Zadanie: Zlecono mi podniesienie poziomu bezpieczeństwa aplikacji webowej [NDA] poprzez dodanie i skonfigurowanie nagłówków bezpieczeństwa HTTP. Celem było zabezpieczenie przed szerokim zakresem zagrożeń internetowych, takich jak ataki XSS, Clickjacking, MITM, wstrzykiwanie SQL i inne podatności.
Praca obejmowała:
— Analizę aktualnego stanu bezpieczeństwa aplikacji webowej z punktu widzenia brakujących lub niewłaściwie skonfigurowanych nagłówków HTTP.
— Dodanie i skonfigurowanie krytycznych nagłówków bezpieczeństwa, takich jak:
—— Content-Security-Policy (CSP): Zapobieganie wykonywaniu złośliwych skryptów i ochrona przed atakami XSS.
—— Strict-Transport-Security (HSTS): Wymuszenie użycia HTTPS dla wszystkich połączeń, ochrona przed atakami typu przechwytywanie danych.
—— X-Frame-Options: Zapobieganie atakom typu Clickjacking poprzez ograniczenie możliwości osadzania stron na zewnętrznych zasobach.
—— X-Content-Type-Options: Ochrona przed atakami typu MIME poprzez wyłączenie automatycznego określania typu treści.
—— Referrer-Policy: Kontrola, jakie informacje są przesyłane w nagłówku Referrer.
—— Permissions-Policy: Ograniczenie dostępu do API przeglądarki, które mogą być używane do złośliwych działań.
— Weryfikację i testowanie wprowadzonych zmian w celu zapewnienia zgodności i skuteczności dodanych nagłówków.
— Optymalizację ustawień nagłówków dla maksymalnego poziomu bezpieczeństwa bez negatywnego wpływu na wydajność i funkcjonalność strony.
— Ponowne skanowanie i testowanie domeny w celu potwierdzenia poprawności i skuteczności ustawień.
Wynik: Po wdrożeniu nagłówków bezpieczeństwa HTTP domena stała się znacznie bardziej zabezpieczona przed szerokim zakresem ataków internetowych. Wyniki testów wykazały zmniejszenie ryzyka i zgodność z najlepszymi praktykami bezpieczeństwa dla aplikacji webowych.
Praca obejmowała:
— Analizę aktualnego stanu bezpieczeństwa aplikacji webowej z punktu widzenia brakujących lub niewłaściwie skonfigurowanych nagłówków HTTP.
— Dodanie i skonfigurowanie krytycznych nagłówków bezpieczeństwa, takich jak:
—— Content-Security-Policy (CSP): Zapobieganie wykonywaniu złośliwych skryptów i ochrona przed atakami XSS.
—— Strict-Transport-Security (HSTS): Wymuszenie użycia HTTPS dla wszystkich połączeń, ochrona przed atakami typu przechwytywanie danych.
—— X-Frame-Options: Zapobieganie atakom typu Clickjacking poprzez ograniczenie możliwości osadzania stron na zewnętrznych zasobach.
—— X-Content-Type-Options: Ochrona przed atakami typu MIME poprzez wyłączenie automatycznego określania typu treści.
—— Referrer-Policy: Kontrola, jakie informacje są przesyłane w nagłówku Referrer.
—— Permissions-Policy: Ograniczenie dostępu do API przeglądarki, które mogą być używane do złośliwych działań.
— Weryfikację i testowanie wprowadzonych zmian w celu zapewnienia zgodności i skuteczności dodanych nagłówków.
— Optymalizację ustawień nagłówków dla maksymalnego poziomu bezpieczeństwa bez negatywnego wpływu na wydajność i funkcjonalność strony.
— Ponowne skanowanie i testowanie domeny w celu potwierdzenia poprawności i skuteczności ustawień.
Wynik: Po wdrożeniu nagłówków bezpieczeństwa HTTP domena stała się znacznie bardziej zabezpieczona przed szerokim zakresem ataków internetowych. Wyniki testów wykazały zmniejszenie ryzyka i zgodność z najlepszymi praktykami bezpieczeństwa dla aplikacji webowych.