HTTPセキュリティチェッカー

Web セキュリティの失敗のほとんどは、巧妙な攻撃ではありません。これらは、決して設定されなかったヘッダー、またはサーバーが尋ねた人にボランティアで提供するバージョン番号です。 あなたが管理するサイトにスキャナーを向けて、ヘッダーとその背後にあるテクノロジーを取得します。グレード付けされ、保存され、変更される日まで監視されます。

クイックヘッダーチェック

応答ヘッダーとサーバーがそれ自体について明らかにする内容を簡単に見てみましょう。 サインin アクティブな拡張プロファイル、スケジュールされた実行、および保持された履歴。

独自の HTTP レイヤーを確認する 6 つの理由

ヘッダーは最も安価なセキュリティです仕事はあります。これらはコードではなく設定であり、ほとんどは 1 行です。

01

設定されていないヘッダーを見つける

セキュリティ ヘッダーは、サイトがブラウザーにその処理方法について与える指示です。これらがないと、ブラウザーはデフォルトを適用しますが、Web は 20 年前に作成されたサイトでも動作し続ける必要があるため、設計上許容されています。ヘッダーが欠落しても何も壊れません。それがまさにヘッダーが存在する理由です。ない。

02

サーバーの自己紹介を停止します

デフォルトのインストールでは、多くの場合、すべての応答でソフトウェアとバージョンが通知されます。これ自体は脆弱性ではなく、攻撃者が最初に読み取るものでもあります。これにより、「侵入方法を見つける」ことが「この正確なバージョンの既知の欠陥を調べる」ことに変わります。バナーをオフにするのに費用はかかりません。

03

右ページにのみ適用されるヘッダーを確認してください

ログイン ページではなくマーケティング ホームページに Strict-Transport-Security が表示されるのは、よくある静かな失敗です。 Cookie フラグは同じです。Secure と HttpOnly は 1 つの Cookie に設定され、セッション Cookie では忘れられます。 1 つの URL をテストすると、1 つの URL についてわかります。

04

実際にどのテクノロジーを実行しているかを確認します

通常、応答によりフレームワーク、サーバー、そして多くの場合 CMS が明らかになります。外部から何が検出できるかを知ることが始まりです古いものがあるかどうかを知るためのポイントです。そして、それはチームがデプロイされていると信じているバージョンではないことがよくあります。

05

デプロイが静かに削除された内容を確認します

ヘッダーは、新しいリバース プロキシ、前面に追加された CDN、デフォルトをリセットするフレームワークのアップグレードなど、置き換えられる構成内に存在します。その後、サイトは同じように見えます。ヘッダーはなくなり、何か問題がない限り誰もヘッダーを見ません。

06

証拠を提出するセキュリティレビュー

顧客のセキュリティアンケートでは、Content-Security-Policy を設定するかどうかを尋ねられます。各ホストがどのヘッダーを返すかを示す日付付きのレポートは、ボックスにチェックを入れるよりも優れた答えであり、保存できる証拠です。

構成が変更される日を知る

HTTP 構成は徐々に変化することはありません。 1 回のデプロイで変更されますが、その変更はブラウザーには表示されません。

スケジュールされたスキャンはそれを変えますあなたが知らされている違いは、このヘッダーが消え、このテクノロジーのバージョンが後退し、このグレードが下がったことです。アラートはアプリ内、電子メール、Slack、Teams、Jira、Webhook を通じて届きます。

ステップ 01 · ターゲットに名前を付けます

AYAsec アカウントに追加された、あなたが管理するホスト名またはドメイン。所有権は何かが送信される前にチェックされます。AYAsec は、制御を実証していないインフラストラクチャに対してスキャンをスケジュールしません。DNS レコードが 1 つ必要であることが証明されます。上記の簡単なチェックでは、これが省略されています。アカウントなし、検証なし、IP レート制限と、ターゲットがパブリックである必要があるというルールだけです。住所。

ステップ 02 · プロフィールを選択します

深さは3つ。 パッシブ は、サイトが返すものをプローブせずに読み取ります。 アクティブ は、その下にのみ現れる弱点を見つけるためにテスト リクエストを送信します。 拡張はさらに進みます。パッシブは何に対しても安全です。より深いプロファイルは実際のトラフィックであり、それらが接触すると予想されるものを指す必要があります。

