Jak zajistíte, aby vaše aplikace a infrastruktura byly chráněny před bezpečnostními chybami?
Detectify nabízí kompletní sadu řešení pro inventarizaci majetku a monitorování, která zahrnují skenování zranitelnosti, zjišťování hostitelů a softwarové otisky prstů. Jeho použití by mohlo pomoci vyhnout se nepříjemným překvapením, jako jsou neznámí hostitelé, kteří představují zranitelnost nebo subdomény, které lze snadno unést.
Mnoho věcí se může pokazit a útočník toho může využít. Některé běžné jsou:
- Udržujte nepotřebné porty otevřené
- Odhalení nezabezpečené subdomény, citlivých souborů, přihlašovacích údajů
- Zachování přístupnosti .git
- Potenciální hlavní zranitelnosti OWASP, jako jsou XSS, SSRF, RCE
Můžete diskutovat o tom, že mohu ručně spustit skener portů, najít subdoménu, otestovat zranitelnost atd. To je dobré, pokud to uděláte jednou nebo jednou za čas, ale bude to časově náročné a nebude to nákladově efektivní musíte to dělat často.
Jaké je tedy řešení?
Jít pro Detectify Asset Monitoringkterý monitoruje aktiva vaší webové aplikace a provádí pravidelné skenování výše uvedených a mnoha dalších kontrol, aby byl váš online obchod v bezpečí 🛡️.
- Detectify hostí svou vlastní soukromou komunitu etických hackerů pro crowdsourcingový výzkum zranitelnosti, takže vám dává upozornění z pohledu skutečného útočníka.
- Jiné nástroje spoléhají na podpisy a testování verzí, což je spíše soulad než skutečné zabezpečení. Detectify hackers poskytuje skutečné užitečné zatížení, které se používá k vytvoření bezpečnostních testů, což poskytuje jedinečnou sadu testování, která se u jiných produktů na trhu nevyskytuje.
- Výsledek? Spolehlivější způsob testování zabezpečení, který vám poskytne pouze výsledky, které lze ověřit
- Bezpečnostní zjištění, která je skutečně zajímavé opravit!
V jejich blogzmiňují, že doba vývoje testu Asset Monitoring byla zkrácena na pouhých 25 minut od hackerského vydání.
Zní to zajímavě?
Pojďme se podívat, jak to funguje.
Chcete-li začít pracovat s Detectify Asset Monitoring, prvním krokem je ověřit, že vlastníte doménu, kterou budete monitorovat, nebo máte oprávnění k provedení bezpečnostní kontroly. Toto je nezbytný krok, který Detectify podniká, aby zajistil, že citlivé informace, které odhalí, neskončí ve špatných rukou.
Ověření domény můžeme provést několika způsoby: nahráním konkrétního souboru .txt do kořenového adresáře vaší domény, pomocí Google Analytics, prostřednictvím záznamu DNS nebo pomocí metaznačky na webové stránce. Existuje také možnost asistovaného ověření, pokud pro vás žádná ze samoobslužných metod nefunguje.
Table of Contents
Vytvoření profilu skenování
Druhým krokem v nastavení Detectify je vytvoření profilu skenování, který lze přidružit k jakékoli doméně, subdoméně nebo IP adrese vašeho webu, na kterém běží služby HTTP nebo HTTPS.
Po nastavení profilu skenování jej můžete nakonfigurovat s různými možnostmi.
Můžete mít například dva profily spojené se stejnou doménou, ale s různými pověřeními. Tímto způsobem můžete provést dvě různá skenování na stejném serveru a porovnat výsledky.
Jakmile je váš profil skenování nakonfigurován, budete připraveni skenovat, což provedete pouhým stisknutím tlačítka Spustit skenování vedle profilu skenování, který chcete použít. Ovládací panel se změní a ukáže, že probíhá skenování.
Doba provedení kontroly závisí na objemu obsahu webu. Pokud je objem dosti velký, může kontrola trvat hodiny a během kontroly si můžete všimnout mírného snížení výkonu webu. Moje rada je tedy provádět skenování, když je váš web méně vytížený.
Skenování zpráv
Když Detectify dokončí skenování vašeho webu, obdržíte e-mail s oznámením. V tomto e-mailu vás bude informovat o době, kterou kontrola zabrala, o počtu nalezených problémů seskupených podle jejich závažnosti a o celkovém skóre hrozeb, které ukazuje, jak dobrý nebo špatný je web z hlediska zabezpečení.
Chcete-li zjistit, jaké adresy URL byly procházeny během kontroly, přejděte na nejnovější zprávu o kontrole a klikněte na položku „Procházené adresy URL“ v seznamu zjištěných informací. V části Podrobnosti je uvedeno, kolik adres URL se prohledávač pokusil během kontroly získat a kolik z nich bylo identifikováno jako jedinečné.
V dolní části stránky je hypertextový odkaz ke stažení souboru CSV obsahujícího všechny procházené adresy URL a stavový kód každé z nich. Tento seznam můžete projít, abyste se ujistili, že byly navštíveny všechny důležité části vašeho webu.
