Ho hlahlojoa ha ts'oaetso le nts'etsopele e sireletsehileng. Karolo ea 1

E le karolo ea mesebetsi ea bona ea profeshenale, bahlahisi, ba pentesters, le litsebi tsa ts'ireletso ba tlameha ho sebetsana le lits'ebetso tse kang Vulnerability Management (VM), (Secure) SDLC.
Ka tlas'a lipoleloana tsena ho na le lihlopha tse fapaneng tsa mekhoa le lisebelisoa tse sebelisoang tse hokahaneng, leha basebelisi ba tsona ba fapana.

Khatelo-pele ea theknoloji ha e e-s'o fihle moo sesebelisoa se le seng se ka nkang sebaka sa motho bakeng sa ho hlahloba ts'ireletso ea lisebelisoa tsa motheo le software.
Hoa thahasellisa ho utloisisa hore na ke hobane'ng ha ho le joalo, le hore na ke mathata afe ao motho a lokelang ho tobana le 'ona.

Mekhahlelo

Ts'ebetso ea Taolo ea Vulnerability e etselitsoe ho tsoela pele ho beha leihlo ts'ireletso ea litšebeletso tsa motheo le taolo ea likhechana.
Ts'ebetso e sireletsehileng ea SDLC ("secure development cycle") e etselitsoe ho boloka ts'ireletso ea kopo nakong ea nts'etsopele le ts'ebetso.

Karolo e ts'oanang ea ts'ebetso ena ke ts'ebetso ea Tlhahlobo ea Vulnerability - tlhahlobo ea ts'oaetso, tlhahlobo ea ts'oaetso.
Phapang e kholo lipakeng tsa ho lekola ka har'a VM le SDLC ke hore molemong oa pele, sepheo ke ho fumana bofokoli bo tsebahalang ho software ea mokha oa boraro kapa tlhophisong. Mohlala, mofuta oa khale oa Windows kapa mohala oa kamehla oa sechaba bakeng sa SNMP.
Tabeng ea bobeli, sepheo ke ho lemoha bofokoli eseng feela ka likarolo tsa batho ba boraro (ho itšetleha), empa haholo-holo ka khoutu ea sehlahisoa se secha.

Sena se hlahisa phapang pakeng tsa lisebelisoa le mekhoa. Ka maikutlo a ka, mosebetsi oa ho fumana bofokoli bo bocha ts'ebelisong o khahla le ho feta, kaha ha o theohe molemong oa khatiso ea menoana, pokello ea libanner, matla a brute a password, jj.
Ho hlahloba ka bohona ha bofokoli ba ts'ebeliso ho hloka litharollo tse nahanelang semantics ea ts'ebeliso, sepheo sa eona le litšokelo tse ikhethileng.

Hangata scanner ea meaho e ka nkeloa sebaka ke sebali sa nako, joalo ka avleonov. Taba ke hore ho latela lipalo-palo feela, u ka nka hore litšebeletso tsa hau tsa motheo li kotsing haeba u sa li ntlafatsa ka nako e ka etsang khoeli.

Lisebelisoa

Ho hlahloba, hammoho le tlhahlobo ea ts'ireletso, ho ka etsoa e le lebokose le letšo kapa lebokose le lesoeu.

Lebokose le Letšo

Ka "blackbox scanning", sesebelisoa se tlameha ho khona ho sebetsa le ts'ebeletso ka lihokelo tse tšoanang tseo basebelisi ba sebetsang le tsona.

Lisebelisoa tsa lisebelisoa (Tenable Nessus, Qualys, MaxPatrol, Rapid7 Nexpose, joalo-joalo) li batla likou tse bulehileng tsa marang-rang, li bokella "li-banner", li khetholla mefuta ea li-software tse kentsoeng, 'me u batlisise motheo oa tsebo ea bona bakeng sa tlhahisoleseding e mabapi le bofokoli liphetolelong tsena. Ba boetse ba leka ho bona liphoso tsa tlhophiso joalo ka li-password tsa kamehla kapa phihlello ea sechaba ho data, li-ciphers tse fokolang tsa SSL, jj.

Li-scanner tsa ts'ebeliso ea webo (Acunetix WVS, Netsparker, Burp Suite, OWASP ZAP, joalo-joalo) le tsona li ka bona likarolo tse tsebahalang le liphetolelo tsa tsona (mohlala, CMS, meralo, lilaebrari tsa JS). Mehato e meholo ea ho khasa ke ho khasa le ho fuzzing.
Nakong ea ho khasa, sehahabi se bokella leseli mabapi le likhokahano tse teng tsa ts'ebeliso le liparamente tsa HTTP. Nakong ea fuzzing, liparamente tsohle tse bonoeng li nkeloa sebaka ke data e fetotsoeng kapa e hlahisitsoeng molemong oa ho qholotsa phoso le ho bona kotsi.

