Аудит защищенности веб-приложений с помощью Acunetix Web Vulnerability Scanner
Для многих компаний веб-сайты превратились в привычную рабочую среду. Подавляющее большинство бизнес-приложений, таких как CRM и ERP-системы, уже давно обзавелось веб-интерфейсами. Разнообразие средств коммуникации и территориальная распределенность сотрудников компаний делают http-приложения выгодным средством обмена данными и управления информационными активами.
 Интерфейс Acunetix Web Vulnerability Scanner |
В то же время веб-приложение представляет собой один из самых незащищенных участков ИТ-инфраструктуры. По результатам анализа 10 тысяч сайтов, проведенного компанией Acunetix, было установлено, что более 70% веб-ресурсов имеют низкую степень защищенности. Стандартные средства межсетевой защиты (брандмауэры, SSL, ограничение возможностей сервера) не могут перекрыть доступ к незащищенной информации через интернет-приложения. Воздействуя на веб-интерфейс, злоумышленник способен получить доступ к файлам, базе данных, корпоративной почте и другим информационным ресурсам организаций.
Для обеспечения безопасности ИТ-отделы могут наращивать разнообразные механизмы защиты или даже делать их избыточными, но решит ли это проблему в корне? Ситуация усложняется еще и тем, что многие европейские организации и структуры обязаны соответствовать современным стандартам ИТ-безопасности, в последнее время подобные требования все чаще предъявляются и к отечественному бизнесу. Но если охрана внутренней конфиденциальной информации – дело самой компании, то, например, банк ручается за сохранность данных перед своими клиентами.
Для защиты информации о владельцах платежных карт в банковских сетях и структурных ИТ-компонентах применяется стандарт Payment Card Industry Data Security Standard (PCI DSS). К сожалению, сегодня ощущается нехватка сертифицированных интеграторов, способных подготовить ИТ-инфраструктуру в соответствии с его требованиями.
Отчасти справиться с возникающими перед отделами ИБ проблемами помогает специальное ПО. Существует ряд инструментов для проведения аудита защищенности веб-приложений. Один из них – Web Vulnerability Scanner (WVS) производства Acunetix. Эта программа представляет собой сканнер, который проверяет все уязвимые места веб-сайта, в том числе анализируя SQL-инъекции, Cross site scripting и прочее. Acunetix Web Vulnerability Scanner имеет следующие средства:
• автоматический анализатор JavaScript, выполняющий безопасное тестирование приложений Ajax и Web 2.0;
• Visual macro recorder, позволяющий увидеть, в каких именно местах были найдены ошибки. Облегчает работу с веб-бланками и страницами, защищенными паролями;
• многопотоковый сканер, способный быстро проверить сотни тысяч страниц;
• поисковый агент, определяющий тип веб-сервера и язык приложения;
• средства исследования и анализа содержимого веб-сайтов, включая flash-контент, SOAP и AJAX.
WVS составляет отчеты, совместимые со стандартом безопасности PCI DSS, а также согласуется с нормативными актами Health Insurance Portability and Accountability Act (HIPAA) и Web Application Security Consortium (WASC). Это несомненное преимущество продукта, ведь аудитору не нужно интерпретировать данные и создавать еще один отчет. Кроме того, сканер составляет отчеты для руководителя отдела ИБ и веб-программистов. Такое разнообразие отчетов позволит провести как внутренний аудит на этапе разработки приложения, так и внешний, который предусмотрен требованием 6.6 стандарта PCI DSS. Оно предписывает проверку программного кода веб-приложения на наличие уязвимостей перед введением продукта в эксплуатацию. Причем этот аудит должна проводить компетентная сторонняя компания.
С развитием технологий защиты идут вперед и технологии взлома. Поэтому на этапе эксплуатации для поддержки достаточного уровня защищенности веб-приложения стандарт PCI DSS регламентирует регулярную проверку систем и процессов обеспечения безопасности. База угроз и программные модули Web Vulnerability Scanner обновляются часто, поэтому приложение периодически проводит аудит с актуальным набором угроз безопасности.
При построении отчетов Acunetix WVS следит за выполнением большого числа требований стандарта PCI DSS, в частности, за удалением ненужной функциональности, шифрованием канала удаленного административного доступа к системе, шифрованием данных о держателях карт при передаче их через общедоступные сети. Очень важным является требование о разработке и поддержке безопасных систем и приложений, в соответствии с которым ПО не должно быть подвержено следующим уязвимостям:
• отсутствие проверки входных данных;
• обход системы контроля доступа;
• обход системы аутентификации и управления сессиями;
• возможность реализации атаки Cross Site Scripting;
• переполнение буфера (сканер пытается вызвать ошибку программы, которая возникает путем ввода слишком большого параметра, способного изменить переменные, хранящиеся в памяти, например пароля администратора);
• инъекции (заведомо измененные запросы, влияющие на состояние системы, например удаление записи в БД);
• некорректная обработка ошибок (отсутствие обработчика ошибок может привести к непрогнозируемому поведению системы);
• небезопасное хранение информации (некорректно указаны права доступа к файлам и таблицам данных и т. п.);
• отказ в обслуживании (ошибка в системе, которая возникает при слишком большом числе запросов к ней);
• небезопасное управление конфигурацией (уязвимости при администрировании системы).
В создаваемом программой отчете приводится количество нарушений данных требований в разных модулях приложения. Также WVS предоставляет детальную информацию по каждому нарушению с указанием типа уязвимости и причин ее возникновения. Встроенный анализатор дает в отчете и разнообразные рекомендации по изменению конфигурации веб-сервера, некоторых скриптов и механизмов. Воспользовавшись ими, администратор сможет без труда устранить уязвимость.
Лицензирование Web Vulnerability Scanner достаточно гибкое. Так, компания может приобрести приложение для сканирования одного корпоративного веб-ресурса или же бесконечного их числа. Кроме того, есть вариант лицензирования Consultant Version, позволяющий проводить аудит третьих компаний и предоставлять его как услугу. Для всех типов лицензий доступны как годовая подписка, так и неограниченное во времени использование.
