Când vine vorba de securitatea stivei enterprise, aplicațiile software sunt veriga cea mai slabă. În Starea securității aplicațiilor, 2020, Forrester spune că majoritatea atacurilor externe apar fie prin exploatarea unei vulnerabilități software (42%), fie printr-o aplicație web (35%).
Dezvoltatorii sunt sub presiune să lanseze funcții cât mai curând posibil, deoarece aplicațiile devin mai complexe și termenele de dezvoltare se micșorează. Pentru a obține o funcționalitate diferențiată și convingătoare a aplicațiilor, dezvoltatorii se bazează din ce în ce mai mult pe biblioteci terțe.
Această trecere către componente open source face securitate practici mai complexe pentru companii. Noile cadre, cum ar fi containerele și API-urile complică și mai mult securitatea aplicațiilor.
Având în vedere că dezvoltatorii sunt presați să lanseze noi funcții în mod constant, organizațiile se confruntă cu un risc foarte real ca securitatea să nu țină pasul. Securitatea poate fi realizată prin încorporarea celor mai bune practici de securitate a aplicațiilor în ciclul de viață al dezvoltării software și prin implementarea acestora.
De ce este importantă testarea securității web?
Testarea aplicațiilor Web și a configurațiilor acestora pentru vulnerabilități de securitate este scopul testării securității Web. Atacurile la nivel de aplicație (adică, țintirea aplicațiilor bazate pe HTTP) sunt țintele principale.
Este obișnuit să trimiteți diferite tipuri de intrare la o aplicație Web pentru a provoca erori și a face ca aceasta să se comporte neașteptat. În aceste așa-numite „teste negative”, sistemul este inspectat pentru un comportament care nu este destinat.
De asemenea, este important de menționat acest lucru Testare de securitate web nu este doar despre testarea caracteristicilor de securitate care sunt implementate în aplicație (de exemplu, autentificare și autorizare).
De asemenea, este necesar să se testeze că alte caracteristici (de exemplu, logica de afaceri și validarea intrărilor și ieșirilor) sunt implementate într-un mod sigur. Accesul securizat la funcțiile aplicației Web este scopul.
Care sunt diferitele tipuri de teste de securitate?
- Test dinamic de securitate a aplicației (DAST). Pentru conformitatea cu evaluările de securitate de reglementare, acest test automat de securitate a aplicațiilor este ideal pentru aplicații cu risc scăzut, cu risc intern. O combinație de testare manuală a securității web și DAST este cea mai bună abordare pentru aplicațiile cu risc mediu și aplicațiile critice care suferă modificări minore.
- Test de securitate statică a aplicației (SAST). Această abordare a testelor de securitate a aplicațiilor atât manual, cât și automat. O aplicație poate fi testată în acest fel fără a fi nevoie să o ruleze într-un mediu de producție. În plus, permite dezvoltatorilor să detecteze și să elimine în mod sistematic vulnerabilitățile de securitate software prin scanarea codului sursă.
- Test de penetrare. În special pentru aplicațiile care suferă modificări majore, acest test manual de securitate al aplicației este ideal. Evaluările includ logica de afaceri și testarea bazată pe adversar pentru a identifica scenarii avansate de atac.
- Autoprotecție a aplicației de rulare (RASP). O serie de tehnici tehnologice sunt utilizate în această abordare în evoluție a securității aplicațiilor pentru a instrumenta o aplicație în așa fel încât atacurile să poată fi monitorizate pe măsură ce se execută și, în mod ideal, blocate în timp real.
Cum reduce testarea securității aplicațiilor riscul organizației dvs.?
Majoritatea atacurilor aplicațiilor web
- Tehnica de injectare SQL
- Scripturi încrucișate (XSS)
- Executarea comenzilor de la distanță
- Traversarea căii
Rezultatele atacului
- Conținut care este restricționat
- Conturi care au fost compromise
- Instalare de software rău intenționat
- Venituri pierdute
- Clienții își pierd încrederea
- Daune reputaționale
- La fel și mult mai mult
Mediul Web de astăzi este predispus la o gamă largă de probleme. Pe lângă cunoașterea modului în care o aplicație poate fi exploatată, cunoașterea rezultatelor potențiale ale atacului va ajuta compania să abordeze preventiv vulnerabilitățile și să le testeze cu precizie.
Controalele de atenuare pot fi aplicate în primele etape ale SDLC după identificarea cauzei principale a vulnerabilităților. În plus, un test de securitate a aplicației Web poate profita de cunoștințele despre cum funcționează aceste atacuri pentru a viza punctele de interes cunoscute.
