გავლენა
უსაფრთხოების ავტომატიზებულ სკანერებს შეუძლიათ ამოიცნონ ისეთი კრიტიკული დაუცველობა, როგორიცაა SQL ინექცია და საიტის სკრიპტირება (XSS), მაგრამ ისინი ასევე წარმოადგენენ სამიზნე სისტემების დაზიანების რისკს მათი ურთიერთქმედების არასტანდარტული მეთოდების გამო [S1]. არასწორად კონფიგურირებულმა სკანირებამ შეიძლება გამოიწვიოს სერვისის შეფერხება, მონაცემთა გაფუჭება ან არასასურველი ქცევა დაუცველ გარემოში [S1]. მიუხედავად იმისა, რომ ეს ხელსაწყოები სასიცოცხლოდ მნიშვნელოვანია კრიტიკული შეცდომების აღმოსაჩენად და უსაფრთხოების პოზის გასაუმჯობესებლად, მათი გამოყენება მოითხოვს ფრთხილად მენეჯმენტს [S1] ოპერატიული ზემოქმედების თავიდან ასაცილებლად.
ძირეული მიზეზი
პირველადი რისკი მომდინარეობს DAST ხელსაწყოების ავტომატიზებული ბუნებიდან, რომლებიც იკვლევენ აპლიკაციებს დატვირთვით, რამაც შეიძლება გამოიწვიოს ზღვარის შემთხვევები ფუძემდებლურ ლოგიკაში [S1]. გარდა ამისა, ბევრი ვებ აპლიკაცია ვერ ახორციელებს უსაფრთხოების ძირითად კონფიგურაციას, როგორიცაა სათანადოდ გამაგრებული HTTP სათაურები, რომლებიც აუცილებელია [S2] საერთო საფრთხისგან დასაცავად. ინსტრუმენტები, როგორიცაა Mozilla HTTP ობსერვატორია, ხაზს უსვამს ამ ხარვეზებს უსაფრთხოების დადგენილ ტენდენციებთან და მითითებებთან შესაბამისობის ანალიზით [S2].
გამოვლენის შესაძლებლობები
პროფესიონალური და საზოგადოების დონის სკანერები ფოკუსირებულია რამდენიმე მაღალი ზემოქმედების დაუცველობის კატეგორიაზე:
- ინექციური შეტევები: SQL ინექციის და XML გარე ერთეულის (XXE) ინექციის აღმოჩენა [S1].
- მოთხოვნის მანიპულირება: სერვერის მხრიდან მოთხოვნის გაყალბების იდენტიფიცირება (SSRF) და საიტის მოთხოვნის გაყალბება (CSRF) [S1].
- წვდომის კონტროლი: დირექტორიაში გადასასვლელის ზონდი და სხვა ავტორიზაციის გვერდის ავლით [S1].
- კონფიგურაციის ანალიზი: HTTP სათაურების და უსაფრთხოების პარამეტრების შეფასება ინდუსტრიის საუკეთესო პრაქტიკასთან [S2] შესაბამისობის უზრუნველსაყოფად.
ბეტონის შესწორებები
- წინასწარი სკანირების ავტორიზაცია: დარწმუნდით, რომ ყველა ავტომატური ტესტირება ავტორიზებულია სისტემის მფლობელის მიერ, რათა მართოს პოტენციური დაზიანების რისკი [S1].
- გარემოს მომზადება: შექმენით სარეზერვო ყველა სამიზნე სისტემა აქტიური დაუცველობის სკანირების დაწყებამდე, რათა უზრუნველყოთ აღდგენა წარუმატებლობის შემთხვევაში [S1].
- Header-ის დანერგვა: გამოიყენეთ ისეთი ინსტრუმენტები, როგორიცაა Mozilla HTTP Observatory აუდიტისა და დანერგვისათვის დაკარგული უსაფრთხოების სათაურების, როგორიცაა Content Security Policy (CSP) და Strict-Transport-Security (HSTS) ZXCVOKENFIX
- დადგმის ტესტები: ჩაატარეთ მაღალი ინტენსივობის აქტიური სკანირება იზოლირებულ დადგმის ან განვითარების გარემოში, ვიდრე წარმოებაში, რათა თავიდან აიცილოთ ოპერატიული გავლენა [S1].
როგორ ამოწმებს მას FixVibe
FixVibe უკვე გამოყოფს წარმოებისთვის უსაფრთხო პასიურ შემოწმებებს თანხმობით შემოსაზღვრული აქტიური ზონდებისგან. პასიური headers.security-headers მოდული უზრუნველყოფს ობსერვატორიის სტილის სათაურის დაფარვას ტვირთის გაგზავნის გარეშე. უფრო მაღალი ზემოქმედების შემოწმებები, როგორიცაა active.sqli, active.ssti, active.blind-ssrf და მასთან დაკავშირებული ზონდები მხოლოდ დომენის საკუთრების შემოწმებისა და სკანირების დაწყების ატესტაციის შემდეგ, და ისინი იყენებენ შეზღუდულ არადამანგრეველ-დადებით დატვირთვას.