Quando si tratta di sicurezza dello stack aziendale, le applicazioni software sono l'anello più debole. In Lo stato della sicurezza delle applicazioni, 2020, Forrester afferma che la maggior parte degli attacchi esterni si verifica sfruttando una vulnerabilità software (42%) o tramite un'applicazione Web (35%).
Gli sviluppatori sono sotto pressione per rilasciare le funzionalità il prima possibile man mano che le applicazioni diventano più complesse e le tempistiche di sviluppo si riducono. Per ottenere funzionalità applicative differenziate e avvincenti, gli sviluppatori si affidano sempre più a librerie di terze parti.
Questo spostamento verso componenti open source rende problemi di pratiche più complesse per le aziende. Nuovi framework come container e API complicano ulteriormente la sicurezza delle applicazioni.
Con gli sviluppatori sotto pressione per rilasciare costantemente nuove funzionalità, le organizzazioni affrontano un rischio molto reale che la sicurezza non riesca a tenere il passo. La sicurezza può essere ottenuta incorporando le migliori pratiche di sicurezza delle applicazioni nel ciclo di vita dello sviluppo del software e implementandole.
Perché i test di sicurezza Web sono importanti?
Testare le applicazioni Web e le loro configurazioni per le vulnerabilità di sicurezza è l'obiettivo dei test di sicurezza Web. Gli attacchi a livello di applicazione (cioè mirati ad applicazioni basate su HTTP) sono i bersagli principali.
È comune inviare diversi tipi di input a un'applicazione Web per provocare errori e comportarsi in modo imprevisto. In questi cosiddetti "test negativi", il sistema viene ispezionato per comportamenti non previsti.
È anche importante notare che Test di sicurezza web non si tratta semplicemente di testare le funzionalità di sicurezza implementate nell'applicazione (ad es. autenticazione e autorizzazione).
È inoltre necessario verificare che altre funzionalità (ad es. logica aziendale e convalida di input e output) siano implementate in modo sicuro. L'obiettivo è l'accesso sicuro alle funzioni dell'applicazione Web.
Quali sono i diversi tipi di test di sicurezza?
- Test dinamico della sicurezza delle applicazioni (DAST). Per la conformità con le valutazioni di sicurezza normativa, questo test di sicurezza delle applicazioni automatizzato è ideale per applicazioni interne a basso rischio. Una combinazione di test di sicurezza Web manuali e DAST è l'approccio migliore per applicazioni a rischio medio e applicazioni critiche che stanno subendo modifiche minori.
- Test di sicurezza delle applicazioni statiche (SAST). Questo approccio alla sicurezza delle applicazioni verifica sia manualmente che automaticamente. Un'applicazione può essere testata in questo modo senza doverla eseguire in un ambiente di produzione. Inoltre, consente agli sviluppatori di rilevare ed eliminare sistematicamente le vulnerabilità della sicurezza del software mediante la scansione del codice sorgente.
- Test di penetrazione. Soprattutto per le applicazioni soggette a modifiche importanti, questo test di sicurezza delle applicazioni manuale è l'ideale. Le valutazioni includono la logica di business e test basati sull'avversario per identificare scenari di attacco avanzati.
- Runtime Application Self Protection (RASP). In questo approccio in continua evoluzione alla sicurezza delle applicazioni vengono utilizzate numerose tecniche tecnologiche per strumentare un'applicazione in modo tale che gli attacchi possano essere monitorati mentre vengono eseguiti e, idealmente, bloccati in tempo reale.
In che modo i test sulla sicurezza delle applicazioni riducono il rischio della tua organizzazione?
La maggior parte degli attacchi alle applicazioni Web
- La tecnica di SQL injection
- Cross-Site Scripting (XSS)
- Esecuzione di comandi da remoto
- Percorso di traversata
Risultati dell'attacco
- Contenuto limitato
- Account che sono stati compromessi
- Installazione di software dannoso
- Guadagno perso
- I clienti perdono la fiducia
- Danno alla reputazione
- Oltre a molto altro
L'ambiente Web odierno è soggetto a un'ampia gamma di problemi. Oltre a sapere come un'applicazione può essere sfruttata, conoscere i potenziali esiti dell'attacco aiuterà la tua azienda ad affrontare preventivamente le vulnerabilità e a testarle accuratamente.
I controlli di mitigazione possono essere applicati durante le prime fasi dell'SDLC dopo aver identificato la causa principale delle vulnerabilità. Inoltre, un test di sicurezza dell'applicazione Web può trarre vantaggio dalla conoscenza di come funzionano questi attacchi per colpire punti di interesse noti.
Per gestire il rischio della tua azienda, devi comprendere l'impatto di un attacco, poiché può essere utilizzato per misurare la gravità totale della vulnerabilità.
