad endast ka sihtsüsteemide kahjustamise ohtu nende mittestandardsete interaktsioonimeetodite [S1] tõttu. Valesti konfigureeritud skannimised võivad haavatavates keskkondades põhjustada teenuse häireid, andmete riknemist või tahtmatut käitumist [S1]. Kuigi need tööriistad on kriitiliste vigade leidmiseks ja turvaasendi parandamiseks üliolulised, nõuab nende kasutamine hoolikat haldamist, et vältida mõjusid töös [S1].
Algpõhjus
Peamine risk tuleneb DAST-i tööriistade automatiseeritud olemusest, mis uurib rakendusi kasulike koormustega, mis võivad käivitada servajuhtumeid aluseks olevas loogikas [S1]. Lisaks ei suuda paljud veebirakendused rakendada põhilisi turbekonfiguratsioone, nagu korralikult kõvastunud HTTP-päised, mis on hädavajalikud tavaliste veebipõhiste ohtude eest kaitsmiseks [S2]. Sellised tööriistad nagu Mozilla HTTP Observatoorium tõstavad need lüngad esile, analüüsides vastavust kehtestatud turbesuundadele ja juhistele [S2].
Tuvastamisvõimalused
Professionaalsed ja kogukonnatasemel skannerid keskenduvad mitmele suure mõjuga haavatavuse kategooriale:
- Sisestusrünnakud: SQL-i ja XML-i välise olemi (XXE) sisestamise tuvastamine [S1].
- Taotluse manipuleerimine: serveripoolse taotluse võltsimise (SSRF) ja saidiülese päringu võltsimise (CSRF) tuvastamine [S1].
- Juurdepääsukontroll: Kataloogi läbimise uurimine ja muud volitused mööduvad [S1].
- Konfiguratsioonianalüüs: HTTP-päiste ja turbesätete hindamine, et tagada vastavus valdkonna parimatele tavadele [S2].
Betooniparandused
- Skannimise-eelne autoriseerimine: veenduge, et kogu automatiseeritud testimine on süsteemi omaniku poolt volitatud, et hallata võimaliku kahjustuse riski [S1].
- Keskkonna ettevalmistamine: Varundage kõik sihtsüsteemid enne aktiivse haavatavuse kontrolli käivitamist, et tagada tõrke korral taastamine. [S1].
- Päise rakendamine: Kasutage tööriistu, nagu Mozilla HTTP Observatory, et kontrollida ja rakendada puuduvaid turbepäiseid, nagu sisuturbepoliitika (CSP) ja range transporditurvalisus (HSTS) [S2].
- Lavastustestid: viige läbi suure intensiivsusega aktiivseid skaneeringuid isoleeritud lavastus- või arenduskeskkondades, mitte tootmises, et vältida töömõjusid. [S1].
Kuidas FixVibe seda testib
FixVibe eraldab juba tootmiskindlad passiivsed kontrollid nõusolekuga aktiivsetest sondidest. Passiivne moodul headers.security-headers pakub observatooriumi stiilis päise katvust ilma kasulikke koormusi saatmata. Suurema mõjuga kontrollid, nagu active.sqli, active.ssti, active.blind-ssrf ja nendega seotud kontrollid, käivituvad alles pärast domeeni omandiõiguse kinnitamist ja skannimise alustamise tõendamist ning need kasutavad piiratud mittepurustavaid kasulikke koormusi koos valepositiivsusega.