Eragina
Segurtasun-eskaner automatizatuek ahultasun larriak identifikatu ditzakete, hala nola SQL injekzioa eta Cross-Site Scripting (XSS), baina helburu-sistemak kaltetzeko arriskua ere badakarte beren interakzio-metodo ez-estandarrak [S1]. Gaizki konfiguratuta dauden miaketa-zerbitzuak eten ditzakete, datuak hondatzea edo nahi gabeko portaera eragin dezakete ingurune zaurgarrietan [S1]. Tresna hauek akats kritikoak aurkitzeko eta segurtasun-jarrera hobetzeko ezinbestekoak diren arren, erabilerak arretaz kudeatu behar du [S1] eragin operatiboa saihesteko.
Arrazoia
Arrisku nagusia DAST tresnen izaera automatizatutik dator, zeinak [S1] azpiko logikaren ertz-kasuak eragin ditzaketen karga erabilgarriak dituzten aplikazioak aztertzen dituztenak. Gainera, web-aplikazio askok ez dituzte oinarrizko segurtasun-konfigurazioak ezartzen, hala nola HTTP goiburuak behar bezala gogortuta, ezinbestekoak dira web-oinarritutako mehatxu arrunten aurka defendatzeko [S2]. Mozilla HTTP Behatokia bezalako tresnek hutsune hauek nabarmentzen dituzte, ezarritako segurtasun-joerak eta jarraibideak [S2] betetzen direla aztertuz.
Detektatzeko gaitasunak
Profesional eta komunitate-mailako eskanerrek eragin handiko ahultasun-kategoria ezberdinetan oinarritzen dira:
- Injekzio-erasoak: SQL injekzioa eta XML kanpoko entitatearen (XXE) injekzioa detektatzea [S1].
- Eskaeraren manipulazioa: Zerbitzariaren alboko eskaera faltsutzea (SSRF) eta guneen arteko eskaera faltsutzea (CSRF) [S1] identifikatzea.
- Sarbide-kontrola: Directory Traversal eta beste baimen batzuen azterketak [S1] saihesten ditu.
- Konfigurazio-analisia: HTTP goiburuak eta segurtasun-ezarpenak ebaluatzea, industriako jardunbide onenak betetzen direla ziurtatzeko [S2].
Konponketa konkretuak
- Eskaneatu aurretiko baimena: Ziurtatu proba automatizatu guztiak sistemaren jabeak baimenduta daudela [S1] kalte potentzial arriskua kudeatzeko.
- Ingurunearen prestaketa: Egin helburu-sistema guztien babeskopiak ahultasun-eskaera aktiboa hasi aurretik, hutsegite kasuan berreskuratzea ziurtatzeko [S1].
- Goiburuaren ezarpena: Erabili Mozilla HTTP Behatokia bezalako tresnak falta diren segurtasun goiburuak ikuskatzeko eta ezartzeko, hala nola Edukiaren Segurtasun Politika (CSP) eta Strict-Transport-Security (HSTS) [S2].
- Eszenatze-probak: Egin intentsitate handiko eskaneaketa aktiboak eszenatze- edo garapen-ingurune isolatuetan, ekoizpenean izan beharrean, eragin operatiboa saihesteko [S1].
FixVibe probak nola egiten dituen
FixVibe-k dagoeneko bereizten ditu produkziorako seguruak diren egiaztapen pasiboak baimenaren araberako zunda aktiboetatik. headers.security-headers modulu pasiboak Behatoki estiloko goiburuko estaldura eskaintzen du kargarik bidali gabe. Eragin handiagoko egiaztapenak, esate baterako, active.sqli, active.ssti, active.blind-ssrf eta erlazionatutako zundaketak domeinuaren jabetza egiaztatzen eta eskaneatu-hasieraren egiaztapenaren ondoren bakarrik egiten dira, eta mugatutako karga positibo ez-suntsitzaileak erabiltzen dituzte babesle faltsuekin.