Žiniatinklio ir API saugumas
Be tinklo lygmens, Vulny testuoja jūsų žiniatinklio programas ir API dėl problemų, kurios veda prie realių pažeidimų.
Ko ieško Vulny žiniatinklio programų skeneris?
Vulny žiniatinklio programų skeneris testuoja jūsų svetaines dėl silpnybių, kurios dažniausiai virsta realiais pažeidimais. Jis saugiai tikrina kiekvieną aptiktą žiniatinklio paslaugą dėl OWASP Top 10 klasių — injekcijų, kryžminio scenarijaus (XSS), sugadintos prieigos kontrolės ir saugumo klaidingų konfigūracijų — taip pat dėl atvertų jautrių failų, tokių kaip atsarginės kopijos, .git katalogai ir aplinkos failai, trūkstamų ar silpnų saugumo antraščių, numatytųjų puslapių, kurie niekada neturėtų būti vieši, ir silpnos TLS konfigūracijos. Aptikimo šablonai nuolat atnaujinami, todėl skeneris ir toliau tikrina naujai atskleistas žiniatinklio silpnybes, o ne fiksuotą sąrašą nuo jo paleidimo dienos. Kiekviena problema grąžinama su jos sunkumu, paveiktu URL ir paprasta kalba parašytu sprendimu, kad jūsų programuotojai galėtų ją atkurti ir pašalinti be specialių saugumo žinių. Skenavimas yra neardomasis — Vulny patvirtina silpnybės buvimą jos neišnaudodama ir nekeisdama jūsų duomenų.
Kas yra šešėlinių API aptikimas ir kodėl tai svarbu?
Šešėliniai API yra galiniai taškai, kurie egzistuoja, bet nėra jūsų dokumentacijoje — senos API versijos, užmiršti administravimo maršrutai arba paslaugos, kurias komanda paleido niekam nepranešusi. Jie yra mėgstamas taikinys būtent todėl, kad niekas jų nestebi. Vulny apžiūri jūsų programą, kad sudarytų tiek dokumentuotų, tiek nedokumentuotų API galinių taškų žemėlapį, tada saugiai testuoja kiekvieną iš jų dėl autentifikavimo ir autorizacijos spragų bei injekcijos klaidų, įskaitant SSRF, LFI, SSTI ir kelio peržengimą. Rezultatas — jūsų tikrojo API paviršiaus žemėlapis, įskaitant dalis, kurias buvote pamiršę, ir tiksliai kur kiekvienas galinis taškas yra silpnas. Kadangi šiuolaikiniai pažeidimai vis dažniau vyksta per API, o ne per pradinę sąsają, žinoti tikrąjį savo API inventorių yra pusė mūšio: negalite apsaugoti galinio taško, apie kurio egzistavimą nežinote. Radiniai prioritetizuojami pagal realią riziką, kad pavojingiausi atvertumai pakiltų į viršų.
Ar žiniatinklio ir API skenavimą saugu vykdyti?
Taip — Vulny žiniatinklio ir API skenavimas pagal savo sandarą yra neardomasis. Jis nustato ir patvirtina silpnybes jų neišnaudodamas, netrindamas duomenų ir neišjungdamas jūsų paslaugų, o skenavimai atsižvelgia į apkrovos dažnį, todėl neperkrauna jūsų serverių. Dėl to jį saugu vykdyti nepertraukiamai produkcinėje aplinkoje, o ne tik per priežiūros langą. Galite skenuoti tik jums priklausančius arba aiškiai leidžiamus testuoti išteklius; paleisdami skenavimą patvirtinate šį leidimą, o Vulny patikrina domeno nuosavybę prieš pirmą bet kurio naujo taikinio skenavimą. Tai išlaiko skenerį tiek teisiškai, tiek operaciškai saugų: gaunate tokio paties gylio testavimą, kokį bandytų atlikti užpuolikas, tačiau be jokios rizikos prieinamumui ar duomenų vientisumui, kurią keltų realus išpuolis — arba neatsargus skeneris.
Pamatykite savo svetainėje
Atlikite vieną skenavimą saugumui, SEO ir DI paieškai (GEO) – ir gaukite firminę, ISO 27001 parengtą PDF ataskaitą.
Nuskaityti mano svetainę →