{"id":29957,"date":"2019-10-31T21:32:53","date_gmt":"2019-10-31T18:32:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka-chast-1\/"},"modified":"2019-10-31T21:32:53","modified_gmt":"2019-10-31T18:32:53","slug":"skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka-chast-1","title":{"rendered":"Sebez\u00e9s \u00e9s biztons\u00e1gos fejleszt\u00e9s. 1. r\u00e9sz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Sebez\u00e9s
\n
\nA fejleszt\u0151k, pentesterek \u00e9s biztons\u00e1gi szak\u00e9rt\u0151k szakmai tev\u00e9kenys\u00e9ge sor\u00e1n olyan folyamatokkal tal\u00e1lkoznak, mint a Vulnerability Management (VM) \u00e9s a (Secure) SDLC.
\nEzek a kifejez\u00e9sek k\u00fcl\u00f6nb\u00f6z\u0151 gyakorlatok \u00e9s eszk\u00f6z\u00f6k \u00f6sszess\u00e9g\u00e9t takarj\u00e1k, amelyek egym\u00e1ssal \u00f6sszefon\u00f3dva, b\u00e1r elt\u00e9r\u0151 fogyaszt\u00f3kkal rendelkeznek.<\/p>\n

A technikai fejl\u0151d\u00e9s m\u00e9g nem jutott el od\u00e1ig, hogy egyetlen eszk\u00f6z helyettes\u00edtse az embert az infrastrukt\u00fara \u00e9s a szoftver biztons\u00e1gi elemz\u00e9s\u00e9ben.
\n\u00c9rdekes meg\u00e9rteni, mi\u00e9rt van ez \u00edgy, \u00e9s milyen probl\u00e9m\u00e1kkal kell szemben\u00e9zni.
\n<\/a><\/noindex><\/p>\n

Folyamatok<\/h2>\n

\nA Vulnerability Management (\u201esebez\u0151s\u00e9gek kezel\u00e9se\u201d) folyamata folyamatosan figyelemmel k\u00eds\u00e9ri az infrastrukt\u00fara v\u00e9delm\u00e9t \u00e9s a jav\u00edt\u00e1si menedzsmentet.
\nA Secure SDLC (\u201ebiztons\u00e1gos fejleszt\u00e9si ciklus\u201d) folyamata pedig a biztons\u00e1g fennmarad\u00e1s\u00e1t c\u00e9lozza a fejleszt\u00e9s \u00e9s \u00fczemeltet\u00e9s sor\u00e1n.<\/p>\n

Ezeknek a folyamatoknak hasonl\u00f3 r\u00e9sze a Vulnerability Assessment \u2013 a sebez\u0151s\u00e9gek felm\u00e9r\u00e9se, sebez\u0151s\u00e9gek vizsg\u00e1lata.
\nA VM \u00e9s az SDLC keretein bel\u00fcli vizsg\u00e1lat k\u00f6z\u00f6tti f\u0151 k\u00fcl\u00f6nbs\u00e9g, hogy az el\u0151bbi eset\u00e9ben a c\u00e9l a harmadik f\u00e9l szoftver\u00e9ben vagy konfigur\u00e1ci\u00f3j\u00e1ban ismert sebez\u0151s\u00e9gek felfedez\u00e9se. P\u00e9ld\u00e1ul egy elavult Windows verzi\u00f3 vagy az SNMP alap\u00e9rtelmezett k\u00f6z\u00f6ss\u00e9gi h\u00edv\u00f3szava.
\nA m\u00e1sodik esetben a c\u00e9l nemcsak a harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 komponensek (f\u00fcgg\u0151s\u00e9gek) sebez\u0151s\u00e9geinek felfedez\u00e9se, hanem els\u0151sorban az \u00faj term\u00e9k k\u00f3dj\u00e1nak felfedez\u00e9se.<\/p>\n

