ദുർബലത സ്കാനിംഗും സുരക്ഷിതമായ വികസനവും. ഭാഗം 1

അവരുടെ പ്രൊഫഷണൽ പ്രവർത്തനങ്ങളുടെ ഭാഗമായി, ഡെവലപ്പർമാർ, പെന്റസ്റ്റർമാർ, സുരക്ഷാ വിദഗ്ധർ എന്നിവർക്ക് വൾനറബിലിറ്റി മാനേജ്‌മെന്റ് (വിഎം), (സെക്യൂർ) എസ്‌ഡിഎൽസി പോലുള്ള പ്രക്രിയകൾ കൈകാര്യം ചെയ്യേണ്ടതുണ്ട്.
ഈ പദസമുച്ചയങ്ങൾക്കടിയിൽ അവരുടെ ഉപയോക്താക്കൾ വ്യത്യസ്‌തമാണെങ്കിലും, പരസ്പരം ബന്ധപ്പെട്ടിരിക്കുന്ന വ്യത്യസ്‌ത രീതികളും ഉപയോഗിക്കുന്ന ഉപകരണങ്ങളും ഉണ്ട്.

അടിസ്ഥാന സൗകര്യങ്ങളുടെയും സോഫ്‌റ്റ്‌വെയറിന്റെയും സുരക്ഷ വിശകലനം ചെയ്യാൻ ഒരു വ്യക്തിയെ മാറ്റിസ്ഥാപിക്കാൻ ഒരു ഉപകരണത്തിന് കഴിയുന്ന ഘട്ടത്തിലേക്ക് സാങ്കേതിക പുരോഗതി ഇതുവരെ എത്തിയിട്ടില്ല.
എന്തുകൊണ്ടാണ് ഇത് സംഭവിക്കുന്നതെന്നും ഒരാൾ നേരിടുന്ന പ്രശ്നങ്ങൾ എന്താണെന്നും മനസ്സിലാക്കുന്നത് രസകരമാണ്.

പ്രക്രിയകൾ

ഇൻഫ്രാസ്ട്രക്ചർ സെക്യൂരിറ്റിയുടെയും പാച്ച് മാനേജ്മെന്റിന്റെയും തുടർച്ചയായ നിരീക്ഷണത്തിനായി രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ് വൾനറബിലിറ്റി മാനേജ്മെന്റ് പ്രക്രിയ.
സെക്യുർ എസ്ഡിഎൽസി പ്രോസസ് ("സുരക്ഷിത വികസന ചക്രം") വികസനത്തിലും പ്രവർത്തനത്തിലും ആപ്ലിക്കേഷൻ സുരക്ഷ നിലനിർത്താൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്.

ഈ പ്രക്രിയകളുടെ സമാനമായ ഭാഗമാണ് വൾനറബിലിറ്റി അസസ്മെന്റ് പ്രോസസ് - ദുർബലത വിലയിരുത്തൽ, ദുർബലത സ്കാനിംഗ്.
VM-ഉം SDLC സ്കാനിംഗും തമ്മിലുള്ള പ്രധാന വ്യത്യാസം, ആദ്യ ഘട്ടത്തിൽ മൂന്നാം കക്ഷി സോഫ്‌റ്റ്‌വെയറിലോ കോൺഫിഗറേഷനിലോ അറിയപ്പെടുന്ന കേടുപാടുകൾ കണ്ടെത്തുക എന്നതാണ് ലക്ഷ്യം. ഉദാഹരണത്തിന്, വിൻഡോസിന്റെ കാലഹരണപ്പെട്ട പതിപ്പ് അല്ലെങ്കിൽ എസ്എൻഎംപിയുടെ ഡിഫോൾട്ട് കമ്മ്യൂണിറ്റി സ്ട്രിംഗ്.
രണ്ടാമത്തെ സാഹചര്യത്തിൽ, മൂന്നാം കക്ഷി ഘടകങ്ങളിൽ (ആശ്രിതത്വങ്ങൾ) മാത്രമല്ല, പ്രാഥമികമായി പുതിയ ഉൽപ്പന്നത്തിന്റെ കോഡിലെ കേടുപാടുകൾ കണ്ടെത്തുക എന്നതാണ് ലക്ഷ്യം.

