Bezpečnostný audit – Web security

Základný bezpečnostný audit

Základný bezpečnostný test pokrýva najznámejšie a najčastejšie bezpečnostné diery. Použitím špecializovaných automatizovaných scannovacích prostriedkov, (napr. paros, xssme, qlinjectionme, nikto, xsss, sqlmap, xsss, maltego, css-screaming, metasploit, pixy a dalšie).

Výsledkom je stručná správa so zoznamom vážnych zraniteľností.

Rýchly penetračný test webovej aplikácie a web servera

Test pozostáva z pasívnej prehliadky (reconnaisance), skenovania, enumerácie a využitia najslabšieho článku webovej aplikácie a web servera. Odhaľuje najkritickejšie a najvážnejšie zraniteľnosti ako SQL injections, XSS/CSRF, zraniteľnosti vyplývajúce z pretečenia bufferov a iné bezpečnostné problémy.

Vzhľadom k tomu, že ide o manuálne overenie, test odporúčame hlavne v situáciách, keď zlyhali vaše automatizované bezpečnostne scannery.

Výsledkom je správa (3-10 strán). Tento test je rýchly, hľadáme zraniteľnosti, ktoré najviac "bijú útočníkom do očí." Nie je tak systematický ako "Detailný bezpečnostný audit webovej aplikácie a web serveru", ale dokáže odhaliť veľa "očividných" zraniteľností.

Detailný bezpečnostný audit podľa testovacej príručky OWASP

Test sa realizuje podľa testovacej príručky OWASP a je veľmi rozsiahly. Jeho súčasťou je "Rýchly penetračný test webovej aplikácie a web servera."

Detailný audit sa zameriava hlavne na 10 najkritickejších chýb podľa OWASP:

• A1 Cross Site Scripting (XSS)
• A2 Injection Flaws
• A3 Malicious File Execution
• A4 Insecure Direct Object Reference
• A5 Cross Site Request Forgery (CSRF)
• A6 Information Leakage and Improper Error Handling
• A7 Broken Authentication and Session Management
• A8 Insecure Cryptographic Storage
• A9 Insecure Communications
• A10 Failure to Restrict URL Access

Podrobný zoznam realizovanych testov je dostupný na webe OWASP. 

Výsledkom auditu je:

• Podrobná správa (10-40 strán). 
• Stretnutie s vývojarmi auditovanej aplikácie, kde sa odprezentujú všetky bezpečnostné nedostatky danej aplikácie aj s vysvetlením zásad bezpečného programovania (vývoja bezpečných webových aplikácií).
• Praktická demonštrácia zneužitia aplikácie (vydumpovanie DB, kompletné kompromitovanie, ...), napísanie exploitov.

Vytlačiť stránku Zdieľať cez Facebook Linkedin Delicious