Ez elt\u00e9r\u00e9seket okoz az eszk\u00f6z\u00f6k \u00e9s megk\u00f6zel\u00edt\u00e9sek k\u00f6z\u00f6tt. V\u00e9lem\u00e9nyem szerint az \u00faj sebez\u0151s\u00e9gek keres\u00e9se az alkalmaz\u00e1sban sokkal \u00e9rdekesebb feladat, mivel nem mer\u00fcl ki a verzi\u00f3k ujjlenyomat\u00e1nak meghat\u00e1roz\u00e1s\u00e1ban, a bannerek gy\u0171jt\u00e9s\u00e9ben, jelszavak kipr\u00f3b\u00e1l\u00e1s\u00e1ban stb.
\nA min\u0151s\u00e9gi automatiz\u00e1lt alkalmaz\u00e1s sebez\u0151s\u00e9gi vizsg\u00e1lat\u00e1hoz olyan algoritmusokra van sz\u00fcks\u00e9g, amelyek figyelembe veszik az alkalmaz\u00e1s szemantik\u00e1j\u00e1t, c\u00e9lj\u00e1t \u00e9s a specifikus fenyeget\u00e9seket.<\/p>\n

Az infrastrukt\u00fara-ellen\u0151rz\u0151 gyakran helyettes\u00edthet\u0151 egy id\u0151z\u00edt\u0151vel, ahogyan azt avleonov<\/a><\/noindex>. A l\u00e9nyeg az, hogy statisztikai szempontb\u00f3l \u00fagy tekintheti, hogy az infrastrukt\u00far\u00e1ja sebezhet\u0151, ha azt nem friss\u00edtette, mondjuk, egy h\u00f3napig.<\/p>\n

Eszk\u00f6z\u00f6k<\/h2>\n

\nA vizsg\u00e1lat, ak\u00e1rcsak a biztons\u00e1gi elemz\u00e9s, v\u00e9gezhet\u0151 fekete dobozk\u00e9nt \u00e9s feh\u00e9r dobozk\u00e9nt is.<\/p>\n

Fekete doboz<\/h4>\n

\nA blackbox scan tool should be able to interact with the service through the same interfaces that users do.<\/p>\n

Infrastructure scanners (Tenable Nessus, Qualys, MaxPatrol, Rapid7 Nexpose, etc.) search for open network ports, collect \"banners\", determine the versions of installed software, and look for information on vulnerabilities in those versions in their knowledge base. They also try to detect configuration errors, such as default passwords or open access to data, weak SSL ciphers, etc.<\/p>\n

Web application scanners (Acunetix WVS, Netsparker, Burp Suite, OWASP ZAP, etc.) can also identify known components and their versions (for example, CMS, frameworks, JS libraries). The main steps of the scanner are crawling and fuzzing.
\nDuring crawling, the scanner collects information about existing application interfaces and HTTP parameters. During fuzzing, mutated or generated data is fed into all discovered parameters to provoke errors and identify vulnerabilities.<\/p>\n

These application scanners fall into the DAST and IAST classes \u2014 respectively, Dynamic and Interactive Application Security Testing.<\/p>\n

White Box<\/h4>\n

\nIn whitebox scanning, the differences are greater.
\nAs part of the VM process, scanners (Vulners, Incsecurity Couch, Vuls, Tenable Nessus, etc.) are often given access to the systems by conducting an authenticated scan. This way, the scanner can extract the installed package versions and configuration parameters directly from the system without guessing them from the banners of network services.
\nThe scan becomes more accurate and complete.<\/p>\n

When it comes to whitebox scanning (CheckMarx, HP Fortify, Coverity, RIPS, FindSecBugs, etc.) of applications, it usually involves static code analysis and the use of corresponding SAST tools \u2014 Static Application Security Testing.<\/p>\n

Problems<\/h2>\n

\nMany problems arise during scanning! I encounter most of them personally while providing services in building scanning processes and secure development, as well as during vulnerability analysis work.<\/p>\n