ഇത് ഉപകരണങ്ങളിലും സമീപനങ്ങളിലും വ്യത്യാസങ്ങൾ സൃഷ്ടിക്കുന്നു. എന്റെ അഭിപ്രായത്തിൽ, ഒരു ആപ്ലിക്കേഷനിൽ പുതിയ കേടുപാടുകൾ കണ്ടെത്തുന്നതിനുള്ള ചുമതല കൂടുതൽ രസകരമാണ്, കാരണം ഇത് വിരലടയാള പതിപ്പുകൾ, ബാനറുകൾ ശേഖരിക്കൽ, ബ്രൂട്ട്-ഫോഴ്‌സിംഗ് പാസ്‌വേഡുകൾ മുതലായവയിലേക്ക് വരില്ല.
ആപ്ലിക്കേഷൻ കേടുപാടുകളുടെ ഉയർന്ന നിലവാരമുള്ള ഓട്ടോമേറ്റഡ് സ്കാനിംഗിനായി, ആപ്ലിക്കേഷന്റെ സെമാന്റിക്സ്, അതിന്റെ ഉദ്ദേശ്യം, നിർദ്ദിഷ്ട ഭീഷണികൾ എന്നിവ കണക്കിലെടുക്കുന്ന അൽഗോരിതങ്ങൾ ആവശ്യമാണ്.

ഒരു ഇൻഫ്രാസ്ട്രക്ചർ സ്കാനർ പലപ്പോഴും ടൈമർ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാം, ഞാൻ പറഞ്ഞതുപോലെ അവ്ലിയോനോവ്. ഒരു മാസത്തേക്ക്, നിങ്ങളുടെ ഇൻഫ്രാസ്ട്രക്ചർ അപ്‌ഡേറ്റ് ചെയ്തിട്ടില്ലെങ്കിൽ, പൂർണ്ണമായും സ്ഥിതിവിവരക്കണക്ക് അനുസരിച്ച് നിങ്ങൾക്ക് അത് അപകടകരമാണെന്ന് പരിഗണിക്കാം എന്നതാണ് കാര്യം.

ഉപകരണങ്ങൾ

സുരക്ഷാ വിശകലനം പോലെ സ്‌കാനിംഗ് ബ്ലാക്ക് ബോക്‌സ് അല്ലെങ്കിൽ വൈറ്റ് ബോക്‌സ് ഉപയോഗിച്ച് നടത്താം.

കറുത്ത പെട്ടി

ബ്ലാക്ക്‌ബോക്‌സ് സ്കാൻ ചെയ്യുമ്പോൾ, ഉപയോക്താക്കൾ പ്രവർത്തിക്കുന്ന അതേ ഇന്റർഫേസുകളിലൂടെ സേവനവുമായി പ്രവർത്തിക്കാൻ ഉപകരണത്തിന് കഴിയണം.

ഇൻഫ്രാസ്ട്രക്ചർ സ്കാനറുകൾ (Tenable Nessus, Qualys, MaxPatrol, Rapid7 Nexpose, മുതലായവ) ഓപ്പൺ നെറ്റ്‌വർക്ക് പോർട്ടുകൾക്കായി തിരയുന്നു, "ബാനറുകൾ" ശേഖരിക്കുന്നു, ഇൻസ്റ്റാൾ ചെയ്ത സോഫ്‌റ്റ്‌വെയറിന്റെ പതിപ്പുകൾ നിർണ്ണയിക്കുന്നു, കൂടാതെ ഈ പതിപ്പുകളിലെ കേടുപാടുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾക്കായി അവരുടെ വിജ്ഞാന അടിത്തറ തിരയുന്നു. സ്ഥിരസ്ഥിതി പാസ്‌വേഡുകൾ അല്ലെങ്കിൽ ഓപ്പൺ ഡാറ്റ ആക്‌സസ്, ദുർബലമായ SSL സൈഫറുകൾ മുതലായവ പോലുള്ള കോൺഫിഗറേഷൻ പിശകുകൾ കണ്ടെത്താനും അവർ ശ്രമിക്കുന്നു.

വെബ് ആപ്ലിക്കേഷൻ സ്കാനറുകൾക്ക് (Acunetix WVS, Netsparker, Burp Suite, OWASP ZAP, മുതലായവ) അറിയപ്പെടുന്ന ഘടകങ്ങളും അവയുടെ പതിപ്പുകളും (ഉദാഹരണത്തിന്, CMS, ഫ്രെയിംവർക്കുകൾ, JS ലൈബ്രറികൾ) തിരിച്ചറിയാൻ കഴിയും. ക്രാളിംഗ്, ഫസിങ്ങ് എന്നിവയാണ് സ്കാനറിന്റെ പ്രധാന ഘട്ടങ്ങൾ.
ക്രാളിംഗ് സമയത്ത്, നിലവിലുള്ള ആപ്ലിക്കേഷൻ ഇന്റർഫേസുകളെയും HTTP പാരാമീറ്ററുകളെയും കുറിച്ചുള്ള വിവരങ്ങൾ സ്കാനർ ശേഖരിക്കുന്നു. ഫസിങ്ങ് സമയത്ത്, ഒരു പിശക് ഉണ്ടാക്കുന്നതിനും ഒരു അപകടസാധ്യത കണ്ടെത്തുന്നതിനുമായി കണ്ടെത്തിയ എല്ലാ പാരാമീറ്ററുകളിലേക്കും മ്യൂട്ടേറ്റഡ് അല്ലെങ്കിൽ ജനറേറ്റഡ് ഡാറ്റ ചേർക്കുന്നു.

