Vaikutus
Automaattiset suojausskannerit voivat tunnistaa kriittisiä haavoittuvuuksia, kuten SQL-injektio ja Cross-Site Scripting (XSS), mutta ne aiheuttavat myös riskin vahingoittaa kohdejärjestelmiä niiden epästandardien vuorovaikutusmenetelmien [S1] vuoksi. Virheellisesti määritetyt tarkistukset voivat johtaa palveluhäiriöihin, tietojen vioittumiseen tai tahattomaan toimintaan haavoittuvissa ympäristöissä [S1]. Vaikka nämä työkalut ovat elintärkeitä kriittisten virheiden löytämisessä ja suojausasennon parantamisessa, niiden käyttö vaatii huolellista hallintaa, jotta vältytään toiminnallisilta vaikutuksilta [S1].
Perussyy
Ensisijainen riski johtuu DAST-työkalujen automatisoidusta luonteesta. Ne tutkivat sovelluksia hyötykuormilla, jotka voivat laukaista reunatapauksia taustalla olevassa logiikassa [S1]. Lisäksi monet verkkosovellukset eivät pysty toteuttamaan perussuojauskonfiguraatioita, kuten oikein kovetettuja HTTP-otsikoita, jotka ovat välttämättömiä yleisiltä verkkopohjaisilta uhilta suojautumiseen [S2]. Työkalut, kuten Mozilla HTTP Observatory, tuovat esiin nämä puutteet analysoimalla vakiintuneiden tietoturvatrendien ja -ohjeiden [S2] noudattamista.
Havaitsemisominaisuudet
Ammattimaiset ja yhteisötason skannerit keskittyvät useisiin erittäin vaikuttaviin haavoittuvuuskategorioihin:
- Injektiohyökkäykset: SQL-injektion ja XML External Entity (XXE) -lisäyksen havaitseminen [S1].
- Pyyntömanipulaatio: Palvelinpuolen pyyntöväärennöksen (SSRF) ja sivustojen välisen pyynnön väärentämisen (CSRF) tunnistaminen [S1].
- Pääsynvalvonta: Hakemiston läpikäynnin ja muiden valtuutusten tutkiminen ohittaa [S1].
- Määritysanalyysi: HTTP-otsikoiden ja suojausasetusten arviointi varmistaakseen alan parhaiden käytäntöjen noudattamisen [S2].
Betonikorjauksia
- Esitarkistus: Varmista, että järjestelmän omistaja on valtuuttanut kaikki automaattiset testaukset mahdollisten vaurioiden riskin hallitsemiseksi [S1].
- Ympäristövalmistelu: Varmuuskopioi kaikki kohdejärjestelmät ennen aktiivisten haavoittuvuustarkistuksia varmistaaksesi palautuksen, jos vika [S1].
- Otsikon käyttöönotto: Käytä työkaluja, kuten Mozilla HTTP Observatory, tarkastaaksesi ja toteuttaaksesi puuttuvat suojausotsikot, kuten sisällön suojauskäytäntö (CSP) ja Strict-Transport-Security (HSTS) [S2].
- Asennustestit: Suorita korkean intensiteetin aktiivisia skannauksia eristetyissä lavastus- tai kehitysympäristöissä tuotannon sijaan estääksesi toiminnalliset vaikutukset. [S1].
Kuinka FixVibe testaa sitä
FixVibe erottaa jo tuotantoturvalliset passiiviset tarkastukset suostumuksella varustetuista aktiivisista antureista. Passiivinen headers.security-headers-moduuli tarjoaa observatoriotyyppisen otsikkopeiton lähettämättä hyötykuormia. Vaikuttavammat tarkistukset, kuten active.sqli, active.ssti, active.blind-ssrf ja niihin liittyvät tarkastukset suoritetaan vasta verkkotunnuksen omistajuuden vahvistamisen ja skannausaloitustodistuksen jälkeen, ja ne käyttävät rajoitettuja tuhoamattomia hyötykuormia, joissa on väärennös-positiivi.