Накратко: Тестът за проникване на Вашето PHP приложение показва кои слабости един атакуващ действително би могъл да експлоатира, преди някой да го направи. Заедно със специализирани партньори проверяваме приложението и сървъра в писмено договорен обхват и предоставяме доклад с приоритизирани мерки. След отстраняването проверяваме в повторен тест дали уязвимостите са затворени.
Защо тестът за проникване на PHP приложения е разумен
PHP2Shell показа, че дори основата на едно приложение, самият PHP, може да съдържа критична уязвимост. Повечето прониквания в PHP приложения обаче минават през познати слабости в собствения код или в конфигурацията: SQL инжекция, Cross-Site Scripting, несигурни качвания на файлове, слаби сесии, остарели зависимости или отворени администраторски области. OWASP Top 10 обобщава тези категории.
Независимият поглед отвън намира това, което в ежедневието се пренебрегва. За управителите и надзора той дава надеждна основа за оценка на рисковете и за целево използване на бюджета. За разработчиците той е конкретен работен списък.
Одит или тест за проникване: кое подхожда на Вас?
| Форма | Какво се проверява | Подходяща, когато |
|---|---|---|
| Одит на конфигурацията | сървър, PHP, уеб сървър, достъпи, резервни копия | искате да знаете състоянието на инфраструктурата |
| Преглед на кода (Code Review) | изходният код на приложението с поглед във вътрешността | има собствени разработки или по-големи адаптации |
| Тест за проникване Black-Box | приложението отвън без предварителни знания | искате да видите гледната точка на външен атакуващ |
| Тест за проникване Grey-/White-Box | приложението с тестови акаунти или код | искате да откриете колкото се може повече за ограничено време |
Често комбинацията е разумна, например одит на конфигурацията на сървъра заедно с Grey-Box тест на приложението. Чистият Black-Box тест изглежда реалистично, но губи много време в разузнаване. С тестови акаунти и поглед в структурата проверяващите по правило откриват повече слабости за същото време.
Освен приложението си струва погледът към средата: коя PHP версия работи, достъпни ли са публично администраторски интерфейси, лежат ли резервни копия в уеб директорията, актуални ли са зависимостите? Такива точки проверяваме при одита, защото на практика те често тежат повече от отделна грешка в кода.
Кога е правилният момент за тест?
Тестът за проникване дава най-много, когато се провежда в разумна точка от жизнения цикъл на приложението. Типични поводи са:
- преди пускането на ново приложение, магазин или клиентски портал
- след по-големи промени, например нови начини на плащане, интерфейси или процедури за вход
- след инцидент, когато почистването и заздравяването (hardening) са приключили и искате независим контрол
- през редовни интервали, когато клиенти, партньори или Вашето управление на риска го изискват
Малко смисъл има тест, докато са отворени познати уязвимости. Който още използва непачнати PHP версии, трябва първо да постигне базовото състояние. Иначе се плаща за тест, който потвърждава познатото.
Как помага PHP SOS конкретно?
- Определяне на обхвата: С Вас изясняваме кои приложения, сървъри и функции се проверяват, кой вид тест подхожда и какво е изрично изключено. Резултатът е писмено възлагане с времеви прозорец и лица за контакт.
- Подготовка: Осигуряват се тестови акаунти, достъпи до тестовата среда и актуално резервно копие. Вашият хостинг доставчик се информира при нужда, за да не бъде тестът блокиран като истинска атака.
- Проверка: Нашите специализирани партньори тестват по признати методи, между другото по категориите на OWASP. Критичните находки съобщаваме веднага, а не едва в заключителния доклад.
- Докладване: Получавате доклад с резюме за ръководството и технически дял.
- Повторен тест: След отстраняването проверяваме намерените слабости отново и потвърждаваме кои са затворени.
Много находки могат да бъдат избегнати още предварително. Наръчниците за SQL инжекция в PHP, сигурни качвания на файлове и сесии в PHP помагат на разработчиците при подготовката.
Какво получавате и какво ни е нужно
Докладът съдържа всяка намерена слабост с описание, засегнато място, оценка на риска и конкретна препоръка за отстраняване. Резюме за управителите оценява резултатите без жаргон. След повторния тест получавате потвърждение кои точки са отстранени. Инструменти за атака или изпълними експлойти не са част от доклада.
От Вас ни е нужно:
- писмено разрешение от упълномощеното лице за всяка система, която ще се тества, дори когато тя е при хостинг доставчик
- тестови акаунти с ролите, които ще се проверяват
- тестова среда или разрешение да се тества в живата среда в рамките на времеви прозорец
- технически лице за контакт по време на теста
- при Code Review: достъп до хранилището
Какво не обещаваме
Тестът за проникване не намира всяка уязвимост. Той е моментна снимка в договорения обхват; нови функции или нови уязвимости в зависимостите могат утре да дадат различна картина. Не посочваме сертификати или печати, които нямаме, и не издаваме удостоверения, които заместват правни задължения. Дали един тест изпълнява Вашите задължения, например по NIS2, изяснете със Вашите специалисти по право и съответствие.
Отстраняването на находките поемаме по желание сами или заедно с Вашата агенция. За сървъра и PHP конфигурацията е подходящо заздравяването на сървъра.
Често задавани въпроси
Каква е разликата между одит на сигурността и тест за проникване?
Одитът проверява конфигурацията, процесите и кода по изисквания и опит, често с поглед във вътрешността на системите. Тестът за проникване се опитва целево и с Ваше разрешение да експлоатира слабости, за да покаже реалния им ефект. Двете се допълват.
Опасен ли е тестът за проникване за моето PHP приложение?
Един тест може да натовари системи или да промени данни. Затова обхватът, времевият прозорец и границите се определят предварително писмено и препоръчваме, където е възможно, да се ползва тестова среда. Актуално резервно копие винаги е част от подготовката.
Намира ли тестът за проникване всички уязвимости?
Не. Тестът показва слабостите, намерени в договорения обхват и период. Той е моментна снимка и намалява риска, но не доказва, че няма други уязвимости.
Помага ли тестът за проникване при NIS2?
Редовните проверки на мерките за сигурност са обичаен елемент за изпълнение на задълженията за управление на риска. Какви изисквания важат конкретно за Вашата фирма, изяснете със специалисти по право и съответствие (compliance).