Что делать со ScanAlert?

Question

Один из моих клиентов использует McAfee ScanAlert (т.е. HackerSafe). Он в основном попадает на сайт с около 1500 плохих запросов в день в поисках дыр в безопасности. Поскольку он демонстрирует вредоносное поведение, заманчиво просто заблокировать его после пары неудачных запросов, но, возможно, я должен позволить ему использовать пользовательский интерфейс. Это настоящий тест, если я не позволю ему закончить?

Answer 1

Разве это не недостаток безопасности сайта, позволяющий хакерам бросать все в своем арсенале против сайта?

Ну, вы должны сосредоточиться на закрытии дыр, а не пытаться помешать сканерам (что бесполезно). Попробуйте сами выполнить такие тесты.

Answer 2

Для предотвращения нарушений безопасности требуются разные стратегии для разных атак. Например, было бы весьма необычно блокировать трафик из определенных источников во время атаки типа «отказ в обслуживании». Если пользователь не может предоставить правильные учетные данные более 3 раз, IP-адрес блокируется или учетная запись блокируется.

Когда ScanAlert выдает сотни запросов, которые могут включать в себя SQL-инъекцию - если не считать одного - это, безусловно, соответствует тому, что код сайта должен считать «вредоносным поведением».

На самом деле, простое внедрение UrlScan или eEye SecureIIS может отказать во многих таких запросах, но это настоящий тест кода сайта. Задача кода сайта - обнаруживать злонамеренных пользователей / запросы и отклонять их. На каком слое действует тест?

ScanAlert представлен двумя различными способами: количество искаженных запросов и разнообразие каждого отдельного запроса в качестве теста. Похоже, что появляются два совета:

1. Код сайта не должен пытаться обнаружить вредоносный трафик из определенного источника и заблокировать этот трафик, потому что это бесполезное усилие.
2. Если вы делаете такую ​​тщетную попытку, по крайней мере, сделайте исключение для запросов от ScanAlert для проверки нижних уровней.

Answer 3

Хорошо, что после нескольких попыток вы блокируете неверный запрос, но вы должны позволить ему продолжить. Если вы заблокируете его после 5 неудачных запросов, вы не узнаете, не приведет ли шестой запрос к сбою на вашем сайте.

EDIT: Я имел в виду, что какой-то злоумышленник может отправить только один запрос, но похожий на один из тех 1495, которые Вы не тестировали, потому что заблокировали., И этот один запрос может привести к поломке вашего сайта.

Answer 4

Если это не вредит производительности сайта, я думаю, это хорошо. Если у вас было 1000 клиентов на одном сайте, все делали это, да, заблокируйте это.

Но если сайт был создан для этого клиента, я думаю, это будет справедливо, если они это сделают.