Vplyv
Automatizované bezpečnostné skenery dokážu identifikovať kritické zraniteľnosti, ako je SQL injection a Cross-Site Scripting (XSS), ale tiež predstavujú riziko poškodenia cieľových systémov v dôsledku ich neštandardných interakčných metód [S1]. Nesprávne nakonfigurované kontroly môžu viesť k prerušeniu služieb, poškodeniu údajov alebo neúmyselnému správaniu v zraniteľných prostrediach [S1]. Aj keď sú tieto nástroje životne dôležité na nájdenie kritických chýb a zlepšenie stavu zabezpečenia, ich používanie si vyžaduje starostlivé riadenie, aby sa predišlo prevádzkovým vplyvom [S1].
Hlavná príčina
Primárne riziko pramení z automatizovanej povahy nástrojov DAST, ktoré testujú aplikácie s užitočným zaťažením, ktoré môže spustiť okrajové prípady v základnej logike [S1]. Mnohé webové aplikácie navyše nedokážu implementovať základné bezpečnostné konfigurácie, ako sú napríklad správne spevnené hlavičky HTTP, ktoré sú nevyhnutné na obranu pred bežnými webovými hrozbami [S2]. Nástroje ako Mozilla HTTP Observatory zvýrazňujú tieto medzery analýzou súladu so zavedenými bezpečnostnými trendmi a usmerneniami [S2].
Detekčné schopnosti
Profesionálne skenery a skenery na úrovni komunity sa zameriavajú na niekoľko kategórií zraniteľnosti s vysokým dopadom:
- Injection Attacks: Detekcia SQL vstrekovania a XML injekcie externej entity (XXE) [S1].
- Manipulácia so žiadosťami: Identifikácia falšovania požiadaviek na strane servera (SSRF) a falšovania žiadostí medzi stránkami (CSRF) [S1].
- Kontrola prístupu: Zisťovanie prechodu adresára a iných autorizácií obchádza [S1].
- Analýza konfigurácie: Vyhodnotenie hlavičiek HTTP a nastavení zabezpečenia na zabezpečenie súladu s osvedčenými postupmi odvetvia [S2].
Opravy betónu
- Oprávnenie pred skenovaním: Zabezpečte, aby vlastník systému povolil všetky automatizované testy na riadenie rizika potenciálneho poškodenia [S1].
- Príprava prostredia: Pred spustením aktívneho skenovania zraniteľnosti zálohujte všetky cieľové systémy, aby ste zabezpečili obnovu v prípade zlyhania [S1].
- Implementácia hlavičiek: Použite nástroje ako Mozilla HTTP Observatory na audit a implementáciu chýbajúcich bezpečnostných hlavičiek, ako sú Zásady zabezpečenia obsahu (CSP) a Strict-Transport-Security (HSTS) [S2]
- Testovacie testy: Vykonávajte aktívne skenovanie s vysokou intenzitou v izolovanom prostredí alebo vývojovom prostredí, a nie vo výrobe, aby ste predišli prevádzkovým dopadom [S1].
Ako to testuje FixVibe
FixVibe už oddeľuje pasívne kontroly bezpečné pre výrobu od aktívnych sond so súhlasom. Pasívny modul headers.security-headers poskytuje pokrytie hlavičky v štýle observatória bez odosielania užitočných dát. Kontroly s väčším dosahom, ako napríklad active.sqli, active.ssti, active.blind-ssrf a súvisiace sondy, sa spúšťajú až po overení vlastníctva domény a potvrdení spustenia skenovania a používajú ohraničené nedeštruktívne užitočné zaťaženie s falošným pozitívom.