Pentru a gestiona riscul companiei dvs., trebuie să înțelegeți impactul unui atac, deoarece acesta poate fi folosit pentru a măsura gravitatea totală a vulnerabilității.
Ca rezultat al unui test de securitate, determinarea severității problemelor detectate vă poate ajuta să prioritizați eforturile de remediere în mod eficient și eficient. Minimizați riscul companiei dvs. pornind de la probleme de gravitate critică și trecând la probleme cu impact mai scăzut.
O evaluare a impactului potențial al fiecărei aplicații din biblioteca de aplicații a firmei dumneavoastră înainte de a identifica o problemă poate ajuta la stabilirea priorităților testării de securitate a aplicațiilor.
Atunci când testarea de securitate web are o listă stabilită de aplicații de profil înalt, putem programa testarea pentru a viza mai întâi aplicațiile critice ale firmei dvs., astfel încât riscul împotriva afacerii dvs. să poată fi redus.
Ce caracteristici ar trebui revizuite în timpul unui test de securitate a aplicației web?
Mai multe caracteristici ar trebui examinate în timpul testării de securitate a aplicațiilor Web, dar lista nu este exhaustivă. Organizația dumneavoastră ar putea fi expusă unor riscuri serioase printr-o implementare necorespunzătoare a fiecăruia.
- Configurare aplicație și server- Defectele pot fi legate de configurația de criptare, configurațiile serverului web etc.
- Validarea intrărilor și tratarea erorilor- Cele mai comune vulnerabilități de injectare, inclusiv injecția SQL și cross-site scripting (XSS), sunt rezultatul unei gestionări slabe de intrare și ieșire.
- Autentificare și management de sesiune - Vulnerabilitățile ar putea duce la uzurparea identității utilizatorilor. O politică puternică de acreditare este, de asemenea, esențială.
- Autorizare- Verificarea capacității aplicației de a preveni escaladarea privilegiilor pe verticală și orizontală.
- Logica de afaceri- Acest tip de logică este esențial pentru majoritatea aplicațiilor de afaceri.
- Logica pe partea clientului- Acest tip de caracteristică devine din ce în ce mai comună în site-urile web moderne, care utilizează JavaScript, precum și în site-urile web care utilizează alte tehnologii la nivelul clientului (de exemplu, Silverlight, Flash, applet-urile Java).
Top 10 cele mai bune practici pentru securitatea aplicațiilor web
Următoarele sunt primele zece bune practici de securitate a aplicațiilor pe care organizația dvs. ar trebui să le implementeze deja.
# 1 Urmăriți-vă activele
Dacă nu știi ce ai, nu îl poți proteja.
Pentru ce funcții sau aplicații folosiți anumite servere? În ce aplicații web utilizați componente open source?
Crezi că nu este important să-ți urmărești activele? Este foarte important să ne amintim ce software rulează în fiecare aplicație – trebuie doar să întrebați Equifax, care a fost amendat cu 700 de milioane de dolari pentru că nu a protejat datele a peste 145 de milioane de clienți.
Unul dintre portalurile web pentru clienți ale agenției de rating de credit a fost compromis după ce o componentă open-source, Apache Struts, nu a fost corectată. Compania spune că nu știa că portalul clienților a folosit componenta vulnerabilă open source.
Cu cât începeți mai devreme să vă urmăriți bunurile, cu atât mai puține dureri de cap și dezastre veți avea mai târziu. Pe măsură ce organizațiile își extind dezvoltarea, acest proces se poate simți ca o sarcină Sisyphean.
De asemenea, ar trebui să vă clasificați activele, notându-le pe cele care sunt esențiale pentru funcțiile afacerii dvs. și pe cele care au o importanță mai mică. Apoi, puteți evalua amenințările și le puteți remedia ulterior.
# 2 Efectuați o evaluare a amenințării
Dacă faceți o listă cu ceea ce trebuie să protejați, puteți identifica amenințările cu care vă confruntați și cum pot fi atenuate.
Cum ar putea hackerii să pătrundă în aplicația ta? Ce măsuri de securitate existente aveți în vigoare? Ce instrumente suplimentare sunt necesare?
Trebuie să răspundeți la aceste întrebări și la alte întrebări ca parte a evaluării amenințărilor.
Totuși, trebuie să fii realist și cu privire la nivelul de securitate de care te poți bucura. Indiferent cât de sigur vă faceți sistemul, tot îl puteți pirata. În plus, trebuie să fii sincer cu privire la măsurile pe care echipa ta le poate menține în timp.