അത്തരം ആപ്ലിക്കേഷൻ സ്കാനറുകൾ യഥാക്രമം DAST, IAST ക്ലാസുകളിൽ ഉൾപ്പെടുന്നു - ഡൈനാമിക്, ഇന്ററാക്ടീവ് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ്.

വൈറ്റ് ബോക്സ്

വൈറ്റ്ബോക്സ് സ്കാനിംഗിൽ കൂടുതൽ വ്യത്യാസങ്ങളുണ്ട്.
VM പ്രക്രിയയുടെ ഭാഗമായി, ഒരു ആധികാരിക സ്കാൻ നടത്തി സ്കാനറുകൾക്ക് (Vulners, Incsecurity Couch, Vuls, Tenable Nessus, മുതലായവ) പലപ്പോഴും സിസ്റ്റങ്ങളിലേക്ക് പ്രവേശനം നൽകുന്നു. അങ്ങനെ, നെറ്റ്‌വർക്ക് സേവന ബാനറുകളിൽ നിന്ന് ഊഹിക്കാതെ തന്നെ, ഇൻസ്റ്റോൾ ചെയ്ത പാക്കേജ് പതിപ്പുകളും കോൺഫിഗറേഷൻ പാരാമീറ്ററുകളും സിസ്റ്റത്തിൽ നിന്ന് നേരിട്ട് സ്കാനറിന് ഡൗൺലോഡ് ചെയ്യാൻ കഴിയും.
സ്കാൻ കൂടുതൽ കൃത്യവും പൂർണ്ണവുമാണ്.

ആപ്ലിക്കേഷനുകളുടെ വൈറ്റ്‌ബോക്‌സ് സ്കാനിംഗിനെ (CheckMarx, HP Fortify, Coverity, RIPS, FindSecBugs മുതലായവ) കുറിച്ച് നമ്മൾ സംസാരിക്കുകയാണെങ്കിൽ, ഞങ്ങൾ സാധാരണയായി സ്റ്റാറ്റിക് കോഡ് വിശകലനത്തെയും SAST ക്ലാസിന്റെ ഉചിതമായ ഉപകരണങ്ങളുടെ ഉപയോഗത്തെയും കുറിച്ചാണ് സംസാരിക്കുന്നത് - സ്റ്റാറ്റിക് ആപ്ലിക്കേഷൻ സെക്യൂരിറ്റി ടെസ്റ്റിംഗ്.

പ്രശ്നങ്ങൾ

സ്കാനിംഗിൽ നിരവധി പ്രശ്നങ്ങളുണ്ട്! സ്കാനിംഗും സുരക്ഷിതമായ വികസന പ്രക്രിയകളും നിർമ്മിക്കുന്നതിനുള്ള ഒരു സേവനം നൽകുന്നതിന്റെ ഭാഗമായി അവരിൽ മിക്കവരുമായും എനിക്ക് വ്യക്തിപരമായി ഇടപെടേണ്ടതുണ്ട്, അതുപോലെ തന്നെ സുരക്ഷാ വിശകലന പ്രവർത്തനങ്ങൾ നടത്തുമ്പോഴും.

വിവിധ കമ്പനികളിലെ എഞ്ചിനീയർമാരുമായും ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സർവീസ് മേധാവികളുമായും നടത്തിയ സംഭാഷണങ്ങൾ വഴി സ്ഥിരീകരിക്കുന്ന പ്രശ്നങ്ങളുടെ 3 പ്രധാന ഗ്രൂപ്പുകൾ ഞാൻ ഹൈലൈറ്റ് ചെയ്യും.