I will highlight three main groups of problems that are confirmed by conversations with engineers and heads of information security services in various companies.<\/p>\n

Web application scanning issues<\/h4>\n

<\/p>\n

    \n
  1. The complexity of implementation.<\/b> A szkennereket ki kell terjeszteni, konfigur\u00e1lni \u00e9s testre szabni minden egyes alkalmaz\u00e1s sz\u00e1m\u00e1ra, tesztk\u00f6rnyezetet kell l\u00e9trehozni a szkennel\u00e9sekhez, \u00e9s be kell int\u00e9gr\u00e1lni a CI\/CD folyamatba, hogy hat\u00e9konyak legyenek. Ellenkez\u0151 esetben ez egy f\u00f6l\u00f6sleges form\u00e1lis elj\u00e1r\u00e1s lesz, amely legfeljebb hamis riaszt\u00e1sokat gener\u00e1l.<\/li>\n
  2. A szkennel\u00e9s id\u0151tartama.<\/b> A szkennerek m\u00e9g 2019-ben is gyeng\u00e9n teljes\u00edtenek az interf\u00e9szek deduplik\u00e1l\u00e1s\u00e1ban, \u00e9s napokig k\u00e9pesek szkennelni ezer oldalt 10 param\u00e9terrel mindegyiken, azt gondolva, hogy ezek k\u00fcl\u00f6nb\u00f6znek, pedig ugyanaz a k\u00f3d felel\u0151s \u00e9rt\u00fck. Ezenk\u00edv\u00fcl a termel\u00e9sbe val\u00f3 telep\u00edt\u00e9si d\u00f6nt\u00e9st a fejleszt\u00e9si ciklus keretein bel\u00fcl gyorsan kell meghozni.<\/li>\n
  3. Sz\u0171k\u00f6s aj\u00e1nl\u00e1sok.<\/b> A szkennerek el\u00e9g \u00e1ltal\u00e1nos aj\u00e1nl\u00e1sokat adnak, \u00e9s nem mindig tudja a fejleszt\u0151 gyorsan meg\u00e9rteni, hogyan cs\u00f6kkentheti a kock\u00e1zat szintj\u00e9t, \u00e9s ami a legfontosabb, hogy ezt most azonnal meg kell-e tennie, vagy m\u00e9g v\u00e1rhat.<\/li>\n
  4. Destrukt\u00edv hat\u00e1s az alkalmaz\u00e1sra.<\/b> A szkennerek sim\u00e1n v\u00e9grehajthatnak DoS t\u00e1mad\u00e1st az alkalmaz\u00e1s ellen, \u00e9s nagy mennyis\u00e9g\u0171 entit\u00e1st hozhatnak l\u00e9tre, vagy megl\u00e9v\u0151ket m\u00f3dos\u00edthatnak (p\u00e9ld\u00e1ul tucatnyi ezer megjegyz\u00e9st hozva l\u00e9tre a blogban), \u00edgy nem szabad gondolkod\u00e1s n\u00e9lk\u00fcl elind\u00edtani a szkennel\u00e9st a termel\u00e9sben.<\/li>\n
  5. Alacsony sebezhet\u0151s\u00e9g-felfedez\u00e9si min\u0151s\u00e9g.<\/b> A szkennerek \u00e1ltal\u00e1ban statikus hasznos terheket (\"payloads\") haszn\u00e1lnak, \u00e9s k\u00f6nnyen elmulaszthatj\u00e1k a sebezhet\u0151s\u00e9get, ha az nem illeszkedik az \u00e1ltaluk ismert alkalmaz\u00e1s viselked\u00e9si forgat\u00f3k\u00f6nyvekbe.<\/li>\n
  6. Az alkalmaz\u00e1s funkci\u00f3inak f\u00e9lre\u00e9rt\u00e9se a szkenner \u00e1ltal.<\/b> A szkennerek \u00f6n\u00e1ll\u00f3an nem tudj\u00e1k, mi az az \"internetbank\", \"fizet\u00e9s\", \"megjegyz\u00e9s\". Sz\u00e1mukra csak linkek \u00e9s param\u00e9terek l\u00e9teznek, \u00edgy a v\u00e1llalati logika esetleges sebezhet\u0151s\u00e9geinek hatalmas r\u00e9sze teljesen fedezhetetlen marad, nem fogj\u00e1k kital\u00e1lni, hogyan kell dupl\u00e1n terhelni, hogyan lehet m\u00e1sok adataihoz hozz\u00e1f\u00e9rni ID alapj\u00e1n, vagy hogyan lehet egyenleget n\u00f6velni kerek\u00edt\u00e9ssel.<\/li>\n
  7. Az oldalak szemantik\u00e1j\u00e1nak f\u00e9lre\u00e9rt\u00e9se a szkenner \u00e1ltal.<\/b> A szkennerek nem tudj\u00e1k olvasni a GYIK-et, nem ismerik fel a CAPTCHA-t, \u00f6n\u00e1ll\u00f3an nem tudj\u00e1k kital\u00e1lni, hogyan kell regisztr\u00e1lni, \u00e9s hogy ezut\u00e1n \u00fajra be kell jelentkezni, nem lehet r\u00e1kattintani a \"kijelentkez\u00e9s\" gombra, \u00e9s hogy hogyan kell al\u00e1\u00edrni a k\u00e9r\u00e9seket a param\u00e9terek \u00e9rt\u00e9keinek megv\u00e1ltoztat\u00e1sakor. Ennek k\u00f6vetkezt\u00e9ben az alkalmaz\u00e1s nagy r\u00e9sze egy\u00e1ltal\u00e1n nem lehet beolvasva.<\/li>\n<\/ol>\n