Li-scanner tse joalo ke tsa litlelase tsa DAST le IAST - ka ho latellana Dynamic and Interactive Application Security Testing.

White box

Ka ho hlahlojoa ha li-whitebox, ho na le liphapang tse ngata.
E le karolo ea ts'ebetso ea VM, li-scanner (Vulners, Incsecurity Couch, Vuls, Tenable Nessus, joalo-joalo) hangata li fuoa monyetla oa ho fumana litsamaiso ka ho etsa scan ninete. Ka hona, scanner e ka khoasolla mefuta ea liphutheloana tse kentsoeng le li-parameter tsa tlhophiso ka kotloloho ho tsoa ho sistimi, ntle le ho li hakanya ho tsoa ho li-banner tsa lits'ebeletso tsa marang-rang.
Sekeno se nepahetse ebile se feletse.

Haeba re bua ka whitebox scanning (CheckMarx, HP Forify, Coverity, RIPS, FindSecBugs, joalo-joalo) ea likopo, joale re atisa ho bua ka tlhahlobo ea khoutu e tsitsitseng le tšebeliso ea lisebelisoa tsa sehlopha sa SAST - Static Application Security Testing.

Mathata

Ho na le mathata a mangata ka ho hlahloba! Ke tlameha ho sebetsana le boholo ba bona ka bonna e le karolo ea phano ea ts'ebeletso bakeng sa ho aha tlhahlobo le lits'ebetso tse sireletsehileng tsa nts'etsopele, hammoho le ha ke etsa mosebetsi oa tlhahlobo ea ts'ireletso.

Ke tla khetholla lihlopha tse kholo tsa 3 tsa mathata, tseo hape li tiisitsoeng ke lipuisano le baenjiniere le lihlooho tsa lits'ebeletso tsa ts'ireletso ea tlhahisoleseding lik'hamphani tse fapaneng.

Mathata a Ts'ebeliso ea Marang-rang

1. Bothata ba ho kenya tshebetsong. Li-scanner li hloka ho romelloa, ho hlophisoa, ho etsoa ka mokhoa o ikhethileng bakeng sa ts'ebeliso e 'ngoe le e' ngoe, ho abeloa tikoloho ea liteko bakeng sa liskena le ho kengoa ts'ebetsong ea CI / CD hore e sebetse hantle. Ho seng joalo, e tla be e le mokhoa o se nang thuso oa molao, o fanang ka maikutlo a fosahetseng feela
2. Skena nako. Li-scanner, leha e le ka selemo sa 2019, li etsa mosebetsi o mobe oa ho kopanya li-interfaces 'me li ka hlahloba maqephe a sekete ka li-parameter tse 10 ka matsatsi, li li nka li fapane, leha khoutu e tšoanang e ikarabella bakeng sa tsona. Ka nako e ts'oanang, qeto ea ho tsamaisa tlhahiso ka har'a potoloho ea nts'etsopele e tlameha ho etsoa kapele.
3. Litlhahiso tse fokolang. Li-scanner li fana ka likhothaletso tse akaretsang, 'me ha se kamehla ho ka khonehang hore moqapi a utloisise kapele ho tsoa ho bona hore na a ka fokotsa boemo ba kotsi joang, mme sa bohlokoa le ho feta, hore na e tlameha ho etsoa hajoale, kapa ha e so tšose.
4. Tšusumetso e senyang ts'ebelisong. Li-scanner li ka etsa tlhaselo ea DoS habonolo ts'ebetsong, hape li ka etsa palo e kholo ea mekhatlo kapa tsa fetola tse seng li ntse li le teng (mohlala, ho etsa maikutlo a mashome a likete ho blog), kahoo ha ua lokela ho etsa tlhahlobo ea sehlahisoa ntle le ho nahana.
5. Boleng bo bobe ba ho lemoha bofokoli. Hangata li-scanner li sebelisa meroalo e mengata e sa fetoheng 'me li ka fetoa habonolo ke tlokotsi e sa lumellaneng le ts'ebetso ea tsona e tsebahalang.
6. Sekena ha se utloisise mesebetsi ea sesebelisoa. Li-scanner ka botsona ha li tsebe hore na "banka ea Marang-rang", "tefo", "maikutlo" ke eng. Bakeng sa bona, ho na le lihokelo le liparamente feela, kahoo karolo e kholo ea bofokoli bo ka bang teng ba khoebo e ntse e sa senoloa ka botlalo, ba ke ke ba hakanya ho etsa ho ngola habeli, ho sheba lintlha tsa batho ba bang ka ID kapa ho phahamisa chelete ka ho pota-pota.
7. Ho se utloisisane ha semantics ea leqephe ka sehatisi. Li-scanner ha li khone ho bala FAQ, ha li tsebe li-captchas, li ke ke tsa hakanya ka bobona hore na li ka ngolisa joang le ho kena hape, hore u se ke ua tobetsa "logout", le mokhoa oa ho saena likōpo ha u fetola litekanyetso tsa parameter. Ka lebaka leo, boholo ba kopo e ka lula e sa hlahlojoa ho hang.