വെബ് ആപ്ലിക്കേഷൻ സ്കാനിംഗ് പ്രശ്നങ്ങൾ

1. നടപ്പാക്കാനുള്ള ബുദ്ധിമുട്ട്. ഓരോ ആപ്ലിക്കേഷനും സ്കാനറുകൾ വിന്യസിക്കുകയും കോൺഫിഗർ ചെയ്യുകയും ഇഷ്‌ടാനുസൃതമാക്കുകയും സ്കാനുകൾക്കായി ഒരു ടെസ്റ്റ് അന്തരീക്ഷം അനുവദിക്കുകയും ഇത് ഫലപ്രദമാകുന്നതിന് CI/CD പ്രക്രിയയിൽ നടപ്പിലാക്കുകയും വേണം. അല്ലാത്തപക്ഷം, അത് തെറ്റായ പോസിറ്റീവുകൾ ഉണ്ടാക്കുന്ന ഉപയോഗശൂന്യമായ ഔപചാരിക നടപടിക്രമമായിരിക്കും
2. സ്കാൻ ദൈർഘ്യം. 2019-ൽ പോലും, സ്കാനറുകൾ ഇന്റർഫേസുകൾ ഡ്യൂപ്ലിക്കേറ്റ് ചെയ്യുന്ന ഒരു മോശം ജോലി ചെയ്യുന്നു, ഓരോന്നിനും 10 പാരാമീറ്ററുകൾ ഉള്ള ആയിരം പേജുകൾ സ്കാൻ ചെയ്യാൻ ദിവസങ്ങൾ ചെലവഴിക്കാൻ കഴിയും, അവ വ്യത്യസ്തമായി കണക്കാക്കുന്നു, എന്നിരുന്നാലും ഒരേ കോഡ് അവയ്ക്ക് ഉത്തരവാദിയാണ്. അതേസമയം, വികസന ചക്രത്തിനുള്ളിൽ ഉൽപ്പാദനത്തിലേക്കുള്ള വിന്യാസം സംബന്ധിച്ച തീരുമാനം വേഗത്തിൽ എടുക്കണം
3. മോശം ശുപാർശകൾ. സ്കാനറുകൾ വളരെ പൊതുവായ ശുപാർശകൾ നൽകുന്നു, അപകടസാധ്യത എങ്ങനെ കുറയ്ക്കാമെന്ന് ഡവലപ്പർക്ക് എല്ലായ്പ്പോഴും അവരിൽ നിന്ന് വേഗത്തിൽ മനസ്സിലാക്കാൻ കഴിയില്ല, ഏറ്റവും പ്രധാനമായി, ഇത് ഇപ്പോൾ ചെയ്യേണ്ടതുണ്ടോ, അല്ലെങ്കിൽ ഇതുവരെ ഭയാനകമല്ലേ
4. ആപ്ലിക്കേഷനിൽ വിനാശകരമായ സ്വാധീനം. സ്കാനറുകൾ ഒരു ആപ്ലിക്കേഷനിൽ DoS ആക്രമണം നടത്തിയേക്കാം, കൂടാതെ ധാരാളം എന്റിറ്റികൾ സൃഷ്ടിക്കാനോ നിലവിലുള്ളവ മാറ്റാനോ കഴിയും (ഉദാഹരണത്തിന്, ഒരു ബ്ലോഗിൽ പതിനായിരക്കണക്കിന് അഭിപ്രായങ്ങൾ സൃഷ്ടിക്കുക), അതിനാൽ നിങ്ങൾ ചിന്താശൂന്യമായി നിർമ്മാണത്തിൽ ഒരു സ്കാൻ സമാരംഭിക്കരുത്.
5. ദുർബലത കണ്ടെത്തലിന്റെ കുറഞ്ഞ നിലവാരം. സ്കാനറുകൾ സാധാരണയായി പേലോഡുകളുടെ ഒരു നിശ്ചിത ശ്രേണി ഉപയോഗിക്കുന്നു, കൂടാതെ ആപ്ലിക്കേഷന്റെ അറിയപ്പെടുന്ന പെരുമാറ്റ സാഹചര്യങ്ങളുമായി പൊരുത്തപ്പെടാത്ത ഒരു അപകടസാധ്യത എളുപ്പത്തിൽ നഷ്ടപ്പെടുത്താം.
6. ആപ്ലിക്കേഷന്റെ പ്രവർത്തനങ്ങൾ സ്കാനറിന് മനസ്സിലാകുന്നില്ല. "ഇന്റർനെറ്റ് ബാങ്കിംഗ്", "പേയ്മെന്റ്", "കമന്റ്" എന്നിവ എന്താണെന്ന് സ്കാനറുകൾക്ക് തന്നെ അറിയില്ല. അവരെ സംബന്ധിച്ചിടത്തോളം, ലിങ്കുകളും പാരാമീറ്ററുകളും മാത്രമേയുള്ളൂ, അതിനാൽ സാധ്യമായ ബിസിനസ്സ് ലോജിക്ക് കേടുപാടുകളുടെ ഒരു വലിയ പാളി പൂർണ്ണമായും അനാവൃതമായി തുടരുന്നു; ഇരട്ട എഴുതിത്തള്ളുന്നതിനെക്കുറിച്ചോ മറ്റൊരാളുടെ ഡാറ്റ ഐഡി ഉപയോഗിച്ച് ചാരപ്പണി ചെയ്യുന്നതിനെക്കുറിച്ചോ റൗണ്ടിംഗിലൂടെ ബാലൻസ് വർദ്ധിപ്പിക്കുന്നതിനെക്കുറിച്ചോ അവർ ചിന്തിക്കില്ല.
7. സ്കാനറിന് പേജുകളുടെ അർത്ഥശാസ്ത്രം മനസ്സിലാകുന്നില്ല. സ്‌കാനറുകൾക്ക് പതിവുചോദ്യങ്ങൾ വായിക്കാൻ കഴിയില്ല, ക്യാപ്‌ചകൾ തിരിച്ചറിയാൻ കഴിയില്ല, എങ്ങനെ രജിസ്റ്റർ ചെയ്യാമെന്നും തുടർന്ന് വീണ്ടും ലോഗിൻ ചെയ്യാമെന്നും നിങ്ങൾക്ക് "ലോഗൗട്ട്" ക്ലിക്കുചെയ്യാനാകില്ല, പാരാമീറ്റർ മാറ്റുമ്പോൾ അഭ്യർത്ഥനകളിൽ ഒപ്പിടുന്നത് എങ്ങനെയെന്ന് അവർ സ്വയം കണ്ടെത്തുകയില്ല. മൂല്യങ്ങൾ. തൽഫലമായി, മിക്ക ആപ്ലിക്കേഷനുകളും സ്കാൻ ചെയ്തേക്കില്ല.