    A forr\u00e1sk\u00f3d szkennel\u00e9s\u00e9nek probl\u00e9m\u00e1i.<\/h4>\n

    <\/p>\n

      \n
    1. Hamis riaszt\u00e1sok.<\/b> A statikus elemz\u00e9s bonyolult feladat, amelynek megold\u00e1s\u00e1ra sok kompromisszumot kell k\u00f6tni. Gyakran pontoss\u00e1got kell \u00e1ldozni, \u00e9s m\u00e9g a dr\u00e1ga v\u00e1llalati szkennel\u0151k is hatalmas mennyis\u00e9g\u0171 hamis pozit\u00edv eredm\u00e9nyt gener\u00e1lnak.<\/li>\n
    2. The complexity of implementation.<\/b> A statikus elemz\u00e9s pontoss\u00e1g\u00e1nak \u00e9s teljess\u00e9g\u00e9nek n\u00f6vel\u00e9s\u00e9hez sz\u00fcks\u00e9ges a szkennel\u00e9si szab\u00e1lyok fejleszt\u00e9se, \u00e9s ezeknek a szab\u00e1lyoknak a meg\u00edr\u00e1sa t\u00fal f\u00e1rads\u00e1gosnak bizonyulhat. N\u00e9ha egyszer\u0171bb megtal\u00e1lni az \u00f6sszes helyet egy k\u00f3dban, ahol hiba van, \u00e9s jav\u00edtani azokat, mint szab\u00e1lyt \u00edrni az ilyen esetek \u00e9szlel\u00e9s\u00e9re.<\/li>\n
    3. A f\u00fcgg\u0151s\u00e9gek t\u00e1mogat\u00e1s\u00e1nak hi\u00e1nya.<\/b> A nagy projektek nagysz\u00e1m\u00fa k\u00f6nyvt\u0151l \u00e9s keretrendszert\u0151l f\u00fcggenek, amelyek kiterjesztik a programoz\u00e1si nyelv lehet\u0151s\u00e9geit. Ha a szkenner tud\u00e1sb\u00e1zis\u00e1ban nincs inform\u00e1ci\u00f3 a vesz\u00e9lyes helyekr\u0151l (\"sinks\") ezekben a keretrendszerekben, akkor ez vakfoltot jelent, \u00e9s a szkenner egyszer\u0171en nem \u00e9rti meg a k\u00f3dot.<\/li>\n
    4. A szkennel\u00e9s id\u0151tartama.<\/b> A k\u00f3dban l\u00e9v\u0151 sebezhet\u0151s\u00e9gek felkutat\u00e1sa bonyolult feladat algoritmusok szempontj\u00e1b\u00f3l. Ez\u00e9rt a folyamat elh\u00faz\u00f3dhat, \u00e9s jelent\u0151s sz\u00e1m\u00edt\u00e1si er\u0151forr\u00e1sokat ig\u00e9nyelhet.<\/li>\n
    5. Alacsony lefedetts\u00e9g.<\/b> Annak ellen\u00e9re, hogy a szkennel\u00e9s er\u0151forr\u00e1sokat ig\u00e9nyel \u00e9s hossz\u00fa ideig tart, a SAST-eszk\u00f6z\u00f6k fejleszt\u0151i m\u00e9gis kompromisszumokra k\u00e9nyszer\u00fclnek, \u00e9s nem minden \u00e1llapotot elemeznek, amelyben a program el\u0151fordulhat.<\/li>\n
    6. A tal\u00e1latok reproduk\u00e1lhat\u00f3s\u00e1ga.<\/b> A sebezhet\u0151s\u00e9ghez vezet\u0151 konkr\u00e9t sor \u00e9s h\u00edv\u00e1sverem megjel\u00f6l\u00e9se nagyszer\u0171, de a val\u00f3s\u00e1gban a szkenner gyakran nem ad elegend\u0151 inform\u00e1ci\u00f3t a sebezhet\u0151s\u00e9g k\u00fcls\u0151 ellen\u0151rz\u00e9s\u00e9re. Hiszen a hiba lehet ak\u00e1r egy elavult k\u00f3dban is, amelyhez a t\u00e1mad\u00f3 nem f\u00e9rhet hozz\u00e1.<\/li>\n<\/ol>\n

