Röviden: A PHP-alkalmazásához végzett penetrációs teszt megmutatja, mely sebezhetőségeket használhatna ki ténylegesen egy támadó, mielőtt valaki megtenné. Szakosodott partnerekkel együtt írásban megállapodott terjedelemben átvizsgáljuk az alkalmazást és a szervert, és jelentést adunk prioritási sorrendbe tett intézkedésekkel. A javítás után egy utótesztben ellenőrizzük, hogy a rések lezárultak-e.
Miért értelmes a penetrációs teszt PHP-alkalmazásokhoz
A PHP2Shell megmutatta, hogy egy alkalmazás alapja, maga a PHP is tartalmazhat kritikus rést. A PHP-alkalmazásokba történő behatolások többsége azonban a saját kód vagy a konfiguráció ismert gyengeségein keresztül zajlik: SQL-injection, Cross-Site-Scripting, nem biztonságos fájlfeltöltések, gyenge munkamenetek, elavult függőségek vagy nyitott rendszergazdai területek. Az OWASP Top 10 összefoglalja ezeket a kategóriákat.
Egy külső, független pillantás megtalálja azt, amit a mindennapokban átlátnak. A vezetés és a felügyelet számára megbízható alapot ad a kockázatok felméréséhez és a költségvetés célzott felhasználásához. A fejlesztők számára konkrét munkalista.
Audit vagy penetrációs teszt: mi illik Önhöz?
| Forma | Mit vizsgálnak | Akkor megfelelő, ha |
|---|---|---|
| Konfigurációs audit | szerver, PHP, webszerver, hozzáférések, mentések | meg akarja ismerni az infrastruktúra állapotát |
| Kód-review | az alkalmazás forráskódja betekintéssel | saját fejlesztések vagy nagyobb módosítások vannak |
| Penetrációs teszt, black-box | az alkalmazás kívülről, előzetes tudás nélkül | egy külső támadó nézőpontját akarja látni |
| Penetrációs teszt, grey/white-box | az alkalmazás tesztfiókokkal vagy kóddal | korlátozott idő alatt minél többet akar találni |
Gyakran a kombináció értelmes, például a szerver konfigurációs auditja egy alkalmazás grey-box tesztjével együtt. A tiszta black-box teszt valósághűnek hat, de sok időt visz el a felderítés. Tesztfiókokkal és az felépítésbe való betekintéssel a vizsgálók ugyanannyi idő alatt rendszerint több sebezhetőséget találnak.
Az alkalmazás mellett érdemes a környezetre is ránézni: melyik PHP-verzió fut, nyilvánosan elérhetők-e a rendszergazdai felületek, vannak-e mentések a webkönyvtárban, naprakészek-e a függőségek? Az ilyen pontokat az auditban is ellenőrizzük, mert a gyakorlatban gyakran súlyosabbak egy egyedi kódhibánál.
Mikor van a teszt megfelelő időpontja?
A penetrációs teszt akkor hoz a legtöbbet, ha az alkalmazás életciklusának egy értelmes pontján zajlik. Tipikus alkalmak:
- egy új alkalmazás, webshop vagy ügyfélportál indulása előtt
- nagyobb változtatások után, például új fizetési módok, interfészek vagy bejelentkezési eljárások esetén
- egy incidens után, ha a tisztítás és a keményítés lezárult, és független ellenőrzést szeretne
- rendszeres időközönként, ha ügyfelei, partnerei vagy a kockázatkezelése ezt megköveteli
Kevéssé értelmes a teszt, amíg ismert rések nyitva vannak. Aki még javítatlan PHP-verziókat üzemeltet, előbb teremtse meg az alapállapotot. Különben egy tesztért fizet azért, hogy megerősítse az ismertet.
Hogyan segít konkrétan a PHP SOS?
- A terjedelem meghatározása: Tisztázzuk Önnel, mely alkalmazásokat, szervereket és funkciókat vizsgálnak, milyen tesztfajta illik hozzá, és mi van kifejezetten kizárva. Az eredmény egy írásos megbízás időablakkal és kapcsolattartókkal.
