Зовнішній аудит безпеки веб-додатку

Задача: Проведення зовнішнього аудиту безпеки веб-додатку [NDA] для виявлення потенційних вразливостей, оцінки рівня захисту і забезпечення відповідності кращим практикам кібербезпеки. Основною метою було виявити потенційні загрози і запропонувати рекомендації для їх усунення, тим самим підвищивши загальний рівень безпеки веб-додатку.

Робота включала:

— Первинний огляд: Збір інформації про веб-додаток, включаючи структуру, використовувані технології та зовнішні інтеграції, для розуміння загального контексту безпеки.
— Автоматичне IAST/DAST сканування: Проведення динамічного та інтерактивного аналізу безпеки додатку з використанням автоматизованих інструментів для виявлення вразливостей на рівні коду та під час виконання додатку.
— Напівавтоматичне / ручне сканування: Виконання детальних напівавтоматичних і ручних перевірок для виявлення складних вразливостей, які можуть бути пропущені автоматичними інструментами.
— Збір хостів: Ідентифікація доменів, субдоменів та IP-адрес, пов'язаних із веб-додатком (Host Harvesting / Subdomain Discovery), для подальшого аналізу їх безпеки.
— Аналіз хостів і IP-адрес (WEBINT): Проведення розвідки (WEBINT) для збору інформації про хости та IP-адреси, що дозволило виявити потенційні точки входу для атак.
— Сканування мережевого периметру (Network Perimeter Overview): Оцінка захищеності мережевого периметру веб-додатку, виявлення відкритих портів і сервісів, а також оцінка ризиків.
— Аналіз DNS-зони (DNS Discovery): Перевірка конфігурації DNS-зон на наявність можливих уразливостей і неправильних налаштувань.
— Аналіз TLS/SSL: Перевірка налаштувань TLS/SSL для забезпечення надійного шифрування даних і захисту від відомих атак на рівні протоколу.
— Аналіз SMTP-сервера: Оцінка безпеки SMTP-сервера, включаючи налаштування аутентифікації та захисту від спаму.
— Аналіз FTP-сервера: Перевірка FTP-сервера на наявність слабких місць, таких як незахищена передача даних або слабкі паролі.
— Аналіз SQL-сервера: Перевірка SQL-сервера на наявність уразливостей, таких як SQL-ін'єкції або неправильні налаштування безпеки.
— Аналіз SSH-сервера: Оцінка безпеки SSH-сервера, включаючи налаштування аутентифікації, захист від брутфорсу та використання надійних ключів.
— Аналіз HTTP-заголовків: Перевірка конфігурації HTTP-заголовків для запобігання атакам XSS, Clickjacking, ін'єкціям та іншим типам загроз.
— Аналіз технологій (Technology Lookup): Визначення технологій і фреймворків, що використовуються на сайті, для виявлення можливих вразливостей у їх конфігурації.
— Парсинг структури (збір файлів і URL): Збір та аналіз усіх доступних файлів і URL на сайті для подальшого тестування на вразливості.
— Аналіз параметрів URL: Перевірка параметрів URL на наявність можливих уразливостей, таких як SQL-ін'єкції або XSS.
— Аналіз вихідного коду (Source Code Analysis): Проведення аналізу вихідного коду для виявлення логічних помилок, вразливостей у коді та інших ризиків.
— Аналіз веб-елементів: Детальне тестування POST/GET запитів, форм і інших веб-елементів на наявність уразливостей.
— Ідентифікація та оцінка вразливостей: Збір і оцінка всіх виявлених вразливостей, включаючи їх класифікацію за рівнем критичності.
— Підготовка звіту: Складання детального звіту, що включає всі виявлені вразливості, їх можливий вплив на безпеку веб-додатку та рекомендації щодо усунення ризиків.

Результат: Веб-додаток пройшов всебічний аналіз безпеки, що дозволило виявити та усунути критичні вразливості. Після впровадження рекомендованих заходів безпеки було забезпечено високий рівень захисту додатку, що значно знизило ризик успішних атак і забезпечило безпечну роботу для користувачів.