Come risultato di un test di sicurezza, determinare la gravità dei problemi rilevati può aiutarti a dare la priorità agli sforzi di riparazione in modo efficiente ed efficace. Riduci al minimo il rischio della tua azienda iniziando con problemi di gravità critica e passando a problemi di minore impatto.
Una valutazione dell'impatto potenziale di ogni applicazione nella libreria di applicazioni della tua azienda prima di identificare un problema può aiutare a dare la priorità ai test di sicurezza delle applicazioni.
Quando i test di sicurezza web hanno un elenco stabilito di applicazioni di alto profilo, possiamo programmare i test per indirizzare prima le applicazioni critiche della tua azienda in modo che il rischio per la tua azienda possa essere ridotto.
Quali funzionalità dovrebbero essere esaminate durante un test di sicurezza di un'applicazione Web?
Diverse funzionalità dovrebbero essere esaminate durante i test di sicurezza delle applicazioni Web, ma l'elenco non è esaustivo. La tua organizzazione potrebbe essere esposta a gravi rischi da un'implementazione inappropriata di ciascuno di essi.
- Configurazione dell'applicazione e del server- I difetti possono essere correlati alla configurazione della crittografia, alle configurazioni del server Web, ecc.
- Convalida dell'input e gestione degli errori- Le vulnerabilità di iniezione più comuni, tra cui SQL injection e cross-site scripting (XSS), sono il risultato di una cattiva gestione dell'input e dell'output.
- Autenticazione e gestione della sessione- Le vulnerabilità potrebbero portare all'impersonificazione degli utenti. È inoltre essenziale una forte politica delle credenziali.
- Autorizzazione- Verifica della capacità dell'applicazione di impedire l'escalation dei privilegi verticale e orizzontale.
- Logica di business- Questo tipo di logica è essenziale per la maggior parte delle applicazioni aziendali.
- Logica lato client- Questo tipo di funzionalità sta diventando sempre più comune nei moderni siti Web con JavaScript, nonché nei siti Web che utilizzano altre tecnologie lato client (ad es. Silverlight, Flash, applet Java).
Le 10 migliori pratiche migliori per la sicurezza delle applicazioni Web
Di seguito sono riportate le prime dieci best practice per la sicurezza delle applicazioni che la tua organizzazione dovrebbe già implementare.
#1 Tieni traccia delle tue risorse
Se non sai cosa hai, non puoi proteggerlo.
Per quali funzioni o app utilizzi server specifici? In quali app web utilizzi componenti open source?
Pensi che non sia importante tenere traccia delle tue risorse? È molto importante ricordare quale software è in esecuzione all'interno di ciascuna applicazione: basta chiedere a Equifax, che è stata multata di 700 milioni di dollari per non aver protetto i dati di oltre 145 milioni di clienti.
Uno dei portali web dei clienti dell'agenzia di rating del credito è stato compromesso dopo che un componente open source, Apache Struts, non è stato corretto. La società afferma di non essere a conoscenza che il portale del cliente utilizzasse il componente open source vulnerabile.
Prima inizi a monitorare le tue risorse, meno mal di testa e disastri avrai in seguito. Man mano che le organizzazioni scalano il loro sviluppo, questo processo può sembrare un compito di Sisifo.
Dovresti anche classificare le tue risorse, annotando quelle che sono fondamentali per le funzioni della tua azienda e quelle di minore importanza. Quindi, puoi valutare le minacce e porvi rimedio in un secondo momento.
#2 Eseguire una valutazione della minaccia
Se fai un elenco di ciò che devi proteggere, puoi identificare le minacce che affronti e come possono essere mitigate.
In che modo gli hacker potrebbero entrare nella tua applicazione? Quali sono le misure di sicurezza esistenti in atto? Quali strumenti aggiuntivi sono necessari?
È necessario rispondere a queste e ad altre domande come parte della valutazione della minaccia.
Tuttavia, devi anche essere realistico riguardo al livello di sicurezza di cui puoi godere. Non importa quanto rendi sicuro il tuo sistema, puoi comunque hackerarlo. Inoltre, devi essere onesto sulle misure che il tuo team può mantenere nel tempo.
Puoi rischiare che i tuoi standard e le tue pratiche di sicurezza vengano ignorati spingendo troppo. Prendi sul serio la sicurezza e non avere fretta.
Utilizzare la seguente formula per valutare il rischio:
Rischio = Probabilità di attacco x Impatto dell'attacco.
Il rischio può anche essere pensato come la probabilità che qualcosa accada rispetto alla gravità delle conseguenze.
Anche se sarebbe catastrofico se una balena cadesse dal cielo e ti schiacciasse, è improbabile che accada.