Mathata a ho Scan Code ea Mohloli

1. Likhopolo tse fosahetseng. Tlhahlobo e tsitsitseng ke mosebetsi o rarahaneng o kenyelletsang ho sekisetsa ho hongata. Hangata o tlameha ho tela ho nepahala, esita le li-scanner tsa khoebo tse theko e boima li fana ka palo e kholo ea lintlha tse fosahetseng.
2. Bothata ba ho kenya tshebetsong. Ho eketsa ho nepahala le ho phethahala ha tlhahlobo e tsitsitseng, hoa hlokahala ho ntlafatsa melao ea ho hlahloba, 'me ho ngola melao ena ho ka ba nako e ngata haholo. Ka linako tse ling ho bonolo ho fumana libaka tsohle tsa khoutu ka mofuta o itseng oa kokoanyana le ho li lokisa ho feta ho ngola molao oa ho lemoha linyeoe tse joalo.
3. Ho hloka tšehetso ea ho itšetleha. Merero e meholo e itšetlehile ka palo e kholo ea lilaebrari le meralo e atolosang bokhoni ba puo ea lenaneo. Haeba ho se na tlhahisoleseding e mabapi le libaka tse kotsi ("sinks") lits'ebetsong tsena motheong oa tsebo ea scanner, sena se tla fetoha sebaka se sa boneng, 'me scanner e ke ke ea utloisisa le khoutu.
4. Skena nako. Ho fumana bofokoli ho khoutu ke mosebetsi o boima ho latela li-algorithms hape. Ka hona, ts'ebetso e kanna ea lieha 'me ea hloka lisebelisoa tse kholo tsa komporo.
5. Khaso e tlase. Leha ho na le tšebeliso ea lisebelisoa le nako ea ho hlahlobisisa, bahlahisi ba lisebelisoa tsa SAST ba ntse ba tlameha ho fetohela ho sekisetsa le ho sekaseka ha se linaha tsohle tseo lenaneo le ka bang ho tsona.
6. Ho fumana ho ikatisa. Ho supa mohala o itseng le ho letsetsa stack e lebisang ho tsietsing ho hotle, empa ha e le hantle, hangata sekena ha se fane ka tlhahisoleseling e lekaneng ho hlahloba ts'oaetso ea kantle. Ha e le hantle, phoso e ka boela ea ba khoutu e shoeleng, e ke keng ea finyelloa ke mohlaseli.

Mathata a ho Sekena ha Meaho

1. Lintho tse sa lekaneng. Meahong e meholo, haholo-holo e arohaneng ka libaka, hangata ke ntho e thata ka ho fetisisa ho fumana hore na ke batho bafe ba lokelang ho hlahloba. Ka mantsoe a mang, mosebetsi oa ho hlahloba o amana haufi-ufi le mosebetsi oa tsamaiso ea thepa.
2. Boikemisetso bo bobe. Hangata li-scanner tsa marang-rang li hlahisa liphello tse ngata tse nang le liphoso tse ke keng tsa sebelisoa, empa ka molao boemo ba bona ba kotsi bo phahame. Moreki o fumana tlaleho eo ho leng thata ho e hlalosa, 'me ha ho hlake hore na ke eng e lokelang ho lokisoa pele
3. Litlhahiso tse fokolang. Motheo oa tsebo ea sekena hangata o na le tlhaiso-leseling e akaretsang feela mabapi le ho ba kotsing le ho e lokisa, kahoo batsamaisi ba tla tlameha ho itlhomella ka Google. Boemo bo betere hanyane ka li-scanner tsa whitebox, tse ka fanang ka taelo e tobileng ea ho lokisa
4. E entsoeng ka letsoho. Meaho ea motheo e ka ba le li-node tse ngata, ho bolelang hore ho na le liphoso tse ngata, litlaleho tse lokelang ho hlalosoa le ho hlahlojoa ka letsoho nako le nako
5. Khaso e mpe. Boleng ba ho hlahloba lisebelisoa ka kotloloho bo ipapisitse le boholo ba motheo oa tsebo mabapi le bofokoli le mefuta ea software. Moo, hlaha, esita le baeta-pele ba 'maraka ha ba na motheo oa tsebo e pharaletseng,' me ho na le boitsebiso bo bongata bo bongata ba litharollo tsa mahala tseo baeta-pele ba se nang tsona.
6. Mathata a ho patching. Hangata, bofokoli ba meaho ke ho ntlafatsa sephutheloana kapa ho fetola faele ea tlhophiso. Bothata bo boholo mona ke hore tsamaiso, haholo-holo ea lefa, e ka itšoara ka tsela e sa lebelloang ka lebaka la ntlafatso. Ebile, o tla tlameha ho etsa liteko tsa kopanyo moahong oa motheo oa tlhahiso.

