Sprawdzanie bezpieczeństwa HTTP

Większość błędów bezpieczeństwa sieciowego nie jest sprytnymi atakami. Są to nagłówki, które nigdy nie były ustawione, lub numer wersji, który serwer udostępnia każdemu, kto o to poprosi. Skieruj skaner na kontrolowaną przez ciebie witrynę i uzyskaj nagłówki oraz technologie, które się za nimi kryją – ocenione, przechowywane i obserwowane w dniu, w którym jakiekolwiek zmiany zostaną wprowadzone.

Sześć powodów, dla których warto sprawdzić własną warstwę HTTP

Nagłówki są najtańszym zabezpieczeniemjest praca. Są to konfiguracja, a nie kod, a większość z nich to jedna linia.

Znajdź nagłówki, które nigdy nie zostały ustawione

Nagłówki zabezpieczeń to instrukcje, które witryna przekazuje przeglądarce, dotyczące sposobu postępowania z nimi. Bez nich przeglądarka zastosuje ustawienia domyślne, które z założenia są zezwalające, ponieważ sieć musi nadal działać w przypadku witryn napisanych dwadzieścia lat temu. Nic się nie psuje, gdy brakuje nagłówka i właśnie dlatego pozostajezaginiony.

Zatrzymaj serwer przed przedstawieniem się

Domyślna instalacja często ogłasza swoje oprogramowanie i wersję w każdej odpowiedzi. Nie jest to samo w sobie luka, ale jest to także pierwsza rzecz, którą czyta osoba atakująca - zmienia „znajdź sposób” w „sprawdź znane wady w tej dokładnie wersji”. Wyłączenie banera nic nie kosztuje.

Sprawdź nagłówki, które dotyczą tylko prawej strony

Strict-Transport-Security na marketingowej stronie głównej, a nie na stronie logowania, jest częstą i cichą awarią. Flagi plików cookie są takie same: Secure i HttpOnly ustawione na jednym pliku cookie i zapomniane w pliku cookie sesji. Testowanie jednego adresu URL informuje o jednym adresie URL.

Zobacz, z jakich technologii faktycznie korzystasz

Odpowiedź zwykle ujawnia framework, serwer i często CMS. Podstawą jest wiedza o tym, co można wykryć z zewnątrzwarto sprawdzić, czy którakolwiek z nich jest nieaktualna - a często nie jest to wersja, która według zespołu jest wdrożona.

Złap to, co zostało po cichu usunięte

Nagłówki znajdują się w konfiguracji, która jest zastępowana: nowy odwrotny serwer proxy, CDN dodany z przodu, aktualizacja struktury, która resetuje ustawienia domyślne. Strona wygląda później identycznie. Nagłówki zniknęły i nikt nie patrzy na nagłówki, chyba że coś jest nie tak.

Przedstaw dowody na aprzegląd bezpieczeństwa

Kwestionariusz bezpieczeństwa klienta zawiera pytanie, czy ustawiłeś Politykę bezpieczeństwa treści. Datowany raport pokazujący, które nagłówki zwraca każdy host, jest lepszą odpowiedzią niż zaznaczenie pola wyboru i stanowi dowód, który możesz zachować.

Poznaj dzień, w którym zmieni się Twoja konfiguracja

Konfiguracja HTTP nie zmienia się stopniowo. Zmienia się w jednym wdrożeniu, a zmiana jest niewidoczna w przeglądarce.

Zaplanowane skanowania zamieniają to wróżnica, o której mówiono: ten nagłówek zniknął, ta wersja technologii została cofnięta, ta ocena spadła. Alerty docierają do aplikacji, e-mailem, poprzez Slack, Teams, Jira lub webhook.

Krok 01 · Nazwij cel

Nazwa hosta lub domena, którą kontrolujesz, dodana do Twojego konta AYAsec. Własność jest sprawdzana przed wysłaniem czegokolwiek - AYAsec nie zaplanuje skanowania infrastruktury, nad którą nie wykazałeś kontroli, ani udowadniania, że wymaga to jednego rekordu DNS. Powyższe szybkie sprawdzenie pomija to: brak konta, brak weryfikacji, tylko ograniczenie szybkości IP i zasada, że celem musi być publicznyadres.

Krok 02 · Wybierz profil

Trzy głębokości. Pasywny odczytuje to, co zwraca witryna, bez sprawdzania tego. Aktywny wysyła żądania testowe w celu znalezienia słabych punktów, które pojawiają się tylko pod nimi. Rozszerzony znowu idzie dalej. Pasywny jest bezpieczny przed wszystkim; głębsze profile generują prawdziwy ruch i należy je wskazać na to, czego oczekujesz, że dotkną.

Krok 03 · Przeczytaj wynik

Wyniki są sortowane według ważności i oceniane od A+ do F. HTTPprzenosi największą masę spośród wszystkich gatunków kompozytów – 30%, więcej niż jakakolwiek inna warstwa – ponieważ to właśnie tam znajduje się większość tego, co jest osiągalne.