Puteți risca să vă ignorați standardele și practicile de securitate dacă faceți eforturi prea mari. Luați în serios securitatea și nu vă grăbiți.
Utilizați următoarea formulă pentru a vă evalua riscul:
Risc = Probabilitatea atacului x Impactul atacului.
Riscul poate fi considerat și ca probabilitatea ca ceva să se întâmple în raport cu gravitatea consecințelor.
Chiar dacă ar fi catastrofal dacă o balenă ar cădea din cer și te-ar zdrobi, este puțin probabil să se întâmple.
Pe de altă parte, o mușcătură de țânțar într-o excursie este destul de probabilă, dar puțin probabil să provoace daune semnificative dincolo de câteva umflături care mâncărime.
# 3 Rămâneți la curent cu corecțiile dvs
Instalați cele mai recente corecții pe sistemele dvs. de operare? Folosiți software terță parte? Sunt șanse să rămâi în urmă, adică să fii expus.
Unul dintre cei mai importanți pași pe care ar trebui să-i faceți pentru a asigura securitatea software-ului dvs. este actualizarea software-ului, fie de la un furnizor comercial, fie de la o comunitate open-source.
Când o vulnerabilitate este descoperită și raportată în mod responsabil proprietarilor de produse sau proiecte, aceasta este publicată pe site-uri de consiliere de securitate și baze de date, cum ar fi Baza de date de vulnerabilități WhiteSource.
Dacă este posibil, o remediere ar trebui creată și lansată înainte de publicare, oferind utilizatorilor posibilitatea de a-și securiza software-ul.
Dacă, totuși, nu aplicați un patch atunci când unul devine disponibil, nu veți beneficia de securitate îmbunătățită.
Dacă vă îngrijorează că actualizarea la cea mai recentă versiune vă poate deteriora produsul, instrumente automate poate ajuta foarte mult. În orice zi a săptămânii, ar trebui să acordați prioritate actualizării și corecțiilor ca parte a celor mai bune practici de securitate a aplicației.
# 4 Gestionați-vă containerele
În ultimii ani, containerele au crescut în popularitate pe măsură ce mai multe organizații adoptă tehnologia datorită flexibilității acesteia, care simplifică procesul de dezvoltare, testare și implementare a componentelor în diferite medii de-a lungul ciclului de viață al dezvoltării software (SDLC).
Este general acceptat că containerele oferă avantaje de securitate care le oferă un avantaj. În plus, datorită mediului lor de operare autonom, acestea sunt segmentate după design, reducând astfel nivelul de risc.
Cu toate acestea, containerele continuă să fie vulnerabile la exploatări, cum ar fi un atac spart, în care izolarea a fost ruptă. Containerele pot conține, de asemenea, o vulnerabilitate în codul stocat în ele.
Pentru securitatea conductei CI/CD, ar trebui să căutați vulnerabilități de la început până la sfârșit, inclusiv în registrele dvs.
Pe lângă aceste scanări, cele mai bune practici pentru securitatea aplicațiilor în lucrul cu containere includ și sarcini importante, cum ar fi semnarea propriilor imagini cu instrumente precum Docker Content Trust dacă utilizați Docker Hub sau Shared Access Signature dacă echipa dvs. folosește Microsoft Azure.
# 5 Prioritizează-ți operațiunile de remediere
A existat un număr tot mai mare de vulnerabilități în ultimii ani, iar această tendință nu arată semne de încetinire în curând.
În consecință, dezvoltatorii sunt ocupați cu remedierea. Pentru echipele care speră să-și păstreze aplicațiile în siguranță, rămânând în același timp sănătoase, prioritizarea este esențială.
Evaluările amenințărilor sunt efectuate pe baza severității unei vulnerabilități (evaluare CVSS), a criticității aplicației afectate și a unui număr de alți factori.
Trebuie să știți dacă vulnerabilitatea open source are un impact efectiv asupra codului dvs. proprietar atunci când vine vorba de vulnerabilități open source.
Ineficient și nu este un risc ridicat, chiar dacă evaluarea CVSS a componentei vulnerabile este critică dacă nu primește apeluri de la produsul dvs.
Strategiile inteligente sunt cele care prioritizează mai întâi cele mai presante amenințări, pe baza factorilor prezenți, și le lasă pe cele cu risc scăzut pentru mai târziu.
# 6 Criptare, criptare, criptare
OWASP Top 10 a inclus criptarea datelor în repaus și în tranzit de ani de zile, făcându-l o cerință pentru orice listă de bune practici de securitate a aplicațiilor.