      Infrastrukt\u00fara szkennel\u00e9si probl\u00e9m\u00e1k.<\/h4>\n

      <\/p>\n

        \n
      1. Nem kiel\u00e9g\u00edt\u0151 lelt\u00e1roz\u00e1s.<\/b> A nagy infrastrukt\u00far\u00e1kban, k\u00fcl\u00f6n\u00f6sen a f\u00f6ldrajzilag megosztottakban, legnehezebb meg\u00e9rteni, hogy mely hostokat kell szkennelni. M\u00e1s szavakkal, a szkennel\u00e9si feladat szorosan kapcsol\u00f3dik az eszk\u00f6zkezel\u00e9si feladathoz.<\/li>\n
      2. Rossz prioriz\u00e1l\u00e1s.<\/b> A h\u00e1l\u00f3zati szkennerek gyakran sok olyan hib\u00e1s eredm\u00e9nyt adnak, amelyek a gyakorlatban nem kihaszn\u00e1lhat\u00f3ak, de form\u00e1lisan magas kock\u00e1zati szinttel rendelkeznek. A fogyaszt\u00f3 olyan jelent\u00e9st kap, amelyet neh\u00e9z \u00e9rtelmezni, \u00e9s nem vil\u00e1gos, hogy mit kell jav\u00edtani el\u0151sz\u00f6r.<\/li>\n
      3. Sz\u0171k\u00f6s aj\u00e1nl\u00e1sok.<\/b> A tud\u00e1sb\u00e1zisban gyakran csak nagyon \u00e1ltal\u00e1nos inform\u00e1ci\u00f3 tal\u00e1lhat\u00f3 a sebezhet\u0151s\u00e9gr\u0151l \u00e9s a jav\u00edt\u00e1si m\u00f3dszerekr\u0151l, \u00edgy az adminisztr\u00e1toroknak el kell l\u00e1tniuk magukat a Google seg\u00edts\u00e9g\u00e9vel. A helyzet valamivel jobb a whitebox-ellen\u0151rz\u0151kkel, amelyek konkr\u00e9t parancsot adhatnak a jav\u00edt\u00e1shoz.<\/li>\n
      4. Manu\u00e1lis munka.<\/b> Az infrastrukt\u00far\u00e1kban sok csom\u00f3pont lehet, \u00edgy potenci\u00e1lisan sok hiba is, amelyeket manu\u00e1lisan kell elemezni a jelent\u00e9sek r\u00e9v\u00e9n minden iter\u00e1ci\u00f3 sor\u00e1n.<\/li>\n
      5. Gyenge lefedetts\u00e9g.<\/b> Az infrastrukt\u00fara ellen\u0151rz\u00e9s\u00e9nek min\u0151s\u00e9ge k\u00f6zvetlen\u00fcl f\u00fcgg a sebezhet\u0151s\u00e9gekr\u0151l \u00e9s a szoftververzi\u00f3kr\u00f3l sz\u00f3l\u00f3 tud\u00e1sb\u00e1zis mennyis\u00e9g\u00e9t\u0151l. Ek\u00f6zben, kider\u00fcl,<\/a><\/noindex>, m\u00e9g a piacon l\u00e9v\u0151 vezet\u0151k tud\u00e1sb\u00e1zisa sem teljesk\u00f6r\u0171, \u00e9s a szabad megold\u00e1sok adatb\u00e1zisaiban sok inform\u00e1ci\u00f3 tal\u00e1lhat\u00f3, amely a vezet\u0151k adatb\u00e1zisaiban nem szerepel.<\/li>\n
      6. Probl\u00e9m\u00e1k a hibajav\u00edt\u00e1ssal.<\/b> Leggyakrabban a sebezhet\u0151s\u00e9gek jav\u00edt\u00e1sa az infrastrukt\u00far\u00e1ban csomagfriss\u00edt\u00e9st vagy konfigur\u00e1ci\u00f3s f\u00e1jl m\u00f3dos\u00edt\u00e1st jelent. Itt a legnagyobb probl\u00e9ma, hogy a rendszer, k\u00fcl\u00f6n\u00f6sen a r\u00e9gi rendszerek, kisz\u00e1m\u00edthatatlanul viselkedhetnek a friss\u00edt\u00e9s k\u00f6vetkezt\u00e9ben. L\u00e9nyeg\u00e9ben integr\u00e1ci\u00f3s teszteket kell v\u00e9gezni a m\u0171k\u00f6d\u0151 infrastrukt\u00far\u00e1n a termel\u00e9si k\u00f6rnyezetben.<\/li>\n<\/ol>\n

        Megk\u00f6zel\u00edt\u00e9sek<\/h2>\n

        \nMit tegy\u00fcnk?
        \nA k\u00f6vetkez\u0151 r\u00e9szekben b\u0151vebben mes\u00e9lek a p\u00e9ld\u00e1kr\u00f3l \u00e9s arr\u00f3l, hogyan k\u00fczdhet\u00fcnk a felsorolt probl\u00e9m\u00e1k sokas\u00e1g\u00e1val, de addig is itt van n\u00e9h\u00e1ny f\u0151 ir\u00e1nyvonal, amelyekben \u00e9rdemes dolgozni:<\/p>\n

