Hatás
Az automatizált biztonsági szkennerek azonosítani tudják a kritikus biztonsági réseket, például az SQL-injektálást és a Cross-Site Scriptinget (XSS), de a nem szabványos interakciós módszereik ([S1]) miatt a célrendszerek károsodásának kockázatát is hordozzák. A nem megfelelően konfigurált ellenőrzések szolgáltatáskimaradáshoz, adatsérüléshez vagy nem kívánt viselkedéshez vezethetnek sebezhető környezetekben [S1]. Bár ezek az eszközök létfontosságúak a kritikus hibák megtalálásához és a biztonsági helyzet javításához, használatuk gondos kezelést igényel a működési hatások elkerülése érdekében. [S1].
Kiváltó ok
Az elsődleges kockázat a DAST-eszközök automatizált jellegéből fakad, amelyek olyan hasznos terhelésekkel vizsgálják meg az alkalmazásokat, amelyek peremeseteket válthatnak ki a [S1] mögöttes logikában. Ezenkívül sok webalkalmazás nem valósítja meg az alapvető biztonsági konfigurációkat, például a megfelelően megerősített HTTP-fejléceket, amelyek elengedhetetlenek a gyakori webalapú fenyegetésekkel szembeni védekezéshez. [S2]. Az olyan eszközök, mint a Mozilla HTTP Observatory, kiemelik ezeket a hiányosságokat azáltal, hogy elemezték a bevett biztonsági trendeknek és irányelveknek való megfelelést ([S2]).
Észlelési képességek
A professzionális és közösségi szintű szkennerek több nagy hatású sebezhetőségi kategóriára összpontosítanak:
- Injekciós támadások: SQL-befecskendezés és XML külső entitás (XXE) injekció észlelése [S1].
- Kérelemmanipuláció: A kiszolgálóoldali kérelem-hamisítás (SSRF) és a helyek közötti kérés-hamisítás (CSRF) azonosítása: [S1].
- Hozzáférés-vezérlés: A címtárbejárás vizsgálata és az egyéb jogosultságok megkerülik a [S1] kódot.
- Konfigurációelemzés: HTTP-fejlécek és biztonsági beállítások értékelése az iparág legjobb gyakorlatainak való megfelelés biztosítása érdekében [S2].
Konkrét javítások
- Szkennelés előtti engedélyezés: Győződjön meg arról, hogy minden automatizált tesztelést a rendszer tulajdonosa engedélyez az esetleges károsodás kockázatának kezelése érdekében. [S1].
- Környezeti előkészítés: Az aktív sebezhetőségi vizsgálatok elindítása előtt készítsen biztonsági másolatot az összes célrendszerről, hogy hiba esetén a helyreállítás biztosítva legyen. [S1].
- Fejlécek megvalósítása: Használjon olyan eszközöket, mint a Mozilla HTTP Observatory a hiányzó biztonsági fejlécek, például a Content Security Policy (CSP) és a Strict-Transport-Security (HSTS) [S2] ellenőrzéséhez és megvalósításához.
- Átállási tesztek: A működési hatások elkerülése érdekében nagy intenzitású aktív szkenneléseket végezzen izolált előkészítési vagy fejlesztési környezetben, ne pedig gyártási környezetben.
Hogyan teszteli a FixVibe
A FixVibe már elválasztja a gyártásbiztonságos passzív ellenőrzéseket a hozzájárulással függő aktív szondáktól. A passzív headers.security-headers modul Obszervatórium-stílusú fejléclefedettséget biztosít hasznos terhek küldése nélkül. A nagyobb hatású ellenőrzések, mint például a active.sqli, active.ssti, active.blind-ssrf és a kapcsolódó vizsgálatok csak a domain tulajdonjogának ellenőrzése és a szkennelés-indítási tanúsítvány után futnak, és korlátos, roncsolásmentes, hamis pozitív terhelést használnak.