Īsi: penetrācijas tests jūsu PHP lietojumprogrammai parāda, kuras vājās vietas uzbrucējs patiešām varētu izmantot, pirms to dara kāds cits. Kopā ar specializētiem partneriem mēs pārbaudām lietojumprogrammu un serveri rakstiski saskaņotā apjomā un sniedzam ziņojumu ar prioritizētiem pasākumiem. Pēc novēršanas atkārtotā testā pārbaudām, vai nepilnības ir aizvērtas.
Kāpēc penetrācijas tests PHP lietojumprogrammām ir lietderīgs
PHP2Shell parādīja, ka kritiska ievainojamība var būt pat lietojumprogrammas pamatā, pašā PHP. Taču lielākā daļa ielaušanos PHP lietojumprogrammās notiek caur zināmām vājajām vietām pašu kodā vai konfigurācijā: SQL injekcija, Cross-Site Scripting, nedrošas failu augšupielādes, vājas sesijas, novecojušas atkarības vai atvērtas administratora sadaļas. OWASP Top 10 šīs kategorijas apkopo.
Neatkarīgs skats no malas atrod to, kas ikdienā tiek palaists garām. Vadībai un uzraudzībai tas sniedz pamatotu bāzi, lai novērtētu riskus un mērķtiecīgi izmantotu budžetu. Izstrādātājiem tas ir konkrēts darbu saraksts.
Audits vai penetrācijas tests: kas jums der?
| Veids | Ko pārbauda | Piemērots, ja |
|---|---|---|
| Konfigurācijas audits | Serveris, PHP, tīmekļa serveris, piekļuves, rezerves kopijas | vēlaties uzzināt infrastruktūras stāvokli |
| Koda pārskatīšana | Lietojumprogrammas pirmkods ar ieskatu | ir pašu izstrādāti risinājumi vai lielāki pielāgojumi |
| Penetrācijas tests Black-Box | Lietojumprogramma no ārpuses bez priekšzināšanām | vēlaties redzēt ārēja uzbrucēja skatījumu |
| Penetrācijas tests Grey-/White-Box | Lietojumprogramma ar testa kontiem vai kodu | ierobežotā laikā vēlaties atrast pēc iespējas vairāk |
Bieži lietderīga ir kombinācija, piemēram, servera konfigurācijas audits kopā ar lietojumprogrammas Grey-Box testu. Tīrs Black-Box tests izskatās reālistisks, taču daudz laika tērē izpētei. Ar testa kontiem un ieskatu uzbūvē pārbaudītāji tajā pašā laikā parasti atrod vairāk vājo vietu.
Līdzās lietojumprogrammai vērts paskatīties uz vidi: kāda PHP versija darbojas, vai administratora saskarnes ir publiski pieejamas, vai rezerves kopijas atrodas tīmekļa direktorijā, vai atkarības ir aktuālas? Šādus punktus auditā pārbaudām līdzi, jo praksē tie bieži ir smagāki par atsevišķu kļūdu kodā.
Kad ir īstais laiks testam?
Penetrācijas tests dod visvairāk, ja tas notiek lietderīgā brīdī lietojumprogrammas dzīves ciklā. Tipiski iemesli:
- pirms palaišanas jaunai lietojumprogrammai, veikalam vai klientu portālam
- pēc lielākām izmaiņām, piemēram, jauniem maksājumu veidiem, saskarnēm vai pieteikšanās procedūrām
- pēc incidenta, kad attīrīšana un nostiprināšana ir pabeigta un vēlaties neatkarīgu kontroli
- regulāros intervālos, ja to pieprasa klienti, partneri vai jūsu riska pārvaldība
Maz jēgas ir testam, kamēr zināmās ievainojamības ir atvērtas. Kas vēl darbina neielāpotas PHP versijas, tam vispirms jāizveido pamatstāvoklis. Citādi par testu maksā, lai apstiprinātu zināmo.
Kā PHP SOS palīdz konkrēti?
- Noteikt apjomu: Mēs kopā ar jums noskaidrojam, kuras lietojumprogrammas, serveri un funkcijas tiek pārbaudītas, kāds testa veids der un kas ir tieši izslēgts. Rezultāts ir rakstisks pasūtījums ar laika logu un kontaktpersonām.