          \n
        1. K\u00fcl\u00f6nb\u00f6z\u0151 ellen\u0151rz\u0151 eszk\u00f6z\u00f6k \u00f6sszegy\u0171jt\u00e9se.<\/b> A megfelel\u0151 haszn\u00e1lattal t\u00f6bb ellen\u0151r jelent\u0151s n\u00f6veked\u00e9st \u00e9rhet el a tud\u00e1sb\u00e1zis \u00e9s a detekt\u00e1l\u00e1s min\u0151s\u00e9g\u00e9ben. M\u00e9g t\u00f6bb sebezhet\u0151s\u00e9get is tal\u00e1lhatunk, mint amit az \u00f6sszes ellen\u0151r egyenk\u00e9nt \u00f6sszesen mutat, mik\u00f6zben pontosabb kock\u00e1zat\u00e9rt\u00e9kel\u00e9st v\u00e9gezhet\u00fcnk, \u00e9s t\u00f6bb aj\u00e1nl\u00e1st adhatunk.<\/li>\n
        2. A SAST \u00e9s DAST integr\u00e1ci\u00f3ja.<\/b> N\u00f6velhetj\u00fck a DAST lefedetts\u00e9g\u00e9t \u00e9s a SAST pontoss\u00e1g\u00e1t az\u00e1ltal, hogy inform\u00e1ci\u00f3t cser\u00e9l\u00fcnk k\u00f6zt\u00fck. Az eredeti forr\u00e1sokb\u00f3l inform\u00e1ci\u00f3t nyerhet\u00fcnk a megl\u00e9v\u0151 \u00fatvonalakr\u00f3l, m\u00edg a DAST seg\u00edts\u00e9g\u00e9vel ellen\u0151rizhetj\u00fck, hogy a sebezhet\u0151s\u00e9g l\u00e1that\u00f3-e kifel\u00e9.<\/li>\n
        3. Machine Learning\u2122.<\/b> 2015-ben \u00e9n besz\u00e9ltem<\/a><\/noindex> (\u00e9s m\u00e9g<\/a><\/noindex>) a statisztika alkalmaz\u00e1s\u00e1r\u00f3l, hogy a szkennel\u0151knek hackerek intu\u00edci\u00f3t biztos\u00edtsanak, \u00e9s felgyors\u00edts\u00e1k \u0151ket. Ez hat\u00e1rozottan t\u00e1pl\u00e1l\u00f3 anyag az automatikus biztons\u00e1gi elemz\u00e9s fejl\u0151d\u00e9s\u00e9hez a j\u00f6v\u0151ben.<\/li>\n
        4. IAST integr\u00e1ci\u00f3 automatikus tesztekkel \u00e9s OpenAPI-val.