Zewnętrzny audyt bezpieczeństwa aplikacji internetowej

Zadanie: Przeprowadzenie zewnętrznego audytu bezpieczeństwa aplikacji webowej [NDA] w celu wykrycia potencjalnych luk, oceny poziomu ochrony i zapewnienia zgodności z najlepszymi praktykami cyberbezpieczeństwa. Głównym celem było zidentyfikowanie potencjalnych zagrożeń i zaproponowanie rekomendacji do ich usunięcia, tym samym zwiększając ogólny poziom bezpieczeństwa aplikacji webowej.

Praca obejmowała:

— Wstępny przegląd: Zbieranie informacji o aplikacji webowej, w tym struktury, używanych technologii i zewnętrznych integracji, w celu zrozumienia ogólnego kontekstu bezpieczeństwa.
— Automatyczne skanowanie IAST/DAST: Przeprowadzenie dynamicznej i interaktywnej analizy bezpieczeństwa aplikacji z wykorzystaniem zautomatyzowanych narzędzi do wykrywania luk na poziomie kodu i podczas działania aplikacji.
— Półautomatyczne / ręczne skanowanie: Wykonanie szczegółowych półautomatycznych i ręcznych kontroli w celu wykrycia złożonych luk, które mogą być pominięte przez automatyczne narzędzia.
— Zbieranie hostów: Identyfikacja domen, subdomen i adresów IP związanych z aplikacją webową (Host Harvesting / Subdomain Discovery), do dalszej analizy ich bezpieczeństwa.
— Analiza hostów i adresów IP (WEBINT): Przeprowadzenie wywiadu (WEBINT) w celu zebrania informacji o hostach i adresach IP, co pozwoliło zidentyfikować potencjalne punkty wejścia dla ataków.
— Skanowanie perymetru sieci (Network Perimeter Overview): Ocena zabezpieczeń perymetru sieci aplikacji webowej, wykrywanie otwartych portów i usług oraz ocena ryzyk.
— Analiza strefy DNS (DNS Discovery): Sprawdzenie konfiguracji stref DNS pod kątem możliwych luk i błędnych ustawień.
— Analiza TLS/SSL: Sprawdzenie ustawień TLS/SSL w celu zapewnienia solidnego szyfrowania danych i ochrony przed znanymi atakami na poziomie protokołu.
— Analiza serwera SMTP: Ocena bezpieczeństwa serwera SMTP, w tym ustawienia uwierzytelniania i ochrona przed spamem.
— Analiza serwera FTP: Sprawdzenie serwera FTP pod kątem słabych punktów, takich jak niechroniony transfer danych lub słabe hasła.
— Analiza serwera SQL: Sprawdzenie serwera SQL pod kątem luk, takich jak wstrzyknięcia SQL lub błędne ustawienia bezpieczeństwa.
— Analiza serwera SSH: Ocena bezpieczeństwa serwera SSH, w tym ustawienia uwierzytelniania, ochrona przed atakami brute force oraz użycie solidnych kluczy.
— Analiza nagłówków HTTP: Sprawdzenie konfiguracji nagłówków HTTP w celu zapobiegania atakom XSS, Clickjacking, wstrzyknięciom i innym typom zagrożeń.
— Analiza technologii (Technology Lookup): Identyfikacja technologii i frameworków używanych na stronie w celu wykrycia możliwych luk w ich konfiguracji.
— Parsowanie struktury (zbiór plików i URL): Zbieranie i analiza wszystkich dostępnych plików i URL na stronie do dalszego testowania pod kątem luk.
— Analiza parametrów URL: Sprawdzenie parametrów URL pod kątem możliwych luk, takich jak wstrzyknięcia SQL lub XSS.
— Analiza kodu źródłowego (Source Code Analysis): Przeprowadzenie analizy kodu źródłowego w celu wykrycia błędów logicznych, luk w kodzie i innych ryzyk.
— Analiza elementów webowych: Szczegółowe testowanie zapytań POST/GET, formularzy i innych elementów webowych pod kątem luk.
— Identyfikacja i ocena luk: Zbieranie i ocena wszystkich wykrytych luk, w tym ich klasyfikacja według poziomu krytyczności.
— Przygotowanie raportu: Sporządzenie szczegółowego raportu, który zawiera wszystkie wykryte luki, ich potencjalny wpływ na bezpieczeństwo aplikacji webowej oraz rekomendacje dotyczące usunięcia ryzyk.

Wynik: Aplikacja webowa przeszła wszechstronną analizę bezpieczeństwa, co pozwoliło wykryć i usunąć krytyczne luki. Po wdrożeniu zalecanych środków bezpieczeństwa zapewniono wysoki poziom ochrony aplikacji, co znacznie zmniejszyło ryzyko udanych ataków i zapewniło bezpieczną pracę dla użytkowników.