Trumpai: Jūsų PHP programos skverbties testas parodo, kuriuos pažeidžiamumus užpuolikas iš tikrųjų galėtų išnaudoti, kol to nepadarė kas nors kitas. Kartu su specializuotais partneriais tikriname programą ir serverį raštu sutartos apimties ribose ir pateikiame ataskaitą su prioritetizuotomis priemonėmis. Po pašalinimo pakartotiniu testu patikriname, ar spragos uždarytos.
Kodėl PHP programų skverbties testas prasmingas
PHP2Shell parodė, kad net programos pagrindas, pats PHP, gali turėti kritinę spragą. Tačiau dauguma įsilaužimų į PHP programas vyksta per žinomas nuosavo kodo ar konfigūracijos silpnybes: SQL injekciją, tarpsvetainį scenarijų vykdymą (Cross-Site-Scripting), nesaugius failų įkėlimus, silpnas sesijas, pasenusias priklausomybes ar atviras administravimo sritis. OWASP Top 10 šias kategorijas apibendrina.
Nepriklausomas žvilgsnis iš šalies randa tai, kas kasdienybėje praleidžiama. Vadovybei ir priežiūrai jis suteikia patikimą pagrindą rizikoms įvertinti ir biudžetui nukreipti tikslingai. Kūrėjams jis yra konkretus darbų sąrašas.
Auditas ar skverbties testas: kas jums tinka?
| Forma | Kas tikrinama | Tinka, kai |
|---|---|---|
| Konfigūracijos auditas | serveris, PHP, žiniatinklio serveris, prieigos, atsarginės kopijos | norite žinoti infrastruktūros būklę |
| Kodo peržiūra | programos šaltinio kodas su prieiga | yra nuosavų sprendimų ar didesnių pritaikymų |
| Skverbties testas Black-Box | programa iš išorės be išankstinių žinių | norite pamatyti išorinio užpuoliko požiūrį |
| Skverbties testas Grey-/White-Box | programa su bandomosiomis paskyromis ar kodu | norite per ribotą laiką rasti kuo daugiau |
Dažnai prasmingas derinys, pavyzdžiui, serverio konfigūracijos auditas kartu su programos Grey-Box testu. Grynas Black-Box testas atrodo realistiškai, bet daug laiko sunaudoja tyrinėjimui. Su bandomosiomis paskyromis ir žvilgsniu į sandarą tikrintojai per tą patį laiką paprastai randa daugiau pažeidžiamumų.
Šalia programos verta pažvelgti į aplinką: kokia PHP versija veikia, ar administravimo sąsajos viešai pasiekiamos, ar atsarginės kopijos guli žiniatinklio kataloge, ar priklausomybės naujausios? Tokius punktus audito metu tikriname kartu, nes praktikoje jie dažnai sveria daugiau nei pavienė kodo klaida.
Kada geriausias laikas testui?
Skverbties testas duoda daugiausia, kai atliekamas prasmingu programos gyvavimo ciklo momentu. Tipiniai atvejai:
- prieš pradedant naudoti naują programą, parduotuvę ar klientų portalą
- po didesnių pakeitimų, pavyzdžiui, naujų mokėjimo būdų, sąsajų ar prisijungimo procedūrų
- po incidento, kai išvalymas ir sustiprinimas baigti ir norite nepriklausomos kontrolės
- reguliariais intervalais, jei to reikalauja klientai, partneriai ar jūsų rizikos valdymas
Mažai prasmės testuoti, kol žinomos spragos atviros. Kas dar eksploatuoja nepataisytas PHP versijas, turėtų pirmiausia pasiekti pagrindinę būseną. Kitaip moki už testą, kuris patvirtina jau žinomus dalykus.
Kaip PHP SOS padeda konkrečiai?
- Nustatyti apimtį: Su jumis išsiaiškiname, kurios programos, serveriai ir funkcijos tikrinamos, kuri testo rūšis tinka ir kas aiškiai neįtraukta. Rezultatas yra rašytinis užsakymas su laiko langu ir kontaktiniais asmenimis.
