ຜົນກະທົບ
ເຄື່ອງສະແກນຄວາມປອດໄພແບບອັດຕະໂນມັດສາມາດກໍານົດຈຸດອ່ອນທີ່ສໍາຄັນເຊັ່ນ: ການສີດ SQL ແລະ Cross-Site Scripting (XSS), ແຕ່ພວກມັນຍັງມີຄວາມສ່ຽງທີ່ຈະທໍາລາຍລະບົບເປົ້າຫມາຍເນື່ອງຈາກວິທີການປະຕິສໍາພັນທີ່ບໍ່ແມ່ນມາດຕະຖານ [S1]. ການສະແກນທີ່ຖືກຕັ້ງຄ່າບໍ່ຖືກຕ້ອງສາມາດນໍາໄປສູ່ການຂັດຂວາງການບໍລິການ, ຂໍ້ມູນເສຍຫາຍ, ຫຼືພຶດຕິກໍາທີ່ບໍ່ໄດ້ຕັ້ງໃຈໃນສະພາບແວດລ້ອມທີ່ມີຄວາມສ່ຽງ [S1]. ໃນຂະນະທີ່ເຄື່ອງມືເຫຼົ່ານີ້ແມ່ນສໍາຄັນສໍາລັບການຊອກຫາຂໍ້ບົກພ່ອງທີ່ສໍາຄັນແລະການປັບປຸງທ່າທາງຄວາມປອດໄພ, ການນໍາໃຊ້ຂອງມັນຮຽກຮ້ອງໃຫ້ມີການຄຸ້ມຄອງຢ່າງລະມັດລະວັງເພື່ອຫຼີກເວັ້ນຜົນກະທົບດ້ານການດໍາເນີນງານ [S1].
ສາເຫດ
ຄວາມສ່ຽງຕົ້ນຕໍແມ່ນມາຈາກລັກສະນະອັດຕະໂນມັດຂອງເຄື່ອງມື DAST, ເຊິ່ງ probe ຄໍາຮ້ອງສະຫມັກທີ່ມີ payloads ທີ່ອາດຈະເຮັດໃຫ້ເກີດກໍລະນີແຂບໃນເຫດຜົນພື້ນຖານ [S1]. ນອກຈາກນັ້ນ, ຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ຈໍານວນຫຼາຍບໍ່ສາມາດປະຕິບັດການຕັ້ງຄ່າຄວາມປອດໄພຂັ້ນພື້ນຖານ, ເຊັ່ນ: ຫົວ HTTP ແຂງຢ່າງຖືກຕ້ອງ, ເຊິ່ງເປັນສິ່ງຈໍາເປັນເພື່ອປ້ອງກັນໄພຂົ່ມຂູ່ຕໍ່ເວັບໄຊທ໌ທົ່ວໄປ [S2]. ເຄື່ອງມືເຊັ່ນ Mozilla HTTP Observatory ຊີ້ໃຫ້ເຫັນຊ່ອງຫວ່າງເຫຼົ່ານີ້ໂດຍການວິເຄາະການປະຕິບັດຕາມແນວໂນ້ມຄວາມປອດໄພແລະຄໍາແນະນໍາ [S2].
ຄວາມສາມາດໃນການກວດຫາ
ເຄື່ອງສະແກນລະດັບມືອາຊີບ ແລະຊຸມຊົນເນັ້ນໃສ່ຫຼາຍປະເພດທີ່ມີຄວາມສ່ຽງທີ່ມີຜົນກະທົບສູງ:
- ການໂຈມຕີດ້ວຍການສັກຢາ: ກວດພົບການສັກຢາ SQL ແລະ XML External Entity (XXE) ການສັກຢາ [S1].
- ການຈັດການຄໍາຮ້ອງສະຫມັກ: ການກໍານົດການຮ້ອງຂໍຂ້າງເຊີບເວີ (SSRF) ແລະການຮ້ອງຂໍຂ້າມສະຖານທີ່ (CSRF) [S1].
