Áhrif
Sjálfvirkir öryggisskannanir geta greint mikilvæga veikleika eins og SQL innspýtingu og kross-síðuforskriftir (XSS), en þeir hafa einnig í för með sér hættu á að skemma markkerfi vegna óstaðlaðra samskiptaaðferða [S1]. Óviðeigandi stillingar skannar geta leitt til þjónustutruflana, gagnaspillingar eða óviljandi hegðunar í viðkvæmu umhverfi [S1]. Þó að þessi verkfæri séu mikilvæg til að finna mikilvægar villur og bæta öryggisstöðu, krefst notkun þeirra nákvæmrar stjórnun til að forðast rekstraráhrif [S1].
Orsök
Aðaláhættan stafar af sjálfvirku eðli DAST verkfæra, sem rannsaka forrit með hleðslu sem geta kallað fram jaðartilvik í undirliggjandi rökfræði [S1]. Ennfremur tekst mörgum vefforritum ekki að innleiða grunnöryggisstillingar, svo sem rétt herða HTTP hausa, sem eru nauðsynlegir til að verjast algengum veftengdum ógnum [S2]. Verkfæri eins og Mozilla HTTP Observatory varpa ljósi á þessar eyður með því að greina samræmi við staðfesta öryggisþróun og leiðbeiningar [S2].
Uppgötvunargeta
Faglegir og samfélagslegir skannar leggja áherslu á nokkra veikleikaflokka sem hafa mikil áhrif:
- Indælingarárásir: Uppgötvun SQL innspýtingar og XML External Entity (XXE) innspýtingar [S1].
- Beiðnafölsun: Að auðkenna fölsun beiðnir á netþjóni (SSRF) og beiðnafölsun yfir vefsvæði (CSRF) [S1].
- Aðgangsstýring: Leitað er að skráaflutningi og annarri heimild framhjá [S1].
- Stillingargreining: Metið HTTP hausa og öryggisstillingar til að tryggja samræmi við bestu starfsvenjur iðnaðarins [S2].
Steinsteypa lagfæringar
- Fyrirskannaheimild: Gakktu úr skugga um að allar sjálfvirkar prófanir séu heimilaðar af eiganda kerfisins til að stjórna hættunni á hugsanlegum skemmdum [S1].
- Umhverfisundirbúningur: Taktu öryggisafrit af öllum markkerfum áður en þú byrjar virka varnarleysisskönnun til að tryggja endurheimt ef bilun verður [S1].
- Höfuðútfærsla: Notaðu verkfæri eins og Mozilla HTTP Observatory til að endurskoða og innleiða öryggishausa sem vantar eins og Content Security Policy (CSP) og Strict-Transport-Security (HSTS) [S2].
- Stöðvunarpróf: Framkvæmdu virkar skannar með miklum styrkleika í einangruðu sviðsetningar- eða þróunarumhverfi frekar en framleiðslu til að koma í veg fyrir rekstraráhrif [S1].
Hvernig FixVibe prófar það
FixVibe skilur nú þegar framleiðsluöruggar óvirkar athuganir frá virkum könnunum með samþykki. Óvirka headers.security-headers einingin veitir hausumfjöllun að hætti Observatory án þess að senda hleðslu. Athuganir með meiri áhrif eins og active.sqli, active.ssti, active.blind-ssrf og tengdar rannsakar keyra aðeins eftir staðfestingu á eignarhaldi léns og staðfestingu á skanna-byrjun, og þær nota takmarkaðar óeyðandi hleðslur með fals-jákvæðum vörnum.