Chcete-li naplánovat nápravu a získat přesnější výsledky v budoucích skenech, Detectify vám umožňuje označit každý nález jako „Opravený“, „Přijaté riziko“ nebo „Falešně pozitivní“. Pokud nález označíte jako „Opraveno“, skener použije stejný štítek v budoucích zprávách, takže se s ním nebudete muset znovu zabývat kvůli nápravě. „Přijaté riziko“ je něco, co nechcete, aby bylo hlášeno při každém skenování, zatímco „Falešně pozitivní“ je zjištění, které může připomínat zranitelnost, i když tomu tak není.
Ach! mnoho nálezů k nápravě, které jsem nikdy nepomyslel.
Detectify nabízí mnoho různých stránek a zobrazení, abyste viděli výsledky skenování. Zobrazení „Všechny testy“ umožňuje zobrazit všechna zranitelná místa, která kontrola objevila. Pokud jste obeznámeni s klasifikací OWASP, můžete se podívat na zobrazení OWASP a zjistit, jak je váš web zranitelný vůči 10 nejčastějším zranitelnostem.
Chcete-li doladit budoucí skenování, můžete použít možnosti Detectify na bílé/černé listině a přidat oblasti webu, které by mohly být skryté, protože na ně neukazují žádné odkazy. Nebo můžete zakázat cesty, do kterých nechcete, aby se prohledávač dostal.
Inventář majetku
Stránka inventáře aktiv Detectify zobrazuje seznam kořenových aktiv – jako jsou přidané domény nebo IP adresy – se spoustou užitečných informací, které vám pomohou zabezpečit vaše investice do IT. Modrá nebo šedá ikona vedle každého majetku označuje, zda je pro něj zapnuto nebo vypnuto sledování majetku.
Kliknutím na kterýkoli majetek v inventáři získáte jeho přehled. Odtud můžete zkoumat subdoménu, skenovat profily, technologie otisků prstů, zjištění monitorování majetku, nastavení majetku a mnoho dalšího.
Zjištění monitorování aktiv
Výsledky nálezů seskupuje do tří kategorií podle jejich závažnosti: vysoká, střední a nízká.
Nálezy na vysoké úrovni většinou odrážejí problémy, kdy jsou citlivé informace (např. přihlašovací údaje nebo hesla zákazníků) vystaveny veřejnosti nebo jsou potenciálně zneužitelné.
Nálezy střední úrovně ukazují situace, ve kterých odhaluje nějaké informace. I když tato expozice sama o sobě nemusí být škodlivá, hacker by ji mohl využít tím, že ji zkombinuje s dalšími informacemi.
Konečně, zjištění nízké úrovně ukazují subdomény, které by mohly být potenciálně převzaty a měly by být zkontrolovány, aby se ověřilo jejich vlastnictví.
Detectify poskytuje znalostní databázi se spoustou oprav a tipů k nápravě, které vám pomohou vypořádat se s nálezy, se kterými se během kontroly setkáte. Jakmile podniknete kroky k nápravě problémů, můžete spustit druhou kontrolu a zkontrolovat, zda byly problémy účinně odstraněny. Možnosti exportu umožňují vytvářet soubory PDF, XML nebo JSON se zprávami o nálezech a odesílat je třetím stranám nebo službám, jako je Trello nebo JIRA.
Získejte z Detectify maximum
Průvodce osvědčenými postupy společnosti Detectify doporučuje přidat název domény bez subdomén, abyste získali přehled o celém svém webu, pokud není příliš velký. Na celé skenování je ale časový limit 9 hodin, po kterém skener přeskočí do další fáze procesu. Z tohoto důvodu by mohlo být dobré rozdělit doménu na menší profily skenování.
Vaše první skenování vám může ukázat, že některá aktiva mají více zranitelností než jiná. To je další důvod – kromě doby trvání skenování – začít bourat vaši doménu. Měli byste identifikovat nejkritičtější subdomény a vytvořit profil skenování pro každou z nich.
Věnujte pozornost seznamu „Objevení hostitelé“, protože vám může ukázat některá neočekávaná zjištění. Například systémy, o kterých jste nevěděli, že je máte. Tento seznam je užitečný k identifikaci nejdůležitějších aplikací, které si zaslouží podrobnější kontrolu, a tedy i individuální profil kontroly.
Detectify navrhuje, že je lepší definovat menší rozsahy pro každý profil skenování, protože může získat přesnější a konzistentnější zjištění. Je také dobré rozdělit rozsahy tak, že budete v každém profilu udržovat pohromadě podobné technologie nebo rámce. Tímto způsobem bude skener schopen provádět relevantnější testy pro každý profil skenování.
Závěr
Inventář a monitorování majetku jsou klíčové pro jakoukoli velikost a web, včetně elektronického obchodu, SaaS, maloobchodu, financí a trhu. Nenechávejte žádný majetek bez dozoru; zkuste to zkušební doba 2 týdny abyste viděli, jak vám může pomoci najít mezery pro zlepšení zabezpečení webových aplikací.