ステップ 03 · 結果を読む

結果は重大度順に到着し、A+ ～ F のスコアが付けられます。HTTP複合グレードの中で最も重いウェイトを占めており、他のどの層よりも 30% 多くなっています。これは、到達可能なもののほとんどが実際に存在する場所であるためです。

スキャンでチェックされる内容

01

セキュリティヘッダー

どれが存在し、どれが欠けているか、そしてその値が見た目どおりに機能しているかどうか。すべてを許可する Content-Security-Policy が存在しますが、役に立ちません。

02

テクノロジーの検出

サーバー、フレームワーク、応答によって明らかにされるライブラリと、それらが公開されているバージョン。

03

既知の Web 脆弱性

アクティブなプロファイルまたは拡張プロファイルにサインインすると、スキャンは OWASP ZAP によって実行されます。OWASP ZAP は、Open Worldwide Application Security Project によって維持されているオープン ソース Web アプリケーション スキャナーであり、このカテゴリが測定されるツールです。上記のクイック チェックはパッシブなままです。ZAP やプローブはなく、データを読み取るために必要なリクエストは 1 つだけです。ヘッダー。 HTTP は、スコアが付けられた 5 つのレイヤーのうちの 1 つです。その他は、TLS、ポート、DNS がそれぞれ 20%、ドメインの信頼性が 10% です。

スキャン前の質問

何をスキャンできますか?

あなたが所有している、またはテストを契約しているインフラストラクチャ。上記の簡単なチェックでは、そのことは確認されません。IP によってレート制限が行われるだけで、パブリック アドレス以外はターゲットにされません。ターゲットを代わりに AYAsec アカウントが使用され、スケジュールされたものが実行される前に制御が検証されます。これは、検証されていないスキャンは証拠としても役に立たないため、実際的な境界であると同時に法的な境界でもあります。

スキャンによりサイトが中断されますか?

パッシブ プロファイルはそうではなく、通常のリクエストに対する応答を読み取ります。アクティブ プロファイルと拡張プロファイルは、設計によりテスト リクエストを送信します。これは、パッシブ チェックでは検出できないものを検出する方法です。あなたがいる環境にいる人たちに指示を出します調査する準備ができています。

これは侵入テストですか?

いいえ、代わりにはなりません。自動スキャンでは、自動的に検出できる問題のクラスが検出されます。侵入テストは、できないものを探す人です。

CDNを使用しています。私は自分のサイトをテストしているのでしょうか?

どちらも、そしてそれは知る価値があります。訪問者が受信するヘッダーは、設定者に関係なく、CDN が送信するヘッダーと同じです。オリジンが CDN によってヘッダーを設定されている場合、訪問者はそれを取得しません - そして、スキャンによって訪問者が取得したものがわかります。

ヘッダーの欠落は本当に重要ですか?

個人的には、多くの場合、それほど多くはありません。これらを総合すると、ユーザーを守るブラウザと、言われたことをすべて実行するブラウザの違いになります。また、これらはセキュリティのバックログの中で最も安価な修正であるため、未解決のままにしておくのは得策ではありません。

結果は保存していますか?

上記の簡単なチェックではありません。メモリ内に約 15 分間存続するため、一度読み取ると、その後は消えてしまいます。これは意図的なプライバシー上の選択であり、制限ではありません。そのスキャンはあなた以外の誰も見ることができず、有効期限が切れる前に完全な結果をダウンロードできます。代わりにターゲットを AYAsec アカウントに追加すると、すべてのスキャンが保持され、どのデプロイでヘッダーが削除されたのかがわかります。保持期間はプランによって異なります。

履歴を残すだけでなく保存する結果

スケジュールに従って、自分の資産に対してフル スキャナーを実行し、すべての結果が保持され、すべての変更にフラグが付けられます。

無料でスキャンを開始プランを比較

TLS、ポート、DNS 用の無料セキュリティ スキャナーをさらに追加

HTTP は、スコアが付けられた 5 つのレイヤーのうちの 1 つです。他の人はそれぞれ異なる質問に答えます。

View all free security scanners

オンライン ポート スキャナー

この不動産は何と話したいのですか見知らぬ人ですか？

SSL/TLS チェッカー

暗号化音は鳴りますか? 証明書の有効期限はいつですか?

DNS セキュリティ チェッカー

あなたから送信されたように見えるメールを誰でも送信できますか?

5 つすべてを合わせたものが、攻撃対象領域管理 が実際に意味するものです。

埋め込む構造化データ

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

FAQPage または HowTo マークアップを追加しないでください。Google は両方の結果タイプを取り消しました。