Kontrola bezpečnosti HTTP
Webový server môže odpovedať správne a pritom prezrádzať technológie, povoľovať nebezpečné vloženie obsahu alebo mať cookies bez ochranných príznakov. Kontrola ukáže, čo endpoint posiela každému návštevníkovi.
Sledované, nielen skontrolované
Toto je jeden sken jednej vrstvy spustený raz. V AYAsec sa rovnaká kontrola spúšťa podľa plánu nad každým aktívom, ktoré vlastníte, a upozorníme vás v deň, keď známka klesne.
Šesť dôvodov skontrolovať vlastnú HTTP vrstvu
01
Chýbajúce hlavičky zväčšujú priestor pre útok
Content-Security-Policy, HSTS, X-Content-Type-Options a ochrany proti vloženiu do rámca nedokážu opraviť chybnú aplikáciu, ale znižujú dosah mnohých chýb.
02
Cookie bez Secure alebo HttpOnly je ľahší cieľ
Odpoveď môže odhaliť session cookie cez spojenie alebo skript, ktorý ju nemá nikdy vidieť.
03
Serverová hlavička prezradí zbytočný detail
Presná verzia frameworku alebo proxy pomáha útočníkovi zúžiť voľbu exploitov. Nie všetko treba zverejniť.
04
Presmerovanie môže znížiť bezpečnosť
HTTP endpoint, príliš voľné presmerovanie alebo nesprávny HSTS stav spôsobí, že klient začne na nesprávnom mieste.
05
Technológia môže mať známu CVE
Detekcia verzie je signál na overenie, nie automatický dôkaz zraniteľnosti. Report ukáže, čo treba preskúmať.
06
Datovaný výsledok je dôkaz nápravy
Report so stavom hlavičiek a cookies je dôkazná stopa, nie iba snímka z prehliadača.
Poznajte deň, keď sa konfigurácia zmení
Plánované skeny porovnávajú odpoveď a upozornia na zmiznutú hlavičku, nový cookie príznak alebo inú technológiu.
Krok 01 · Pomenujte URL
Pridajte endpoint, ktorý ovládate, do účtu AYAsec a preukážte doménu.
Krok 02 · Nechajte kontrolu prebehnúť
Sken číta verejnú HTTP odpoveď a kontroluje ju bez zmeny aplikácie.
Krok 03 · Prečítajte výsledok
Nálezy prídu so závažnosťou a známkou A+ až F. Najprv riešte to, čo umožňuje reálny útok.
Čo kontrola skenuje
Kontrola číta bezpečnostné hlavičky, cookies, presmerovania, TLS väzbu, zistené technológie a verejne známe CVE. Spolu s TLS, portami, DNS a dôveryhodnosťou tvorí správu útočnej plochy.
Otázky pred kontrolou
Čo môžem kontrolovať?
Weby a API, ktoré vlastníte alebo máte povolenie testovať. Účet overí doménu pred plánovaným skenom.
Je kontrola plnohodnotný pentest?
Nie. Je to externá kontrola konfigurácie a známych signálov, nie autentizované testovanie aplikácie.
Prečo nález hlavičky nie je vždy kritický?
Závažnosť závisí od kontextu. Hlavička je jedna vrstva obrany a treba ju čítať spolu s aplikáciou.
Ako často skenovať?
Po vydaní alebo zmene proxy/CDN a pravidelne podľa nasadzovania. Týždenný sken je rozumný základ.
Uchovávate výsledky?
Rýchla kontrola je dočasná; plánované skeny v účte ukážu rozdiel medzi nasadeniami.
Uchovávajte históriu, nielen výsledok
Spustite úplný sken vlastných webov podľa plánu a dostávajte upozornenie pri poklese HTTP známky.