Внешний аудит безопасности веб-приложения

Задача: Проведение внешнего аудита безопасности веб-приложения [NDA] для выявления потенциальных уязвимостей, оценки уровня защиты и обеспечения соответствия лучшим практикам кибербезопасности. Основной целью было выявить потенциальные угрозы и предложить рекомендации для их устранения, тем самым повысив общий уровень безопасности веб-приложения.

Работа включала:

— Первичный обзор: Сбор информации о веб-приложении, включая структуру, используемые технологии и внешние интеграции, для понимания общего контекста безопасности.
— Автоматическое IAST/DAST сканирование: Проведение динамического и интерактивного анализа безопасности приложения с использованием автоматизированных инструментов для выявления уязвимостей на уровне кода и во время выполнения приложения.
— Наполовину автоматическое / ручное сканирование: Выполнение детальных наполовину автоматических и ручных проверок для выявления сложных уязвимостей, которые могут быть пропущены автоматическими инструментами.
— Сбор хостов: Идентификация доменов, субдоменов и IP-адресов, связанных с веб-приложением (Host Harvesting / Subdomain Discovery), для дальнейшего анализа их безопасности.
— Анализ хостов и IP-адресов (WEBINT): Проведение разведки (WEBINT) для сбора информации о хостах и IP-адресах, что позволило выявить потенциальные точки входа для атак.
— Сканирование сетевого периметра (Network Perimeter Overview): Оценка защищенности сетевого периметра веб-приложения, выявление открытых портов и сервисов, а также оценка рисков.
— Анализ DNS-зоны (DNS Discovery): Проверка конфигурации DNS-зон на наличие возможных уязвимостей и неправильных настроек.
— Анализ TLS/SSL: Проверка настроек TLS/SSL для обеспечения надежного шифрования данных и защиты от известных атак на уровне протокола.
— Анализ SMTP-сервера: Оценка безопасности SMTP-сервера, включая настройки аутентификации и защиты от спама.
— Анализ FTP-сервера: Проверка FTP-сервера на наличие слабых мест, таких как незашифрованная передача данных или слабые пароли.
— Анализ SQL-сервера: Проверка SQL-сервера на наличие уязвимостей, таких как SQL-инъекции или неправильные настройки безопасности.
— Анализ SSH-сервера: Оценка безопасности SSH-сервера, включая настройки аутентификации, защиту от брутфорса и использование надежных ключей.
— Анализ HTTP-заголовков: Проверка конфигурации HTTP-заголовков для предотвращения атак XSS, Clickjacking, инъекций и других типов угроз.
— Анализ технологий (Technology Lookup): Определение технологий и фреймворков, используемых на сайте, для выявления возможных уязвимостей в их конфигурации.
— Парсинг структуры (сбор файлов и URL): Сбор и анализ всех доступных файлов и URL на сайте для дальнейшего тестирования на уязвимости.
— Анализ параметров URL: Проверка параметров URL на наличие возможных уязвимостей, таких как SQL-инъекции или XSS.
— Анализ исходного кода (Source Code Analysis): Проведение анализа исходного кода для выявления логических ошибок, уязвимостей в коде и других рисков.
— Анализ веб-элементов: Детальное тестирование POST/GET запросов, форм и других веб-элементов на наличие уязвимостей.
— Идентификация и оценка уязвимостей: Сбор и оценка всех выявленных уязвимостей, включая их классификацию по уровню критичности.
— Подготовка отчета: Составление детального отчета, который включает все выявленные уязвимости, их возможное влияние на безопасность веб-приложения и рекомендации по устранению рисков.

Результат: Веб-приложение прошло всесторонний анализ безопасности, что позволило выявить и устранить критические уязвимости. После внедрения рекомендованных мер безопасности был обеспечен высокий уровень защиты приложения, что значительно снизило риск успешных атак и обеспечило безопасную работу для пользователей.