Mekhoa ea ho atamela

U ka ba joang?
Ke tla fana ka lintlha tse ling mabapi le mehlala le mokhoa oa ho sebetsana le a mangata a mathata ana likarolong tse latelang, empa hajoale ke tla bontša libaka tse ka sehloohong tseo u ka sebetsang ho tsona:

1. Ho kopanya lisebelisoa tse fapaneng tsa ho skena. Ka tšebeliso e nepahetseng ea li-scanner tse ngata, keketseho e kholo ea motheo oa tsebo le boleng ba ho lemoha li ka finyelloa. U ka fumana bofokoli bo fetang palo ea li-scanner tsohle tse tsamaisoang ka bonngoe, ha o ntse o ka lekola boemo ba kotsi ka nepo le ho etsa likhothaletso tse ling.
2. Khokahano ea SAST le DAST. Hoa khoneha ho eketsa tšireletso ea DAST le ho nepahala ha SAST ka ho arolelana tlhahisoleseding pakeng tsa bona. Ho tsoa mohloling u ka fumana tlhahisoleseding mabapi le litsela tse teng, 'me ka thuso ea DAST u ka hlahloba hore na ho ba kotsing ho bonahala ho tsoa ka ntle.
3. Ho Ithuta ka Mechini™. Ka 2015 I bolelloa (le ho feta) mabapi le ho sebelisa lipalo-palo ho fa li-scanner intuition ea hacker le ho li potlakisa. Ka sebele sena ke lijo bakeng sa nts'etsopele ea tlhahlobo ea ts'ireletso e ikemetseng nakong e tlang.
4. Khokahano ea IAST le li-autotests le OpenAPI. Ka har'a CI/CD-pipeline, hoa khoneha ho theha mokhoa oa ho hlahloba ho latela lisebelisoa tse sebetsang e le li-proxies tsa HTTP le liteko tse sebetsang tse sebetsang holim'a HTTP. Liteko le likonteraka tsa OpenAPI/Swagger li tla fa sehatisi tlhahisoleseling e sieo mabapi le phallo ea data, ho etsa hore ho khonehe ho hlahloba ts'ebeliso linaheng tse fapaneng.
5. Tlhophiso e nepahetseng. Bakeng sa ts'ebeliso e 'ngoe le e' ngoe le lisebelisoa tsa motheo, o hloka ho theha profil e nepahetseng ea ho skena, ho ela hloko palo le mofuta oa li-interfaces, mahlale a sebelisitsoeng.
6. Mokhoa oa ho etsa scanner. Hangata, sesebelisoa ha se khone ho hlahlojoa ntle le ho fetola sehatisi. Mohlala ke tsela ea ho lefa moo kopo e 'ngoe le e 'ngoe e tlamehang ho tekenoa. Ntle le ho ngola sehokelo ho protocol ea heke, li-scanner li tla penya likopo ntle le kelello ka tekeno e fosahetseng. Hape hoa hlokahala ho ngola li-scanner tse khethehileng bakeng sa mofuta o itseng oa liphoso, joalo ka Tšireletseho ea Morero o tobileng
7. Tsamaiso ea kotsi. Tšebeliso ea li-scanner tse fapa-fapaneng le ho kopanngoa le mekhoa ea ka ntle e kang Tsamaiso ea Thepa le Ts'ireletso e tla lumella hore ho sebelisoe mekhahlelo e mengata ho hlahloba boemo ba kotsi, e le hore tsamaiso e ka fumana setšoantšo se lekaneng sa boemo ba hajoale ba ts'ireletso ea nts'etsopele kapa lisebelisoa tsa motheo.

Lula u mametse 'me re sitise ho hlahlojoa ha kotsi!

Source: www.habr.com