Una puntura di zanzara durante un'escursione, d'altra parte, è abbastanza probabile, ma non è probabile che causi danni significativi oltre a qualche protuberanza pruriginosa.
#3 Rimani aggiornato sulle tue patch
Stai installando le patch più recenti sui tuoi sistemi operativi? Stai utilizzando software di terze parti? È probabile che tu sia in ritardo, il che significa che sei esposto.
Uno dei passaggi più importanti da eseguire per garantire la sicurezza del software è aggiornare il software, da un fornitore commerciale o da una comunità open source.
Quando una vulnerabilità viene scoperta e segnalata in modo responsabile ai proprietari del prodotto o del progetto, viene pubblicata su siti e database di avvisi di sicurezza come il database delle vulnerabilità di WhiteSource.
Se possibile, una correzione dovrebbe essere creata e rilasciata prima della pubblicazione, fornendo agli utenti l'opportunità di proteggere il proprio software.
Se, tuttavia, non applichi una patch quando diventa disponibile, non potrai beneficiare di una maggiore sicurezza.
Se temi che l'aggiornamento all'ultima versione possa danneggiare il tuo prodotto, strumenti automatizzati può aiutare molto. In qualsiasi giorno della settimana, dovresti dare la priorità all'aggiornamento e all'applicazione di patch come parte delle migliori pratiche di sicurezza delle tue applicazioni.
#4 Gestisci i tuoi contenitori
Negli ultimi anni, i container sono cresciuti in popolarità man mano che sempre più organizzazioni adottano la tecnologia grazie alla sua flessibilità, che semplifica il processo di sviluppo, test e distribuzione di componenti in vari ambienti durante l'intero ciclo di vita dello sviluppo software (SDLC).
È generalmente accettato che i contenitori offrano vantaggi di sicurezza che danno loro un vantaggio. Inoltre, a causa del loro ambiente operativo autonomo, sono segmentati in base alla progettazione, riducendo così il livello di rischio.
Tuttavia, i container continuano a essere vulnerabili a exploit come un attacco breakout, in cui l'isolamento è stato interrotto. I contenitori possono anche contenere una vulnerabilità nel codice memorizzato al loro interno.
Per la sicurezza della pipeline CI/CD, dovresti cercare le vulnerabilità dall'inizio alla fine, inclusi i tuoi registri.
Oltre a queste scansioni, le best practice per la sicurezza delle applicazioni nell'utilizzo dei container includono anche attività importanti come la firma delle proprie immagini con strumenti come Docker Content Trust se si utilizza Docker Hub o Shared Access Signature se il team sta utilizzando Microsoft Azure.
#5 Dai priorità alle tue operazioni di riparazione
Negli ultimi anni c'è stato un numero crescente di vulnerabilità e questa tendenza non mostra segni di rallentamento in tempi brevi.
Di conseguenza, gli sviluppatori sono impegnati con la correzione. Per i team che sperano di mantenere le proprie applicazioni al sicuro pur rimanendo sani di mente, la priorità è essenziale.
Le valutazioni delle minacce vengono eseguite in base alla gravità di una vulnerabilità (valutazione CVSS), alla criticità dell'applicazione interessata e a una serie di altri fattori.
Devi sapere se la vulnerabilità open source ha effettivamente un impatto sul tuo codice proprietario quando si tratta di vulnerabilità open source.
Inefficace e non ad alto rischio anche se la valutazione CVSS del componente vulnerabile è critica se non riceve chiamate dal tuo prodotto.
Le strategie intelligenti sono quelle che danno la priorità alle minacce più urgenti, in base ai fattori presenti, e lasciano quelle a basso rischio per dopo.
#6 Cifra, cifra, cifra
La OWASP Top 10 include da anni la crittografia dei dati inattivi e in transito, il che la rende un requisito per qualsiasi elenco di best practice per la sicurezza delle applicazioni.
Gli attacchi man-in-the-middle e altre forme di intrusione possono esporre dati sensibili quando non si riesce a bloccare correttamente il traffico.
Quando si memorizzare le password e gli ID utente in testo normale, ad esempio, metti a rischio i tuoi clienti.
Assicurati di utilizzare SSL con un certificato aggiornato come parte della tua lista di controllo di base per la crittografia. Non lasciarti indietro ora che HTTPS è lo standard. Si consiglia anche l'hashing.
Inoltre, non dovresti mai "rotolare la tua criptovaluta" come si suol dire. Prendi in considerazione prodotti di sicurezza supportati da un team dedicato con l'esperienza necessaria per svolgere correttamente il lavoro.