Co sprawdza skanowanie

Nagłówki bezpieczeństwa

Które z nich są obecne, jakich brakuje i czy wartości robią to, na co wyglądają. Content-Security-Policy, który pozwala na wszystko, jest obecny i bezużyteczny.

Wykrywanie technologii

Serwer, framework ibiblioteki, które ujawniają odpowiedzi, wraz z wersjami, w których zostały ujawnione.

Znane luki w zabezpieczeniach internetowych

Po zalogowaniu się do profilu aktywnego lub rozszerzonego skanowanie jest obsługiwane przez OWASP ZAP, skaner aplikacji internetowych typu open source utrzymywany przez Open Worldwide Application Security Project i narzędzie, według którego mierzona jest ta kategoria. Powyższa szybka kontrola pozostaje pasywna: brak ZAP, brak sondowania, tylko jedno żądanie potrzebne do przeczytanianagłówki. HTTP jest jedną z pięciu ocenianych warstw. Pozostałe to TLS i porty i DNS po 20% każdy oraz wiarygodność domeny po 10%.

Pytania przed skanowaniem

Co mogę skanować?

Infrastruktura, którą posiadasz lub którą masz zleconą do testowania. Powyższa szybka kontrola nie weryfikuje tego za Ciebie - ogranicza jedynie limity szybkości według adresu IP i nie kieruje reklam na nic innego niż adres publiczny. Dodaj cel doZamiast tego konto AYAsec, a kontrola jest weryfikowana przed zaplanowanym uruchomieniem: granica prawna, a nie praktyczna, ponieważ niezweryfikowany skan również nie będzie dla ciebie przydatny jako dowód.

Czy skanowanie zakłóci funkcjonowanie witryny?

Profil pasywny nie będzie - czyta odpowiedzi na zwykłe zapytania. Profile aktywne i rozszerzone zgodnie z projektem wysyłają żądania testów i w ten sposób wyszukują rzeczy, których nie mogą uzyskać kontrole pasywne. Skieruj je na środowisko, w którym jesteśsą gotowi zbadać.

Czy to jest test penetracyjny?

Nie i nie zastępuje jednego. Automatyczne skanowanie wyszukuje klasy problemów, które można znaleźć automatycznie. Test penetracyjny to osoba szukająca tych, które nie mogą.

Korzystamy z CDN. Czy testuję swoją witrynę czy ich?

Jedno i drugie, i to warto wiedzieć. Nagłówki, które otrzymuje odwiedzający, są wysyłane przez CDN, niezależnie od tego, kto je ustawił. Jeśli Twoje źródło ustawi nagłówek, paski CDN, plikodwiedzający tego nie rozumie, a skan pokazuje, co otrzymuje odwiedzający.

Czy brakujące nagłówki naprawdę mają znaczenie?

Indywidualnie często niewiele. Łącznie stanowią one różnicę między przeglądarką, która chroni użytkowników, a przeglądarką, która robi wszystko, co jej każe. Są także najtańszym rozwiązaniem wszelkich zaległości w zakresie bezpieczeństwa, co sprawia, że nadal nie warto ich mieć otwartych.

Czy przechowujesz wyniki?

To nie jest szybkie sprawdzenie powyżej – plik żyje w pamięci przez około piętnaście minut, więc możesz go przeczytać raz, a potem już go nie ma. Jest to celowy wybór dotyczący prywatności, a nie ograniczenie: nikt oprócz Ciebie nigdy nie widzi tego skanu i możesz pobrać pełny wynik przed jego wygaśnięciem. Zamiast tego dodaj cel do konta AYAsec, a każdy skan zostanie zachowany – seria informująca, które wdrożenie usunęła nagłówek. Przechowywanie zależy od Twojego planu.

Zachowaj historię, nie tylkowynik

Uruchom pełny skaner dla swojej posiadłości, zgodnie z harmonogramem, zachowując każdy wynik i oznaczając każdą zmianę.

Rozpocznij skanowanie za darmo Porównaj plany

Więcej bezpłatnych skanerów bezpieczeństwa dla TLS, portów i DNS

HTTP jest jedną z pięciu ocenianych warstw. Pozostali odpowiadają na inne pytanie:

View all free security scanners

Skaner portów online

z kim ta posiadłość chce rozmawiaćnieznajomy?

Weryfikator SSL/TLS

czy słychać szyfrowanie i kiedy wygasa certyfikat?

Kontrola bezpieczeństwa DNS – czy każdy może wysłać pocztę wyglądającą tak, jakby pochodziła od Ciebie?

Wszystkie pięć razem oznacza zarządzanie powierzchnią ataku w praktyce.

Uporządkowane dane do osadzenia

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Nie dodawaj znaczników FAQPage ani HowTo – Google wycofał oba typy wyników.