Вплив
Автоматичні сканери безпеки можуть виявляти критичні вразливості, такі як впровадження SQL і міжсайтовий сценарій (XSS), але вони також створюють ризик пошкодження цільових систем через нестандартні методи взаємодії [S1]. Неправильно налаштоване сканування може призвести до збоїв у роботі служби, пошкодження даних або ненавмисної поведінки в уразливих середовищах [S1]. Хоча ці інструменти є життєво важливими для пошуку критичних помилок і покращення стану безпеки, їх використання вимагає ретельного керування, щоб уникнути впливу на роботу [S1].
Основна причина
Основний ризик пов’язаний з автоматизованою природою інструментів DAST, які перевіряють додатки з корисним навантаженням, яке може викликати крайові випадки в базовій логіці [S1]. Крім того, багато веб-додатків не можуть реалізувати базові конфігурації безпеки, такі як належним чином захищені заголовки HTTP, які є важливими для захисту від поширених веб-загроз [S2]. Такі інструменти, як Mozilla HTTP Observatory, висвітлюють ці прогалини, аналізуючи відповідність встановленим тенденціям безпеки та рекомендаціям [S2].
Можливості виявлення
Професійні та загальнодоступні сканери зосереджуються на кількох категоріях вразливості, що мають значний вплив:
- Атаки ін’єкцій: Виявлення ін’єкцій SQL і XML External Entity (XXE) [S1].
- Маніпулювання запитом: Виявлення підробки запитів на стороні сервера (SSRF) і підробки міжсайтових запитів (CSRF) [S1].
- Контроль доступу: Перевірка проходження каталогу та інша авторизація обходить [S1].
- Аналіз конфігурації: Оцінка HTTP-заголовків і налаштувань безпеки для забезпечення відповідності найкращим галузевим практикам [S2].
Конкретні виправлення
- Авторизація попереднього сканування: Переконайтеся, що всі автоматизовані тестування санкціоновано власником системи для управління ризиком потенційного пошкодження [S1].
- Підготовка середовища: створіть резервні копії всіх цільових систем перед початком активного сканування вразливостей, щоб забезпечити відновлення в разі збою [S1].
- Реалізація заголовка: Використовуйте такі інструменти, як Mozilla HTTP Observatory, для перевірки та впровадження відсутніх заголовків безпеки, таких як Content Security Policy (CSP) і Strict-Transport-Security (HSTS) [S2].
- Постановні тести: Проводьте активне сканування високої інтенсивності в ізольованих середовищах постановки або розробки, а не в робочому середовищі, щоб запобігти впливу на роботу [S1].
Як FixVibe перевіряє це
FixVibe уже відокремлює безпечні для виробництва пасивні перевірки від активних зондів із обмеженою згодою. Пасивний модуль headers.security-headers забезпечує покриття заголовка в стилі обсерваторії без надсилання корисних даних. Перевірки більшого впливу, такі як active.sqli, active.ssti, active.blind-ssrf і пов’язані зонди, виконуються лише після перевірки права власності на домен і атестації на початку сканування, і вони використовують обмежені неруйнівні корисні навантаження з хибно-позитивними захистами.