Svetainių saugumo patikra apima sutartų funkcijų tikrinimą, radinių vertinimą ir suderintų pažeidžiamumų šalinimą. Darbus atliekame su savininko leidimu, iš anksto numatę bandymų ribas ir saugų pakeitimų planą. Po taisymo patikriname, ar konkreti problema pašalinta.Aptarti svetainės saugumo patikrąPeržiūrėti paslaugos informaciją
SVETAINĖS SAUGUMO PATIKRA
Įveskite svetainės adresą: patikrinsime HTTPS, saugumo antraštes, HTML išteklių nuorodas ir viešus domeno įrašus. Įvedę el. paštą matysite trumpą santrauką, o išsamų PDF su rekomendacijomis gausite tuo adresu.
Svetainių savininkams, kuriems reikia patikrinti saugumą, suprasti radinius ir patikrinti atliktų taisymų rezultatą.
Pateikite svetainės adresą, platformą, kritines funkcijas ir žinomus simptomus; patikros veiksmus suderinsime atskirai.
Gaunate prioritetinius radinius, taisymo rekomendacijas ir konkrečių problemų pakartotinės patikros rezultatus, kai ji įtraukta.
Svetainės saugumo patikra – sutartos svetainės dalių, konfigūracijos ir funkcijų įvertinimas. Ji gali apimti automatinius ir rankinius patikrinimus, tačiau neįrodo visų įmanomų spragų nebuvimo. Patvirtinti radiniai atskiriami nuo įrankio įspėjimų, o taisymai atliekami kontroliuojamai.
Svetainės saugumo patikrą pradedame nuo savininko leidimo ir aiškiai apibrėžtų ribų. Nurodome domenus, aplinkas, paskyrų tipus ir funkcijas, kurias tikrinsime, taip pat leistinus metodus bei darbų laiką. Užklausos formoje pateiktas adresas padeda aptarti apimtį; veiksmams svetainėje reikalingas atskiras jų suderinimas.
Prieš patikrą išsiaiškiname, kurios funkcijos kritinės: užsakymas, apmokėjimas, prisijungimas ar duomenų pateikimas. Nustatome kontaktą, galintį priimti sprendimą apie darbų stabdymą, ir veiksmus pastebėjus nepageidaujamą poveikį. Testinė aplinka ir testinės paskyros leidžia patikrinti daugiau scenarijų mažinant poveikį tikriems naudotojams.
Patikros planą siejame su svetainės funkcijomis ir prieinamomis rolėmis. OWASP Web Security Testing Guide naudojame kaip metodinį orientyrą pasirenkant aktualias patikras. Konkrečiai svetainei reikalingą apimtį apibrėžia jos technologijos, duomenys ir naudojimo scenarijai; rezultatus susiejame su tikrintu objektu bei įrodymu.
Tikriname, kaip skirtingų rolių naudotojai pasiekia funkcijas ir duomenis. Svarbu patikrinti ne tik prisijungimo formą, bet ir tai, ar jau prisijungusiam naudotojui prieinami tik jo rolei reikalingi veiksmai. Klientas pateikia rolių aprašą ir testines paskyras, kad tikėtiną elgesį galėtume palyginti su faktiniu.
Sudarome naudojamų komponentų ir jų palaikymo būklės vaizdą. Versijos numeris ar automatinis pranešimas padeda pasirinkti tolesnį tikrinimą, tačiau radinį tiksliname pagal realią konfigūraciją ir pasiekiamumą. Rekomendacijoje nurodome, kurį komponentą atnaujinti ir ką po to patikrinti.
Peržiūrime į apimtį įtrauktus prieigos, failų, serverio ir svetainės nustatymus. Vertiname, ar administravimo funkcijos ir jautri informacija pasiekiamos tik numatytiems naudotojams. Pakeitimą siūlome kartu su funkcine patikra, kad griežtinami nustatymai nesustabdytų reikalingos svetainės funkcijos.
Duomenų pateikimo vietas pasirenkame pagal formas, paiešką, failų įkėlimą ir kitas svetainės funkcijas. Tikrinimo būdai turi atitikti iš anksto suteiktą leidimą bei poveikio ribas. Rezultate nurodome konkrečią funkciją, pastebėtą elgesį ir reikalingą taisymo kryptį, neviešindami jautrių eksploatavimo detalių.
OWASP Web Security Testing Guide padeda struktūruoti svetainių saugumo bandymų sritis; konkrečius bandymus parenkame pagal sutartą apimtį ir leidimą.
WordPress svetainėje kartu vertiname branduolį, aktyvius bei likusius įskiepius, temą ir administravimo paskyras. Atskirai peržiūrime, kurie komponentai reikalingi veikimui ir kurie liko iš ankstesnių darbų. Prieš šalinimą patikriname priklausomybes, nes net nenaudojamas vizualinis elementas gali turėti su turiniu susietų duomenų.
Atnaujinimams parengiame kopiją ir kritinių funkcijų patikrų sąrašą. Ypač svarbu patikrinti formas, užsakymo eigą, kalbų versijas ir integracijas, jei jos naudojamos. Bendrą apsaugos būklę lemia ir paskyros, talpinimo aplinka bei prieigos; vien naujausia įskiepio versija šių sričių nepakeičia.
Įrankio įspėjimą tiksliname prieš priskirdami jam prioritetą. Patikriname, ar jis susijęs su veikiančiu komponentu, kokiomis sąlygomis problema pasireiškia ir kokius duomenis ar veiksmus gali paveikti. Kai leidimo ar prieigos nepakanka patvirtinti rezultatui, tai aiškiai pažymime kaip nepatvirtintą signalą ar patikros ribojimą.
