Бяспека вэб-прыкладанняў і API
Акрамя сеткавага ўзроўню, Vulny тэстуе вашы вэб-прыкладанні і API на праблемы, якія прыводзяць да рэальных узломаў.
Што правярае сканер вэб-прыкладанняў Vulny?
Сканер вэб-прыкладанняў Vulny тэстуе вашы сайты на слабыя месцы, якія часцей за ўсё ператвараюцца ў рэальныя ўзломы. Ён бяспечна правярае кожны знойдзены вэб-сэрвіс на класы OWASP Top 10 — ін'екцыі, міжсайтавы скрыптынг (XSS), парушэнне кантролю доступу і небяспечную канфігурацыю — побач з адкрытымі канфідэнцыйнымі файламі, такімі як рэзервовыя копіі, каталогі .git і файлы асяроддзя, адсутнымі ці слабымі загалоўкамі бяспекі, старонкамі па змаўчанні, якія ніколі не павінны быць публічнымі, і слабой канфігурацыяй TLS. Шаблоны выяўлення абнаўляюцца бесперапынна, таму сканер працягвае правяраць і нядаўна раскрытыя вэб-уразлівасці, а не фіксаваны спіс на момант выпуску. Кожная праблема вяртаецца з яе сур'ёзнасцю, закранутым URL і зразумелым апісаннем выпраўлення, каб вашы распрацоўшчыкі маглі ўзнавіць і закрыць яе без спецыяльных ведаў у галіне бяспекі. Сканаванне неразбуральнае — Vulny пацвярджае наяўнасць слабага месца, не эксплуатуючы яго і не змяняючы вашы дадзеныя.
Што такое выяўленне Shadow-API і чаму гэта важна?
Shadow API — гэта канчатковыя пункты, якія існуюць, але не ўваходзяць у вашу дакументацыю: старыя версіі API, забытыя адміністрацыйныя маршруты або сэрвісы, якія каманда выпусціла, нікому не паведаміўшы. Яны любімая мішэнь менавіта таму, што за імі ніхто не сочыць. Vulny абыходзіць ваша прыкладанне, каб скласці карту як дакументаваных, так і недакументаваных канчатковых пунктаў API, а затым бяспечна фазіць кожны на памылкі аўтэнтыфікацыі і аўтарызацыі і ін'екцыі, уключаючы SSRF, LFI, SSTI і абыход шляхоў. Вынік — карта вашай рэальнай паверхні API, уключаючы часткі, пра якія вы забыліся, і дакладнае ўказанне, дзе кожны канчатковы пункт уразлівы. Паколькі сучасныя ўзломы ўсё часцей адбываюцца праз API, а не праз франтэнд, веданне рэальнай інвентарызацыі API — гэта палова справы: нельга абараніць канчатковы пункт, пра існаванне якога вы не ведаеце. Знаходкі прыярытызуюцца па рэальным рызыцы, таму самыя небяспечныя ўразлівасці падымаюцца наверх.
Ці бяспечна запускаць сканаванне вэб-прыкладанняў і API?
Так — сканаванне вэб-прыкладанняў і API ў Vulny па сваёй канструкцыі неразбуральнае. Яно выяўляе і пацвярджае слабыя месцы, не эксплуатуючы іх, не выдаляючы дадзеныя і не выводзячы вашы сэрвісы са строю, а сканаванне ўлічвае нагрузку, каб не перагружаць вашы серверы. Гэта робіць яго бяспечным для бесперапыннага запуску па прадакшэне, а не толькі падчас тэхнічнага акна. Сканаваць можна толькі актывы, якімі вы валодаеце або якія вам відавочна дазволена тэставаць; запускаючы сканаванне, вы пацвярджаеце гэты дазвол, а Vulny правярае валоданне даменам перад першым сканаваннем любой новай мэты. Гэта захоўвае сканер бяспечным як з юрыдычнага, так і з эксплуатацыйнага пункту гледжання: вы атрымліваеце тую ж глыбіню тэставання, якую паспрабаваў бы зламыснік, але без рызыкі для даступнасці ці цэласнасці дадзеных, якую несла б рэальная атака — ці нядбайны сканер.
Праверце на сваім сайце
Запусціце адзін скан для бяспекі, SEO і AI-пошуку (GEO) — і атрымайце брэндаваную PDF-справаздачу, гатовую да ISO 27001.
Сканіраваць мой сайт →