<\/b> A CI\/CD-pipeline keretein bel\u00fcl lehet\u0151s\u00e9g van olyan scanning folyamat l\u00e9trehoz\u00e1s\u00e1ra, amely HTTP-proxik\u00e9nt m\u0171k\u00f6d\u0151 eszk\u00f6z\u00f6k\u00f6n \u00e9s HTTP-n m\u0171k\u00f6d\u0151 funkcion\u00e1lis teszteken alapul. Az OpenAPI\/Swagger tesztek \u00e9s szerz\u0151d\u00e9sek sz\u00e1mos l\u00e9nyeges inform\u00e1ci\u00f3t adnak a scannernek az adatfolyamokr\u00f3l, lehet\u0151v\u00e9 t\u00e9ve, hogy k\u00fcl\u00f6nb\u00f6z\u0151 \u00e1llapotokban beolvassuk az alkalmaz\u00e1st.<\/li>\n
        5. Megfelel\u0151 konfigur\u00e1l\u00e1s.<\/b> Minden alkalmaz\u00e1s \u00e9s infrastrukt\u00fara sz\u00e1m\u00e1ra megfelel\u0151 scanning profilt kell l\u00e9trehozni, figyelembe v\u00e9ve a fel\u00fcletek sz\u00e1m\u00e1t \u00e9s jelleg\u00e9t, valamint a haszn\u00e1lt technol\u00f3gi\u00e1kat.<\/li>\n
        6. Scanner testreszab\u00e1s.<\/b> Gyakran el\u0151fordul, hogy az alkalmaz\u00e1s nem skan\u00e1lhat\u00f3 a scanner ut\u00f3munk\u00e1latai n\u00e9lk\u00fcl. P\u00e9lda erre egy fizet\u00e9si gateway, ahol minden k\u00e9r\u00e9snek al\u00e1 kell \u00edrva lennie. An\u00e9lk\u00fcl, hogy \u00edrunk egy csatlakoz\u00f3t a gateway protokollj\u00e1hoz, a scannerek esze n\u00e9lk\u00fcl dob\u00e1l\u00f3znak a hib\u00e1s al\u00e1\u00edr\u00e1s\u00fa k\u00e9r\u00e9sekkel. Ezen k\u00edv\u00fcl speci\u00e1lis scannerek \u00edr\u00e1sa is sz\u00fcks\u00e9ges bizonyos t\u00edpus\u00fa hib\u00e1khoz, mint p\u00e9ld\u00e1ul. Insecure Direct Object Reference<\/a><\/noindex><\/li>\n
        7. Kock\u00e1zatkezel\u00e9s.<\/b> K\u00fcl\u00f6nb\u00f6z\u0151 scannerek haszn\u00e1lata \u00e9s integr\u00e1ci\u00f3 k\u00fcls\u0151 rendszerekkel, mint p\u00e9ld\u00e1ul az Eszk\u00f6zkezel\u00e9s \u00e9s A Fenyeget\u00e9sek Kezel\u00e9se, lehet\u0151v\u00e9 teszi, hogy a kock\u00e1zati szint \u00e9rt\u00e9kel\u00e9s\u00e9hez sz\u00e1mos param\u00e9tert haszn\u00e1ljunk, \u00edgy a vezet\u0151s\u00e9g pontos k\u00e9pet kaphat a fejleszt\u00e9s vagy az infrastrukt\u00fara aktu\u00e1lis biztons\u00e1gi \u00e1llapot\u00e1r\u00f3l.<\/li>\n<\/ol>\n