- Pasiruošti: Parengiamos bandomosios paskyros, prieigos prie bandomosios aplinkos ir naujausia atsarginė kopija. Prireikus informuojamas jūsų talpintojas, kad testas nebūtų užblokuotas kaip tikra ataka.
- Tikrinti: Mūsų specializuoti partneriai testuoja pagal pripažintus metodus, be kita ko, pagal OWASP kategorijas. Apie kritinius radinius pranešame iš karto, o ne tik baigiamojoje ataskaitoje.
- Pateikti ataskaitą: Gaunate ataskaitą su vadovybės santrauka ir technine dalimi.
- Pakartotinis testas: Po pašalinimo radinius tikriname iš naujo ir patvirtiname, kas uždaryta.
Daugelio radinių galima išvengti iš anksto. Vadovai apie SQL injekciją PHP, saugų failų įkėlimą ir sesijas PHP padeda kūrėjams pasiruošti.
Ką gausite ir ko mums reikia
Ataskaitoje aprašomas kiekvienas rastas pažeidžiamumas, nurodoma paveikta vieta, rizikos vertinimas ir konkreti šalinimo rekomendacija. Vadovybės santrauka rezultatus įvertina be profesinio žargono. Po pakartotinio testo gaunate patvirtinimą, kurie punktai pašalinti. Atakos įrankiai ar vykdomi išnaudojimo kodai (exploit) į ataskaitą neįtraukiami.
Iš jūsų mums reikia:
- rašytinio leidimo iš įgalioto asmens kiekvienai testuojamai sistemai, net jei ji pas talpintoją
- bandomųjų paskyrų su vaidmenimis, kurie bus tikrinami
- bandomosios aplinkos arba leidimo testuoti gyvoje aplinkoje laiko lange
- techninio kontaktinio asmens testo metu
- kodo peržiūros atveju: prieigos prie saugyklos
Ko neapsiimame
Skverbties testas neranda kiekvienos spragos. Tai momentinis vaizdas sutartos apimties ribose; naujos funkcijos ar naujos priklausomybių spragos rytoj gali duoti kitokį vaizdą. Nevardijame sertifikatų ar ženklų, kurių neturime, ir neišduodame pažymų, pakeičiančių teisines pareigas. Ar testas įvykdo jūsų pareigas, pavyzdžiui, pagal NIS2, išsiaiškinkite su teisės ir atitikties specialistais.
Radinių pašalinimą pagal pageidavimą atliekame patys arba kartu su jūsų agentūra. Serveriui ir PHP konfigūracijai tinka serverio sustiprinimas.
Dažni klausimai
Kuo skiriasi saugumo auditas ir skverbties testas?
Auditas tikrina konfigūraciją, procesus ir kodą pagal reikalavimus ir patirtį, dažnai turint prieigą prie sistemų. Skverbties testas tikslingai ir su jūsų leidimu bando išnaudoti pažeidžiamumus, kad parodytų jų tikrąjį poveikį. Abu papildo vienas kitą.
Ar skverbties testas mano PHP programai pavojingas?
Testas gali apkrauti sistemas ar keisti duomenis. Todėl apimtis, laiko langas ir ribos iš anksto nustatomi raštu, o kur įmanoma, rekomenduojame naudoti bandomąją aplinką. Visada priklauso ir naujausia atsarginė kopija.
Ar skverbties testas randa visas saugumo spragas?
Ne. Testas parodo pažeidžiamumus, rastus sutartos apimties ir laikotarpio ribose. Tai momentinis vaizdas, kuris mažina riziką, bet neįrodo, kad nėra kitų spragų.
Ar skverbties testas padeda dėl NIS2?
Reguliarūs saugumo priemonių patikrinimai yra įprasta dalis rizikos valdymo pareigoms vykdyti. Kokie reikalavimai konkrečiai taikomi jūsų įmonei, išsiaiškinkite su teisės ir atitikties specialistais.