WebInspect по производственным системам

Question

У меня есть клиент, который использовал WebInspect в реальных производственных системах с живыми данными. Они дают инструменту реальный идентификатор пользователя с реальными данными и позволяют WebInspect использовать его для полного заполнения формы. По крайней мере, в одном случае они повредили производственные данные в результате. Мой клиент непреклонен, что они должны сделать это, чтобы обеспечить безопасность своего веб-сайта. Мне это кажется непродуманной идеей. Каковы мнения других людей по этому поводу? Я всегда считал, что WebInspect - это инструмент разработчика, а не инструмент тестирования на проникновение.

Answer 1

Ладья верна, WebInspect не должен использоваться в производственной среде без тщательного рассмотрения последствий.По моему опыту, именно Crawler может причинить больше всего вреда, а не Аудит / Атаки, как все предполагают.Это связано с тем, что Crawler должен выполнять все части представленного приложения, независимо от того, чтобы выявить наиболее уязвимую поверхность.Если есть способ перевести средства или большая красная кнопка с надписью: «О, пожалуйста, не нажимайте эту кнопку, WebInspect сделает это».

Лучший способ, как описывает Рук, сканирование в тестовой среде.первый.Как только вы отработаете все изгибы при сканировании тестового экземпляра, вы сможете позже использовать эту конфигурацию сканирования на производственном сайте.Вы должны использовать обычную учетную запись уровня пользователя для аутентификации WebInspect, но вы должны использовать тестовую учетную запись, а не учетную запись реального человека.Эквивалентный, но не тот же самый.

WebInspect предлагает множество способов «придать форму» вашему сканированию.Параметр Restrict To Folder может хранить его в одном каталоге или в этом каталоге и его дочерних элементах.Session Exclusions может запретить WebInspect посещать определенные папки, URL-адреса или формы.Фильтры запроса могут использоваться для предотвращения использования определенного значения формы, в то же время разрешая все остальные.Сканирования List-Driven или Workflow-Driven в сочетании с методом Audit-Only могут ограничивать атаки одной областью и предотвращать сканирование / обнаружение остальной части сайта.

Если у вас есть дополнительные вопросы, всегда связывайтесь с клиентомПоддержите, и, возможно, попросите их Сканирующую кулинарную книгу или отдельную рецензию.

Полное раскрытие - я работал над поддержкой и продажей WebInspect с 2004 года.

Answer 2

Webinspect никогда не следует использовать в производственной среде, поскольку есть все шансы, что сервер может выйти из строя, данные могут быть повреждены и т. Д. Тесты на проникновение обычно проводятся в промежуточной или предварительной среде.Ознакомьтесь с приведенным ниже руководством, в котором подробно объясняется, что нужно делать для сканирования веб-приложений.

http://webappsecure.blogspot.in/2012/07/hp-webinspect-tutorial.html

Answer 3

Этот тип тестирования требуется PCI-DSS.Торговцы должны сканировать свой действующий сайт и производить один проходной тест один раз в квартал.Такие службы, как Mcafee Secure и Sitewatch имеют возможность сканировать ваш сайт каждый день.Очень эффективным подходом было бы протестировать сборку разработки базы кода до выпуска каких-либо изменений.

Если существует проблемная форма, которая загрязняет вашу базу данных, тогда вы должны защитить эту форму с помощью capthca.В конце концов, разве это не уязвимость?Не мог ли злоумышленник преднамеренно загрязнить вашу базу данных?На самом деле это обходной способ обнаружения уязвимости.