          Maradjon vel\u00fcnk, \u00e9s zavarjuk meg a sebezhet\u0151s\u00e9gi vizsg\u00e1latokat!
          \n
          Forr\u00e1s:           habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

          \u0412 \u0440\u0430\u043c\u043a\u0430\u0445 \u043f\u0440\u043e\u0444\u0435\u0441\u0441\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c, \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430\u043c, \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430\u043c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0441 \u0442\u0430\u043a\u0438\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438, \u043a\u0430\u043a Vulnerability Management (VM), (Secure) SDLC. \u041f\u043e\u0434 \u044d\u0442\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u043e\u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u044f\u043c\u0438 \u0441\u043a\u0440\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u0440\u0430\u043a\u0442\u0438\u043a \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u043f\u043b\u0435\u0442\u0435\u043d\u044b \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439, \u0445\u043e\u0442\u044f \u0438\u0445 \u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u0435\u043b\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f. \u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0433\u0440\u0435\u0441\u0441 \u043f\u043e\u043a\u0430 \u043d\u0435 \u0434\u043e\u0448\u0451\u043b \u0434\u043e \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0434\u043d\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u0437\u0430\u043c\u0435\u043d\u0438\u0442\u044c \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u043e\u0441\u0442\u0438 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0438 \u041f\u041e. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-29957","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Sebezhet\u0151s\u00e9gi szkennel\u00e9s \u00e9s biztons\u00e1gos fejleszt\u00e9s. 1. r\u00e9sz | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka-chast-1","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0430. \u0427\u0430\u0441\u0442\u044c 1 | ProHoster","og:url":"https:\/\/prohoster.info\/hu\/blog\/skanirovanie-na-uyazvimosti-i-bezopasnaya-razrabotka-chast-1","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:32:53+00:00","article:modified_time":"2019-10-31T18:32:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"29957","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-20 23:11:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:45:24","updated":"2026-01-20 23:11:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/29957","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=29957"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/29957\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=29957"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=29957"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=29957"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}