#7 Gestisci i privilegi
Non devi concedere l'accesso a tutto a tutti i membri della tua organizzazione. Le applicazioni e i dati sono accessibili solo a chi ne ha bisogno seguendo le best practice per la sicurezza della rete e le best practice per la sicurezza delle applicazioni.
Ci sono due ragioni per questo. La prima cosa che devi fare è impedire a un hacker di utilizzare credenziali di marketing per accedere a un sistema che contiene altri dati più sensibili, come finanziari o legali.
Anche le minacce interne sono un problema, sia non intenzionali, come perdere un laptop o inviare l'allegato sbagliato a un'e-mail, sia dannose.
Il principio del privilegio minimo di fornire ai dipendenti solo i dati di cui hanno bisogno quando si tratta di accedere ai dati potrebbe ridurre la tua esposizione rispetto all'assenza di controlli.
#8 Abbraccia l'automazione per la tua gestione delle vulnerabilità
La sicurezza delle loro applicazioni è diventata sempre più importante per gli sviluppatori negli ultimi anni, soprattutto quando si tratta di attività come la gestione delle vulnerabilità.
Per affrontare lo spostamento a sinistra della sicurezza, i team di sviluppatori stanno testando presto e spesso, spingendo il maggior numero di controlli di sicurezza nelle prime fasi del processo di sviluppo, quando è più facile ed economico correggere le vulnerabilità.
Per gestire l'ingombrante processo di test a causa dell'enorme quantità di vulnerabilità, gli sviluppatori richiedono strumenti automatizzati.
Per trovare potenziali vulnerabilità di sicurezza nel codice proprietario, durante lo sviluppo possono essere utilizzati test di sicurezza delle applicazioni statiche (SAST) e test di sicurezza delle applicazioni dinamiche (DAST).
Le falle di sicurezza vengono chiuse con SAST e DAST, tuttavia il codice proprietario costituisce una porzione relativamente piccola del codice complessivo.
In oltre il 92% di tutte le applicazioni moderne, i componenti open source costituiscono il 60-80% della tua base di codice. La tua lista di controllo per la sicurezza delle applicazioni dovrebbe dare la priorità alla protezione dei componenti open source.
Utilizzando gli strumenti di analisi della composizione del software, i team possono eseguire controlli e report di sicurezza automatizzati in tutto l'SDLC, identificando ciascun componente open source nel proprio ambiente e indicando quale di essi presenta una vulnerabilità nota che rappresenta un rischio per la sicurezza delle applicazioni.
Puoi gestire meglio le tue vulnerabilità spostando a sinistra i test automatizzati per i problemi di sicurezza open source.
#9 Test di penetrazione
Un elenco delle migliori pratiche per la sicurezza delle applicazioni sarebbe incompleto senza menzionare il test della penna, anche se gli strumenti automatizzati aiutano a rilevare la maggior parte dei problemi di sicurezza.
I test con carta e penna ti consentono di colpire e stimolare la tua app per trovare i punti deboli. Se un hacker determinato tenta di entrare nella tua applicazione, i bravi pen tester sanno esattamente quali passi devono intraprendere.
Le aziende di hacking possono essere assunte o i liberi professionisti possono partecipare a programmi di bug bounty come BugCrowd e HackerOne. La tua azienda dovrebbe sponsorizzare un bug bounty se non lo fai già.
Se assumi pen tester, è molto meglio pagarli piuttosto che affrontare le conseguenze di una vera violazione.
#10 Fai attenzione con i token
Nonostante sia facile da proteggere, molti sviluppatori non proteggono adeguatamente i loro token per terze parti.
Cercando siti Web di sviluppatori popolari, puoi trovare facilmente token non protetti online. Invece di archiviare i dettagli dei token altrove, gli sviluppatori li includono semplicemente nei loro repository open source.
Una best practice di base per la sicurezza delle applicazioni consiste nel proteggere adeguatamente i token di terze parti. Non dovresti lasciare i token che hai acquistato in giro nel tuo codice affinché chiunque possa prenderli.
Best practice per la sicurezza delle applicazioni come pratiche di base
Ciascuna delle migliori pratiche qui descritte dovrebbe essere integrata nel processo di sviluppo continuo della tua organizzazione. Le applicazioni ei dati della tua azienda sono a rischio se non riduci al minimo il rischio. Segui questi passaggi per ridurre al minimo il rischio.
Evitare gli errori che gli altri potrebbero commettere è un modo per stare al passo con gli hacker, quindi è più difficile prendere di mira gli attacchi. Non ci sarà mai una misura di sicurezza perimetrale o dell'applicazione completamente a prova di hacker.
Tuttavia, seguire queste best practice di base può fare molto per mantenere la tua applicazione non degna della fatica per gli hacker.