സോഴ്സ് കോഡ് സ്കാൻ ചെയ്യുന്നതിൽ പ്രശ്നങ്ങൾ

1. തെറ്റായ പോസിറ്റീവുകൾ. നിരവധി ട്രേഡ് ഓഫുകൾ ഉൾപ്പെടുന്ന സങ്കീർണ്ണമായ ഒരു ജോലിയാണ് സ്റ്റാറ്റിക് വിശകലനം. കൃത്യത പലപ്പോഴും ത്യജിക്കേണ്ടതുണ്ട്, വിലകൂടിയ എന്റർപ്രൈസ് സ്കാനറുകൾ പോലും ധാരാളം തെറ്റായ പോസിറ്റീവുകൾ സൃഷ്ടിക്കുന്നു
2. നടപ്പാക്കാനുള്ള ബുദ്ധിമുട്ട്. സ്റ്റാറ്റിക് വിശകലനത്തിന്റെ കൃത്യതയും സമ്പൂർണ്ണതയും വർദ്ധിപ്പിക്കുന്നതിന്, സ്കാനിംഗ് നിയമങ്ങൾ പരിഷ്കരിക്കേണ്ടത് ആവശ്യമാണ്, കൂടാതെ ഈ നിയമങ്ങൾ എഴുതുന്നത് വളരെ അധ്വാനിക്കുന്നതാണ്. അത്തരം കേസുകൾ കണ്ടെത്തുന്നതിന് ഒരു നിയമം എഴുതുന്നതിനേക്കാൾ ചിലപ്പോൾ ചില ബഗ് ഉപയോഗിച്ച് കോഡിലെ എല്ലാ സ്ഥലങ്ങളും കണ്ടെത്താനും അവ പരിഹരിക്കാനും എളുപ്പമാണ്
3. ആശ്രിതത്വ പിന്തുണയുടെ അഭാവം. വലിയ പ്രോജക്ടുകൾ പ്രോഗ്രാമിംഗ് ഭാഷയുടെ കഴിവുകൾ വിപുലീകരിക്കുന്ന ധാരാളം ലൈബ്രറികളെയും ചട്ടക്കൂടുകളെയും ആശ്രയിച്ചിരിക്കുന്നു. സ്കാനറിന്റെ വിജ്ഞാന അടിത്തറയിൽ ഈ ചട്ടക്കൂടുകളിലെ "സിങ്കുകളെ" കുറിച്ചുള്ള വിവരങ്ങൾ ഇല്ലെങ്കിൽ, അത് ഒരു ബ്ലൈൻഡ് സ്പോട്ടായി മാറുകയും സ്കാനറിന് കോഡ് പോലും മനസ്സിലാകില്ല.
4. സ്കാൻ ദൈർഘ്യം. കോഡിലെ കേടുപാടുകൾ കണ്ടെത്തുന്നത് അൽഗോരിതങ്ങളുടെ കാര്യത്തിൽ സങ്കീർണ്ണമായ ഒരു ജോലിയാണ്. അതിനാൽ, പ്രക്രിയയ്ക്ക് വളരെയധികം സമയമെടുക്കുകയും കാര്യമായ കമ്പ്യൂട്ടിംഗ് ഉറവിടങ്ങൾ ആവശ്യമായി വരികയും ചെയ്യാം.
5. കുറഞ്ഞ കവറേജ്. റിസോഴ്സ് ഉപഭോഗവും സ്കാനിംഗ് സമയവും ഉണ്ടായിരുന്നിട്ടും, SAST ടൂൾ ഡെവലപ്പർമാർ ഇപ്പോഴും വിട്ടുവീഴ്ച ചെയ്യേണ്ടതുണ്ട്, കൂടാതെ പ്രോഗ്രാം ഉള്ള എല്ലാ സംസ്ഥാനങ്ങളെയും വിശകലനം ചെയ്യേണ്ടതില്ല.
6. കണ്ടെത്തലുകളുടെ പുനരുൽപാദനക്ഷമത. ഒരു കേടുപാടുകളിലേക്ക് നയിക്കുന്ന നിർദ്ദിഷ്ട ലൈനിലേക്കും കോൾ സ്റ്റാക്കിലേക്കും ചൂണ്ടിക്കാണിക്കുന്നത് മികച്ചതാണ്, എന്നാൽ വാസ്തവത്തിൽ, പലപ്പോഴും സ്കാനർ പുറത്തുനിന്നുള്ള ഒരു അപകടസാധ്യത പരിശോധിക്കാൻ മതിയായ വിവരങ്ങൾ നൽകുന്നില്ല. എല്ലാത്തിനുമുപരി, ഒരു ആക്രമണകാരിക്ക് എത്തിച്ചേരാനാകാത്ത ഡെഡ് കോഡിലും പിഴവ് ഉണ്ടാകാം

