Impatto
Gli scanner di sicurezza automatizzati possono identificare vulnerabilità critiche come SQL injection e Cross-Site Scripting (XSS), ma rappresentano anche il rischio di danneggiare i sistemi di destinazione a causa dei loro metodi di interazione non standard [S1]. Le scansioni configurate in modo errato possono causare interruzioni del servizio, danneggiamento dei dati o comportamenti non desiderati in ambienti vulnerabili [S1]. Sebbene questi strumenti siano vitali per individuare bug critici e migliorare il livello di sicurezza, il loro utilizzo richiede un'attenta gestione per evitare un impatto operativo [S1].
Causa principale
Il rischio principale deriva dalla natura automatizzata degli strumenti DAST, che sondano le applicazioni con carichi utili che possono innescare casi limite nella logica sottostante [S1]. Inoltre, molte applicazioni web non riescono a implementare configurazioni di sicurezza di base, come intestazioni HTTP opportunamente rinforzate, che sono essenziali per difendersi dalle comuni minacce basate sul web [S2]. Strumenti come l'Osservatorio HTTP di Mozilla evidenziano queste lacune analizzando la conformità con le tendenze e le linee guida di sicurezza stabilite [S2].
Funzionalità di rilevamento
Gli scanner professionali e di livello comunitario si concentrano su diverse categorie di vulnerabilità ad alto impatto:
- Attacchi di tipo injection: rilevamento di SQL injection e XML external entità (XXE) [S1].
- Manipolazione delle richieste: Identificazione della falsificazione di richieste lato server (SSRF) e della falsificazione di richieste intersito (CSRF) [S1].
- Controllo dell'accesso: Il sondaggio per Directory Traversal e altre autorizzazioni ignora [S1].
- Analisi della configurazione: valutazione delle intestazioni HTTP e delle impostazioni di sicurezza per garantire la conformità con le migliori pratiche del settore [S2].
Correzioni concrete
- Autorizzazione pre-scansione: assicurati che tutti i test automatizzati siano autorizzati dal proprietario del sistema per gestire il rischio di potenziali danni [S1].
- Preparazione dell'ambiente: Eseguire il backup di tutti i sistemi di destinazione prima di avviare scansioni di vulnerabilità attive per garantire il ripristino in caso di guasto [S1].
- Implementazione dell'intestazione: utilizza strumenti come l'Osservatorio HTTP di Mozilla per verificare e implementare le intestazioni di sicurezza mancanti come la politica di sicurezza dei contenuti (CSP) e Strict-Transport-Security (HSTS) [S2].
- Test di staging: esegui scansioni attive ad alta intensità in ambienti di staging o di sviluppo isolati anziché in produzione per prevenire l'impatto operativo [S1].
Come lo esegue il test FixVibe
FixVibe separa già i controlli passivi sicuri per la produzione dalle sonde attive con consenso. Il modulo passivo headers.security-headers fornisce una copertura dell'intestazione in stile Osservatorio senza inviare payload. I controlli di maggiore impatto come active.sqli, active.ssti, active.blind-ssrf e le relative sonde vengono eseguiti solo dopo la verifica della proprietà del dominio e l'attestazione di inizio scansione e utilizzano payload non distruttivi limitati con protezioni false positive.