- Sagatavot: Tiek nodrošināti testa konti, piekļuves testa videi un aktuāla rezerves kopija. Vajadzības gadījumā tiek informēts jūsu hostinga sniedzējs, lai tests netiktu bloķēts kā īsts uzbrukums.
- Pārbaudīt: Mūsu specializētie partneri testē pēc atzītām metodēm, cita starpā pa OWASP kategorijām. Par kritiskiem atradumiem ziņojam uzreiz, nevis tikai noslēguma ziņojumā.
- Ziņot: Jūs saņemat ziņojumu ar kopsavilkumu vadībai un tehnisko daļu.
- Atkārtots tests: Pēc novēršanas atrastās vājās vietas pārbaudām vēlreiz un apstiprinām, kas ir aizvērts.
Daudzus atradumus var novērst jau iepriekš. Rokasgrāmatas par SQL injekciju PHP, drošām failu augšupielādēm un sesijām PHP palīdz izstrādātājiem sagatavoties.
Ko jūs saņemat un ko mums vajag
Ziņojumā ir katra atrastā vājā vieta ar aprakstu, skarto vietu, riska novērtējumu un konkrētu ieteikumu novēršanai. Kopsavilkums vadībai rezultātus izskaidro bez speciālās leksikas. Pēc atkārtotā testa jūs saņemat apstiprinājumu, kuri punkti ir novērsti. Uzbrukuma rīki vai izpildāmi exploit nav ziņojuma sastāvdaļa.
No jums mums vajag:
- rakstisku atļauju no tiesīgās personas katrai testējamajai sistēmai, arī ja tā atrodas pie hostinga sniedzēja
- testa kontus ar lomām, kuras jāpārbauda
- testa vidi vai atļauju testēt dzīvajā vidē noteiktā laika logā
- tehnisku kontaktpersonu testa laikā
- koda pārskatīšanas gadījumā: piekļuvi repozitorijam
Ko mēs nesolām
Penetrācijas tests neatrod katru ievainojamību. Tas ir mirkļa attēls saskaņotajā apjomā; jaunas funkcijas vai jaunas ievainojamības atkarībās rīt var dot citu ainu. Mēs nenosaucam sertifikātus vai zīmogus, kuru mums nav, un neizsniedzam apliecinājumus, kas aizstātu juridiskus pienākumus. Vai tests izpilda jūsu pienākumus, piemēram, saskaņā ar NIS2, noskaidrojiet ar saviem juridisko un atbilstības jautājumu speciālistiem.
Atradumu novēršanu pēc vēlēšanās uzņemamies paši vai kopā ar jūsu aģentūru. Serverim un PHP konfigurācijai piemērota ir servera nostiprināšana.
Biežāk uzdotie jautājumi
Kāda ir atšķirība starp drošības auditu un penetrācijas testu?
Audits pārbauda konfigurāciju, procesus un kodu pēc prasībām un pieredzes vērtībām, bieži ar ieskatu sistēmās. Penetrācijas tests mērķtiecīgi un ar jūsu atļauju mēģina izmantot vājās vietas, lai parādītu to faktisko ietekmi. Abi viens otru papildina.
Vai penetrācijas tests manai PHP lietojumprogrammai ir bīstams?
Tests var noslogot sistēmas vai mainīt datus. Tāpēc apjoms, laika logs un robežas tiek iepriekš rakstiski noteiktas, un mēs iesakām, kur iespējams, izmantot testa vidi. Aktuāla rezerves kopija ir vienmēr.
Vai penetrācijas tests atrod visas drošības nepilnības?
Nē. Tests parāda vājās vietas, kas atrastas saskaņotajā apjomā un laika posmā. Tas ir mirkļa attēls un samazina risku, bet nepierāda, ka citu nepilnību nav.
Vai penetrācijas tests palīdz NIS2 gadījumā?
Regulāras drošības pasākumu pārbaudes ir ierasts elements riska pārvaldības pienākumu izpildei. Kādas prasības konkrēti attiecas uz jūsu uzņēmumu, lūdzu, noskaidrojiet ar juridisko un atbilstības jautājumu speciālistiem.