ഇൻഫ്രാസ്ട്രക്ചർ സ്കാനിംഗ് പ്രശ്നങ്ങൾ

1. അപര്യാപ്തമായ ഇൻവെന്ററി. വലിയ ഇൻഫ്രാസ്ട്രക്ചറുകളിൽ, പ്രത്യേകിച്ച് ഭൂമിശാസ്ത്രപരമായി വേർതിരിക്കുന്നവയിൽ, ഏത് ഹോസ്റ്റുകളാണ് സ്കാൻ ചെയ്യേണ്ടതെന്ന് അറിയുന്നത് പലപ്പോഴും ബുദ്ധിമുട്ടാണ്. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, സ്കാനിംഗ് ടാസ്ക് അസറ്റ് മാനേജ്മെന്റ് ടാസ്ക്കുമായി അടുത്ത ബന്ധപ്പെട്ടിരിക്കുന്നു
2. മോശം മുൻഗണന. നെറ്റ്‌വർക്ക് സ്കാനറുകൾ പലപ്പോഴും പ്രയോഗത്തിൽ ചൂഷണം ചെയ്യാൻ കഴിയാത്ത പോരായ്മകളുള്ള നിരവധി ഫലങ്ങൾ നൽകുന്നു, എന്നാൽ ഔപചാരികമായി അവയുടെ അപകടസാധ്യത കൂടുതലാണ്. വ്യാഖ്യാനിക്കാൻ ബുദ്ധിമുട്ടുള്ള ഒരു റിപ്പോർട്ട് ഉപഭോക്താവിന് ലഭിക്കുന്നു, ആദ്യം എന്താണ് തിരുത്തേണ്ടതെന്ന് വ്യക്തമല്ല.
3. മോശം ശുപാർശകൾ. സ്കാനറിന്റെ വിജ്ഞാന അടിത്തറയിൽ പലപ്പോഴും അപകടസാധ്യതയെക്കുറിച്ചും അത് എങ്ങനെ പരിഹരിക്കാമെന്നതിനെക്കുറിച്ചും വളരെ പൊതുവായ വിവരങ്ങൾ മാത്രമേ അടങ്ങിയിട്ടുള്ളൂ, അതിനാൽ അഡ്‌മിൻമാർ Google-നെ ആയുധമാക്കേണ്ടതുണ്ട്. വൈറ്റ്‌ബോക്‌സ് സ്‌കാനറുകളിൽ സ്ഥിതി അൽപ്പം മെച്ചമാണ്, അത് പരിഹരിക്കാൻ ഒരു പ്രത്യേക കമാൻഡ് നൽകാം
4. കൈകൊണ്ട് നിർമ്മിച്ചത്. ഇൻഫ്രാസ്ട്രക്ചറുകൾക്ക് നിരവധി നോഡുകൾ ഉണ്ടാകാം, അതിനർത്ഥം നിരവധി പോരായ്മകൾ ഉണ്ടാകാൻ സാധ്യതയുണ്ട്, ഓരോ ആവർത്തനത്തിലും സ്വമേധയാ പാഴ്‌സ് ചെയ്യുകയും വിശകലനം ചെയ്യുകയും ചെയ്യേണ്ട റിപ്പോർട്ടുകൾ
5. മോശം കവറേജ്. ഇൻഫ്രാസ്ട്രക്ചർ സ്കാനിംഗിന്റെ ഗുണനിലവാരം കേടുപാടുകളെയും സോഫ്റ്റ്‌വെയർ പതിപ്പുകളെയും കുറിച്ചുള്ള വിജ്ഞാന അടിത്തറയുടെ വലുപ്പത്തെ നേരിട്ട് ആശ്രയിച്ചിരിക്കുന്നു. അതിൽ, മാറുന്നു, മാർക്കറ്റ് ലീഡർമാർക്ക് പോലും സമഗ്രമായ അറിവ് ഇല്ല, കൂടാതെ സ്വതന്ത്ര പരിഹാരങ്ങളുടെ ഡാറ്റാബേസുകളിൽ നേതാക്കൾക്കില്ലാത്ത ധാരാളം വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു.
6. ഒത്തുകളിയിലെ പ്രശ്നങ്ങൾ. മിക്കപ്പോഴും, ഒരു പാക്കേജ് അപ്‌ഡേറ്റ് ചെയ്യുന്നതോ കോൺഫിഗറേഷൻ ഫയൽ മാറ്റുന്നതോ ആണ് ഇൻഫ്രാസ്ട്രക്ചർ കേടുപാടുകൾ പരിഹരിക്കുന്നത്. ഇവിടെയുള്ള വലിയ പ്രശ്നം, ഒരു സിസ്റ്റം, പ്രത്യേകിച്ച് ഒരു ലെഗസി, ഒരു അപ്‌ഡേറ്റിന്റെ ഫലമായി പ്രവചനാതീതമായി പെരുമാറാൻ കഴിയും എന്നതാണ്. അടിസ്ഥാനപരമായി, ഉൽപ്പാദനത്തിലെ തത്സമയ ഇൻഫ്രാസ്ട്രക്ചറിൽ നിങ്ങൾ സംയോജന പരിശോധനകൾ നടത്തേണ്ടതുണ്ട്.