- Előkészítés: Rendelkezésre bocsátják a tesztfiókokat, a tesztkörnyezet hozzáféréseit és egy aktuális mentést. A tárhelyszolgáltatóját szükség esetén tájékoztatják, hogy a tesztet ne zárolják valódi támadásként.
- Vizsgálat: Szakosodott partnereink elismert módszerek szerint tesztelnek, egyebek mellett az OWASP kategóriák mentén. A kritikus leleteket azonnal jelezzük, nem csak a záró jelentésben.
- Jelentés: Jelentést kap vezetői összefoglalóval és műszaki résszel.
- Utóteszt: A javítás után újra ellenőrizzük a megtalált sebezhetőségeket, és megerősítjük, mi záródott le.
Sok lelet már előre elkerülhető. Az SQL-injection PHP-ban, a biztonságos fájlfeltöltések és a munkamenetek PHP-ban útmutatói segítenek a fejlesztőknek az előkészületben.
Mit kap, és mire van szükségünk
A jelentés minden megtalált sebezhetőséget tartalmaz leírással, az érintett hellyel, kockázatértékeléssel és konkrét javítási javaslattal. A vezetésnek szóló összefoglaló szakzsargon nélkül helyezi el az eredményeket. Az utóteszt után megerősítést kap arról, mely pontok lettek javítva. Támadóeszközök vagy futtatható exploitok nem részei a jelentésnek.
Öntől a következőkre van szükségünk:
- írásos engedély a jogosult személytől minden tesztelendő rendszerre, akkor is, ha tárhelyszolgáltatónál van
- tesztfiókok a vizsgálandó szerepkörökkel
- egy tesztkörnyezet, vagy engedély arra, hogy az éles környezetben egy időablakban teszteljünk
- egy műszaki kapcsolattartó a teszt alatt
- kód-review esetén: hozzáférés a repositoryhoz
Amit nem ígérünk
A penetrációs teszt nem talál meg minden rést. Pillanatfelvétel a megállapodott terjedelemben; új funkciók vagy a függőségekben megjelenő új rések holnap más képet adhatnak. Nem hivatkozunk olyan tanúsítványokra vagy minősítésekre, amelyekkel nem rendelkezünk, és nem állítunk ki olyan igazolásokat, amelyek jogi kötelezettségeket helyettesítenének. Hogy egy teszt teljesíti-e az Ön kötelezettségeit például a NIS2 szerint, azt jogi és megfelelőségi szakembereivel tisztázza.
A leletek javítását kérésre magunk vagy az ügynökségével közösen végezzük. A szerverhez és a PHP-konfigurációhoz kézenfekvő a szerverkeményítés.
Gyakori kérdések
Mi a különbség a biztonsági audit és a penetrációs teszt között?
Az audit a konfigurációt, a folyamatokat és a kódot vizsgálja előírások és tapasztalati értékek alapján, gyakran a rendszerekbe való betekintéssel. A penetrációs teszt célzottan és az Ön engedélyével megpróbálja kihasználni a sebezhetőségeket, hogy megmutassa tényleges hatásukat. A kettő kiegészíti egymást.
Veszélyes-e a PHP-alkalmazásomra a penetrációs teszt?
Egy teszt terhelheti a rendszereket, vagy módosíthat adatokat. Ezért a terjedelmet, az időablakot és a határokat előre írásban rögzítik, és ahol lehet, tesztkörnyezet használatát javasoljuk. Aktuális mentés mindig hozzátartozik.
Megtalál a penetrációs teszt minden biztonsági rést?
Nem. A teszt azokat a sebezhetőségeket mutatja meg, amelyeket a megállapodott terjedelemben és időszakban találtak. Pillanatfelvétel, csökkenti a kockázatot, de nem bizonyítja, hogy nincs több rés.
Segít a penetrációs teszt a NIS2-nél?
A biztonsági intézkedések rendszeres vizsgálata a kockázatkezelési kötelezettségek teljesítésének szokásos eleme. Hogy az Ön vállalkozására konkrétan mely követelmények vonatkoznak, azt kérjük, tisztázza jogi és megfelelőségi szakemberekkel.