Kde jsou penetrační testy přínosné?
Při zabezpečení:
- E-shopů
- Internetových portálů
- Aplikačních serverů a hostingu
- Intranetů
Jaké jsou přínosy penetračních testů?
Prevencí zabráníte cíleným útokům a výpadkům poskytovaných služeb, které by vedly k:
- Finančním ztrátám
- Ztrátě důvěry uživatelů
- Úniku citlivých dat
OWASP TOP 10
Komplexní test se zaměřením na 10 nejkritičtějších chyb, vyskytujících se ve webových aplikacích
01Cross Site Scripting (XSS). XSS je metoda narušení WWW stránek využitím bezpečnostních chyb ve skriptech (především neošetřené vstupy). Útočník díky těmto chybám v zabezpečení webové aplikace dokáže do stránek podstrčit svůj vlastní kód, což může využít buď k poškození vzhledu stránky, jejímu znefunkčnění nebo dokonce k získávání citlivých údajů návštevníků stránek, obcházení bezpečnostních prvků aplikace a phishingu.
02Injection flaws. SQL injection je technika napadnutí databázové vrstvy programu vsunutím (injection) kódu přes neošetřený vstup a vykonání vlastního, pozměněného, SQL dotazu. Toto nechtěné chování vzniká při propojení aplikační a databázové vrstvy (téměř vždy jde o dva odlišné programy) a zabraňuje se mu pomocí jednoduchého nahrazení potencionálně nebezpečných znaků escape sekvencemi.
03Malicious File Execution. Tato zranitelnost umožňuje útočníkovi spustit na straně serveru škodlivé soubory.
04Insecure Direct Object Reference. Zranitelnosti této kategorie umožňují útočníkovi získat informace o jednotlivých objektech cílové aplikace bez patričné autentifikace. Další možností je získání interních systémových informací.
05Cross Site Request Forgery (CSRF) je technika, která umožňuje útočníkovi podvrhnout formulář na jiné stránce nebo pomocí některých HTTP metod přesměrovat prohlížeč oběti na skript zpracovávající legitimní formulář aplikace s daty, které můžou oběť poškodit.
06Information Leakage and Improper Error Handling. Zranitelnosti tohoto typu útočníkovi zpřístupňují v případě chybového stavu aplikace informace, které lze později použít k lepšímu plánování útoku. Příkladem může být změna vstupního parametru, která způsobí chybu, a aplikace dobrovolně oznámí cestu ke skriptu, ve kterém chyba nastala.
07Broken Authentication and Session Management. Zranitelnosti tohoto typu umožňují útok na přihlašovací části aplikace či úplné obcházení přihlašovacího systému. Ze strany aplikace je nutné zaměřit se na zabezpečené předávání autentifikačních údajů a bezpečné úložiště identifikátoru relace („session id").
08Insecure Cryptographic Storage. Zranitelnosti tohoto typu můžou způsobit kompromitaci privátního šifrovacího klíče jedné či obou stran spojení.
09Insecure Communications. Zranitelnosti tohoto typu umožňují útočníkům odchytávat komunikaci, která jim není určená.
10Failure to Restrict URL Access. V případě, že aplikace umožňuje neautentifikovaný přístup i ke stránkám, ke kterým by měl být přístup jen po příslušné autentifikaci, je možnou zranitelností situace, kdy takto odkazovaná stránka zobrazí některé informace, které by měly být přístupné jen konkrétním autentifikovaným uživatelům, či systémové informace citlivého charakteru.
Co je výstupem penetračních testů?
- Detailní technická zpráva popisující a hodnotící zjištěné nedostatky a stupeň jejich nebezpečnosti.
- Manažerská zpráva s doporučenými kroky pro nápravu nedostatků a optimalizaci provozu systému.
- Značka bezpečného serveru - „Prověřeno společností Trustica s.r.o."