സമീപനങ്ങൾ

എങ്ങനെ?
ഇനിപ്പറയുന്ന ഭാഗങ്ങളിൽ ലിസ്റ്റുചെയ്തിരിക്കുന്ന നിരവധി പ്രശ്നങ്ങൾ എങ്ങനെ കൈകാര്യം ചെയ്യാമെന്നും ഉദാഹരണങ്ങളെക്കുറിച്ചും ഞാൻ നിങ്ങളോട് കൂടുതൽ പറയും, എന്നാൽ ഇപ്പോൾ നിങ്ങൾക്ക് പ്രവർത്തിക്കാൻ കഴിയുന്ന പ്രധാന ദിശകൾ ഞാൻ സൂചിപ്പിക്കും:

1. വിവിധ സ്കാനിംഗ് ടൂളുകളുടെ സംയോജനം. നിരവധി സ്കാനറുകളുടെ ശരിയായ ഉപയോഗത്തിലൂടെ, നിങ്ങൾക്ക് വിജ്ഞാന അടിത്തറയിലും കണ്ടെത്തലിന്റെ ഗുണനിലവാരത്തിലും ഗണ്യമായ വർദ്ധനവ് നേടാൻ കഴിയും. വെവ്വേറെ സമാരംഭിച്ച എല്ലാ സ്കാനറുകളേക്കാളും കൂടുതൽ കേടുപാടുകൾ നിങ്ങൾക്ക് കണ്ടെത്താനാകും, അതേസമയം നിങ്ങൾക്ക് അപകടസാധ്യതയുടെ അളവ് കൂടുതൽ കൃത്യമായി വിലയിരുത്താനും കൂടുതൽ ശുപാർശകൾ നൽകാനും കഴിയും.
2. SAST, DAST എന്നിവയുടെ സംയോജനം. DAST ന്റെ കവറേജും SAST ന്റെ കൃത്യതയും വർദ്ധിപ്പിക്കാൻ അവ തമ്മിൽ വിവരങ്ങൾ കൈമാറുന്നത് സാധ്യമാണ്. ഉറവിടങ്ങളിൽ നിന്ന് നിങ്ങൾക്ക് നിലവിലുള്ള റൂട്ടുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ലഭിക്കും, കൂടാതെ DAST ഉപയോഗിച്ച് നിങ്ങൾക്ക് അപകടസാധ്യത പുറത്തു നിന്ന് ദൃശ്യമാണോ എന്ന് പരിശോധിക്കാം.
3. മെഷീൻ ലേണിംഗ്™. 2015ൽ ഐ പറഞ്ഞു (ഒപ്പം കൂടുതൽ) സ്കാനറുകൾക്ക് ഒരു ഹാക്കറുടെ അവബോധം നൽകുന്നതിനും അവയെ വേഗത്തിലാക്കുന്നതിനും സ്ഥിതിവിവരക്കണക്കുകൾ ഉപയോഗിക്കുന്നതിനെക്കുറിച്ച്. ഭാവിയിൽ ഓട്ടോമേറ്റഡ് സെക്യൂരിറ്റി അനാലിസിസ് വികസിപ്പിക്കുന്നതിനുള്ള തീർച്ചയാണ് ഇത്.