Radinyje pateikiame objektą, pastebėtą elgesį, reikalingą įrodymą, poveikį ir rekomendaciją. Prioritetas padeda pasirinkti taisymo eilę, ypač kai skiriasi prieinamumas ir verslo svarba. Jautrią informaciją perduodame svetainės savininkui ar jo įgaliotam specialistui, atskirdami ją nuo bendros vadovybei skirtos santraukos.
Taisymo planas priklauso nuo priežasties: gali reikėti pakeisti nustatymą, atnaujinti komponentą, sumažinti prieigas ar pataisyti programos kodą. Prieš darbą nustatome reikalingą kopiją, pakeitimo aplinką ir grįžimo veiksmus. Klientui pateikiame, kokios funkcijos gali būti paveiktos ir kieno patvirtinimo reikės.
Pakeitimą pirmiausia tikriname testinėje aplinkoje, kai ji prieinama ir tinkama scenarijui. Po perkėlimo patikriname taisytą problemą ir susijusias funkcijas. Patikros ataskaitą bei rekomendacijas galima perduoti ir esamam kūrėjui; paties taisymo darbai ir atsakomybės apibrėžiami atskirai nuo vertinimo.
Kiekviename etape apibrėžiame darbus, jūsų indėlį ir patikrinamą rezultatą.
01
Su savininku apibrėžiame domenus, funkcijas, paskyras ir leidžiamus veiksmus. Užfiksuojame darbų laiką, kritines sistemas ir kontaktą, galintį sustabdyti patikrą.
02
Patikriname numatytus scenarijus naudodami suteiktas prieigas ir leistinus metodus. Surinktus signalus susiejame su konkrečiais objektais bei jų veikimo aplinkybėmis.
03
Tiksliname radinių pagrįstumą ir galimą poveikį svetainei. Klientas gauna prioritetus, patikros ribas ir sprendimui reikalingas taisymo rekomendacijas.
04
Pasirinktus taisymus parengiame su kopijomis, funkcijų patikra ir grįžimo veiksmais. Klientas ar jo kūrėjas patvirtina perkėlimo sąlygas bei atsakomybes.
05
Pakartojame konkretaus radinio tikrinimą ir fiksuojame rezultatą. Perduodame atnaujintą būseną, likusias problemas ir tolesnius veiksmus.
Pakartotinė patikra susiejama su konkrečiais radiniais ir atliktais pakeitimais. Kartojame reikalingą scenarijų, patikriname laukiamą rezultatą ir užfiksuojame būseną: pašalinta, liko dalis problemos arba patvirtinimui trūksta duomenų. Jei taisymas pakeitė susijusią funkciją, tikriname ir jos veikimą numatyta apimtimi.
Rezultate nurodome patikros datą, aplinką ir ribas. Taip klientas mato, kuris radinys uždarytas ir kuo tai pagrįsta. Išvada galioja patikrintiems scenarijams ir būklei tuo metu; tolesni komponentų ar funkcijų pakeitimai gali sukurti naują patikros poreikį.
Perduodame patikrintos apimties aprašą, prioritetinį radinių sąrašą, taisymo rekomendacijas ir atliktų pakeitimų būseną. Kai vykdomas pakartotinis testas, jo rezultatas pridedamas prie atitinkamo radinio, kad pažanga būtų patikrinama. Atviri klausimai turi aiškų tolesnį veiksmą ir atsakingą kontaktą.
Pradžiai pasiruoškite svetainės adresą, naudojamą platformą, žinomus simptomus ir kritinių funkcijų sąrašą. Prieigų reikalingumą aptarsime nustatę apimtį; jas perduosite saugiu kanalu. Jei jau įvyko incidentas, nurodykite jo laiką ir pastebėtus požymius, nekeisdami įrodymų vien dėl užklausos pateikimo.
Svetainės redaktoriui reikia keisti tekstus, tačiau patikros metu vertinama, ar jo rolė leidžia ir administravimo veiksmus. Su testine paskyra palyginame patvirtintas pareigas su prieinamomis funkcijomis. Jei teisės per plačios, taisymo kryptis – sumažinti jas iki reikalingos apimties ir patikrinti, kad turinio redagavimas liko veikiantis.
Šis pavyzdys parodo patikros ir pakartotinio testo logiką. Tikroje aplinkoje reikalingos teisės nustatomos pagal kliento darbo procesą, o ne vien pagal rolės pavadinimą.
| Veiksnys | Kodėl svarbu | Kokios informacijos reikės |
|---|---|---|
| Patikros apimtis | Technologija, funkcijos ir metodai lemia tikrinimo darbus. | Svetainės adresas, technologija ir vertinimo tikslas. |
| Taisymų poreikis | Patvirtintų problemų šalinimas įvertinamas atskirai. | Žinomos problemos ir taisymo prioritetai. |
| Licencijos ir tiekėjai | Pakeitimams gali reikėti papildinių ar kito tiekėjo pagalbos. | Turimos licencijos, testinė aplinka ir kopijos. |
Pasirinkite paslaugą pagal konkretaus darbo apimtį.
Įvertinti organizacijos saugumo būklę ir pateikti pagrįstą trūkumų bei prioritetų ataskaitą.
Nuolat stebėti saugumo įvykius ir eskaluoti reikšmingus įspėjimus pagal sutartą tvarką.
Perimti ir nuolat prižiūrėti jau veikiančią svetainę ar el. parduotuvę.
APTARKIME
Pateikite svetainės adresą, technologiją ir žinomus simptomus. Aptarsime patikros objektus bei leidžiamus veiksmus; užklausos pateikimas aktyvios patikros nepradeda.