- ການຄວບຄຸມການເຂົ້າເຖິງ: ການທົດສອບສໍາລັບການຜ່ານລະບົບແລະການອະນຸຍາດອື່ນໆ bypasses [S1].
- ການວິເຄາະການຕັ້ງຄ່າ: ການປະເມີນສ່ວນຫົວ HTTP ແລະການຕັ້ງຄ່າຄວາມປອດໄພເພື່ອຮັບປະກັນການປະຕິບັດຕາມການປະຕິບັດທີ່ດີທີ່ສຸດຂອງອຸດສາຫະກໍາ [S2].
ແກ້ໄຂຄອນກີດ
- ການອະນຸຍາດກ່ອນການສະແກນ: ໃຫ້ແນ່ໃຈວ່າການທົດສອບອັດຕະໂນມັດທັງຫມົດແມ່ນອະນຸຍາດໂດຍເຈົ້າຂອງລະບົບການຄຸ້ມຄອງຄວາມສ່ຽງຂອງຄວາມເສຍຫາຍທີ່ອາດຈະ [S1].
- ການກະກຽມສະພາບແວດລ້ອມ: ສໍາຮອງຂໍ້ມູນຂອງລະບົບເປົ້າຫມາຍທັງຫມົດກ່ອນທີ່ຈະເລີ່ມຕົ້ນການສະແກນຊ່ອງໂຫວ່ເພື່ອຮັບປະກັນການຟື້ນຕົວໃນກໍລະນີຂອງຄວາມລົ້ມເຫຼວ [S1].
- ການຈັດຕັ້ງປະຕິບັດສ່ວນຫົວ: ໃຊ້ເຄື່ອງມືເຊັ່ນ Mozilla HTTP Observatory ເພື່ອກວດສອບ ແລະປະຕິບັດສ່ວນຫົວຄວາມປອດໄພທີ່ຂາດຫາຍໄປ ເຊັ່ນ: ນະໂຍບາຍຄວາມປອດໄພຂອງເນື້ອຫາ (CSP) ແລະ Strict-Transport-Security (HSTS) [S2].
- ການທົດສອບຂັ້ນຕອນ: ດໍາເນີນການສະແກນການເຄື່ອນໄຫວທີ່ມີຄວາມເຂັ້ມຂຸ້ນສູງໃນຂັ້ນຕອນທີ່ໂດດດ່ຽວຫຼືສະພາບແວດລ້ອມການພັດທະນາແທນທີ່ຈະເປັນການຜະລິດເພື່ອປ້ອງກັນຜົນກະທົບດ້ານການດໍາເນີນງານ [S1].
ວິທີການ FixVibe ທົດສອບສໍາລັບມັນ
FixVibe ແລ້ວແຍກການກວດສອບຕົວຕັ້ງຕົວຕີທີ່ປອດໄພໃນການຜະລິດອອກຈາກການສຳຫຼວດທີ່ເຮັດວຽກທີ່ມີການຍິນຍອມ. ໂມດູນ headers.security-headers passive ໃຫ້ການຄຸ້ມຄອງຫົວແບບ Observatory ໂດຍບໍ່ມີການສົ່ງ payloads. ການກວດສອບຜົນກະທົບທີ່ສູງຂຶ້ນເຊັ່ນ active.sqli, active.ssti, active.blind-ssrf, ແລະການສືບສວນທີ່ກ່ຽວຂ້ອງພຽງແຕ່ດໍາເນີນການຫຼັງຈາກການກວດສອບຄວາມເປັນເຈົ້າຂອງໂດເມນແລະການຢັ້ງຢືນເລີ່ມຕົ້ນການສະແກນ, ແລະພວກເຂົາໃຊ້ payloads ທີ່ບໍ່ມີການທໍາລາຍທີ່ມີ false.-positive.