4. ഓട്ടോടെസ്റ്റുകളുമായും ഓപ്പൺഎപിഐയുമായും ഐഎഎസ്ടിയുടെ സംയോജനം. CI/CD പൈപ്പ്ലൈനിനുള്ളിൽ, HTTP പ്രോക്സിയായി പ്രവർത്തിക്കുന്ന ടൂളുകളും HTTP-യിൽ പ്രവർത്തിക്കുന്ന ഫംഗ്ഷണൽ ടെസ്റ്റുകളും അടിസ്ഥാനമാക്കി ഒരു സ്കാനിംഗ് പ്രക്രിയ സൃഷ്ടിക്കാൻ സാധിക്കും. OpenAPI/Swagger ടെസ്റ്റുകളും കരാറുകളും സ്കാനറിന് ഡാറ്റാ ഫ്ലോകളെക്കുറിച്ചുള്ള നഷ്‌ടമായ വിവരങ്ങൾ നൽകുകയും വിവിധ സംസ്ഥാനങ്ങളിൽ ആപ്ലിക്കേഷൻ സ്കാൻ ചെയ്യുന്നത് സാധ്യമാക്കുകയും ചെയ്യും
5. ശരിയായ കോൺഫിഗറേഷൻ. ഓരോ ആപ്ലിക്കേഷനും ഇൻഫ്രാസ്ട്രക്ചറിനും, നിങ്ങൾ ഇന്റർഫേസുകളുടെ എണ്ണവും സ്വഭാവവും ഉപയോഗിച്ച സാങ്കേതികവിദ്യകളും കണക്കിലെടുത്ത് അനുയോജ്യമായ ഒരു സ്കാനിംഗ് പ്രൊഫൈൽ സൃഷ്ടിക്കേണ്ടതുണ്ട്.
6. സ്കാനർ കസ്റ്റമൈസേഷൻ. സ്കാനർ പരിഷ്കരിക്കാതെ പലപ്പോഴും ഒരു ആപ്ലിക്കേഷൻ സ്കാൻ ചെയ്യാൻ കഴിയില്ല. ഓരോ അഭ്യർത്ഥനയിലും ഒപ്പിടേണ്ട ഒരു പേയ്‌മെന്റ് ഗേറ്റ്‌വേയാണ് ഒരു ഉദാഹരണം. ഗേറ്റ്‌വേ പ്രോട്ടോക്കോളിലേക്ക് ഒരു കണക്റ്റർ എഴുതാതെ, സ്കാനറുകൾ തെറ്റായ ഒപ്പുള്ള അഭ്യർത്ഥനകൾ ഉപയോഗിച്ച് ബുദ്ധിശൂന്യമായി ബോംബ് ചെയ്യും. ഒരു പ്രത്യേക തരം തകരാറുകൾക്കായി പ്രത്യേക സ്കാനറുകൾ എഴുതേണ്ടതും ആവശ്യമാണ് സുരക്ഷിതമല്ലാത്ത നേരിട്ടുള്ള ഒബ്ജക്റ്റ് റഫറൻസ്
7. റിസ്ക് മാനേജ്മെന്റ്. വിവിധ സ്‌കാനറുകളുടെ ഉപയോഗവും അസറ്റ് മാനേജ്‌മെന്റ്, ത്രെറ്റ് മാനേജ്‌മെന്റ് പോലുള്ള ബാഹ്യ സംവിധാനങ്ങളുമായുള്ള സംയോജനവും അപകടസാധ്യതയുടെ തോത് വിലയിരുത്തുന്നതിന് നിരവധി പാരാമീറ്ററുകളുടെ ഉപയോഗത്തെ അനുവദിക്കും, അതുവഴി മാനേജ്‌മെന്റിന് വികസനത്തിന്റെയോ ഇൻഫ്രാസ്ട്രക്ചറിന്റെയോ നിലവിലെ സുരക്ഷാ അവസ്ഥയെക്കുറിച്ച് മതിയായ ചിത്രം ലഭിക്കും.

തുടരുക, ദുർബലത സ്കാനിംഗ് തടസ്സപ്പെടുത്താം!

അവലംബം: www.habr.com