Pokrycie OWASP Top 10
Każda ocena aplikacji internetowej powinna obejmować OWASP Top 10: Naruszone Kontrola Dostępu (A01), Błędy Kryptograficzne (A02), Wstrzykiwanie (A03), Niezabezpieczony Projekt (A04), Błędna Konfiguracja Bezpieczeństwa (A05), Podatne Komponenty (A06), Błędy Uwierzytelniania (A07), Błędy Integralności Oprogramowania i Danych (A08), Błędy Rejestrowania (A09) i SSRF (A10). Narzędzia DAST, takie jak Burp Suite i ZAP, automatyzują wykrywanie większości kategorii OWASP Top 10.
Poza OWASP Top 10
Top 10 to podstawa – najczęstsze luki w zabezpieczeniach internetowych, ale nie jedyne. Kompleksowa ocena powinna również obejmować: błędy logiki biznesowej specyficzne dla przepływów pracy w Twojej aplikacji, luki w zabezpieczeniach specyficzne dla API (BOLA, BFLA, ograniczanie szybkości), dogłębność uwierzytelniania i zarządzania sesjami, bezpieczeństwo przesyłania i pobierania plików oraz bezpieczeństwo integracji z podmiotami trzecimi. Kategorie te wymagają testów manualnych – żaden skaner nie wykryje niezawodnie błędów logiki biznesowej.
DAST vs SAST dla Aplikacji Internetowych
DAST (Dynamic Application Security Testing) testuje działającą aplikację z zewnątrz – tak jak zrobiłby to atakujący. SAST (Static Application Security Testing) analizuje kod źródłowy pod kątem wzorców wskazujących na luki w zabezpieczeniach. Oba znajdują różne klasy problemów. DAST znajduje problemy z konfiguracją i wdrożeniem w czasie wykonywania. SAST znajduje błędy na poziomie kodu wcześniej w cyklu życia. Używaj obu metod dla kompleksowego pokrycia.
Ocena Aplikacji Internetowej z Penetrify
Testowanie aplikacji internetowych przez Penetrify łączy skanowanie DAST w celu pokrycia OWASP Top 10 z manualnymi testami eksperckimi pod kątem logiki biznesowej, uwierzytelniania i luk w zabezpieczeniach specyficznych dla API – kategorii, które skanery pomijają i które stanowią największe realne ryzyko.
Podsumowanie
Ocena podatności aplikacji internetowych powinna obejmować OWASP Top 10 poprzez automatyczne skanowanie oraz logikę biznesową i testowanie API poprzez analizę manualną. Penetrify zapewnia obie warstwy.