Влијание
Автоматските безбедносни скенери можат да ги идентификуваат критичните пропусти како што се SQL инјектирање и скриптирање меѓу локации (XSS), но тие исто така претставуваат ризик од оштетување на целните системи поради нивните нестандардни методи на интеракција [S1]. Неправилно конфигурираните скенови може да доведат до прекини на услугата, оштетување на податоците или ненамерно однесување во ранливи средини [S1]. Иако овие алатки се од витално значење за наоѓање критични грешки и подобрување на безбедносното држење, нивната употреба бара внимателно управување за да се избегне оперативното влијание [S1].
Основна причина
Примарниот ризик произлегува од автоматизираната природа на алатките DAST, кои ги испитуваат апликациите со носивост што може да предизвикаат рабови во основната логика [S1]. Понатаму, многу веб-апликации не успеваат да ги имплементираат основните безбедносни конфигурации, како што се правилно зацврстените HTTP заглавија, кои се од суштинско значење за одбрана од вообичаени веб-базирани закани [S2]. Алатките како Mozilla HTTP Observatory ги истакнуваат овие празнини со анализа на усогласеноста со воспоставените безбедносни трендови и упатства [S2].
Способности за откривање
Професионалните скенери и скенерите од заедницата се фокусираат на неколку категории на ранливост со големо влијание:
- Напади со инјектирање: Откривање на инјектирање SQL и инјектирање на надворешен ентитет на XML (XXE) [S1].
- Манипулација со барање: Идентификување на фалсификување на барање од страна на серверот (SSRF) и фалсификување на барања меѓу локации (CSRF) [S1].
- Контрола на пристап: Сондирањето за премин преку директориум и други овластувања го заобиколува [S1].
- Анализа на конфигурација: Оценување на заглавијата на HTTP и безбедносните поставки за да се обезбеди усогласеност со најдобрите практики во индустријата [S2].
Бетонски поправки
- Овластување пред скенирање: Осигурете се дека сите автоматизирани тестирања се овластени од сопственикот на системот за управување со ризикот од потенцијална штета [S1].
- Подготовка на животната средина: Направете резервна копија на сите целни системи пред да започнете активно скенирање на ранливоста за да обезбедите враќање во случај на дефект [S1].
- Имплементација на заглавието: Користете алатки како Mozilla HTTP опсерваторијата за ревизија и имплементација на безбедносни заглавија што недостасуваат, како што се Политика за безбедност на содржината (CSP) и строга безбедност-транспорт (HSTS) ZXETVOKENFIX0
- Тестови за поставување на сцена: Спроведување на активни скенирања со висок интензитет во изолирани средини за поставување или развој наместо производство за да се спречи оперативното влијание [S1].
Како FixVibe тестира за него
FixVibe веќе ги раздвојува пасивните проверки што се безбедни за производството од активните сонди затворени со согласност. Пасивниот модул headers.security-headers обезбедува покриеност на заглавието во стил на опсерваторија без испраќање товари. Проверките со поголемо влијание, како што се active.sqli, active.ssti, active.blind-ssrf и сродните сонди се извршуваат само по проверка на сопственоста на доменот и потврда за почеток на скенирање, и тие користат ограничени недеструктивни платежни средства.