Atacurile „man-in-the-middle” și alte forme de intruziune pot expune date sensibile atunci când nu reușiți să vă blocați traficul în mod corespunzător.
Cand tu stocați parolele și ID-uri de utilizator în text simplu, de exemplu, vă puneți clienții în pericol.
Asigurați-vă că utilizați SSL cu un certificat actualizat ca parte a listei de verificare de bază pentru criptare. Nu vă lăsați lăsați în urmă acum că HTTPS este standardul. Hashing-ul este, de asemenea, recomandat.
În plus, nu ar trebui să vă „rulați propria criptografie” așa cum se spune. Luați în considerare produsele de securitate care sunt susținute de o echipă dedicată, cu experiența necesară pentru a face treaba corect.
# 7 Gestionați privilegiile
Nu trebuie să oferiți acces la toate tuturor din organizația dvs. Aplicațiile și datele sunt accesibile numai de către cei care au nevoie de ele, urmând cele mai bune practici de securitate a rețelei și cele mai bune practici de securitate a aplicațiilor.
Există două motive pentru aceasta. Primul lucru pe care trebuie să-l faceți este să împiedicați un hacker să folosească acreditările de marketing pentru a obține acces la un sistem care conține alte date mai sensibile, cum ar fi cele financiare sau juridice.
Amenințările din interior sunt, de asemenea, o preocupare, fie că sunt neintenționate – cum ar fi pierderea unui laptop sau trimiterea unui atașament greșit la un e-mail – sau rău intenționate.
Principiul celui mai mic privilegiu de a oferi angajaților doar datele de care au nevoie atunci când vine vorba de accesarea datelor ar putea reduce expunerea dvs. în comparație cu faptul că nu aveți controale.
# 8 Îmbrățișați automatizarea pentru gestionarea vulnerabilităților dvs
Securitatea aplicațiilor lor a devenit din ce în ce mai importantă pentru dezvoltatori în ultimii ani, mai ales când vine vorba de sarcini precum managementul vulnerabilităților.
Pentru a aborda deplasarea spre stânga a securității, echipele de dezvoltatori testează devreme și adesea, împingând cât mai multe dintre verificările lor de securitate la începutul procesului de dezvoltare, când este mai ușor și mai ieftin să remediați vulnerabilitățile.
Pentru a gestiona procesul greoi de testare din cauza cantității mari de vulnerabilități, dezvoltatorii au nevoie de instrumente automate.
Pentru a găsi potențiale vulnerabilități de securitate în codul dvs. proprietar, testarea de securitate statică a aplicațiilor (SAST) și testarea dinamică a securității aplicațiilor (DAST) pot fi folosite în timpul dezvoltării.
Găurile de securitate sunt închise cu SAST-uri și DAST-uri, cu toate acestea, codul proprietar reprezintă o parte relativ mică a codului dvs. general.
În peste 92% din toate aplicațiile moderne, componentele open-source reprezintă 60-80% din baza de cod. Lista de verificare a securității aplicației ar trebui să acorde prioritate securizării componentelor open source.
Folosind instrumente de analiză a compoziției software, echipele pot rula verificări și rapoarte automate de securitate în SDLC, identificând fiecare componentă open source din mediul lor și indicând care dintre ele are o vulnerabilitate cunoscută care prezintă un risc de securitate pentru aplicațiile dvs.
Vă puteți gestiona mai bine vulnerabilitățile prin mutarea testării automate pentru problemele de securitate open source spre stânga.
# 9 Testarea de penetrare
O listă de cele mai bune practici de securitate a aplicațiilor ar fi incompletă fără a menționa testarea stiloului, chiar dacă instrumentele automate ajută la identificarea majorității problemelor de securitate.
Testarea cu pix și hârtie vă permite să vă împingeți aplicația pentru a găsi punctele slabe. Dacă un hacker hotărât încearcă să pătrundă în aplicația dvs., testerii de stilouri buni știu exact ce pași trebuie să facă.
Firmele de hacking pot fi angajate sau liber profesioniștii pot participa la programe de recompensă pentru erori precum BugCrowd și HackerOne. Compania dvs. ar trebui să sponsorizeze o recompensă pentru erori dacă nu ați făcut-o deja.
Dacă angajați testeri de stilouri, este mult mai bine să plătiți pentru ei decât să vă ocupați de consecințele unei încălcări reale.
# 10 Fiți atenți cu jetoanele
În ciuda faptului că acesta este unul ușor de securizat, mulți dezvoltatori nu își asigură în mod corespunzător token-urile pentru terți.
Căutând site-uri web pentru dezvoltatori populare, puteți găsi cu ușurință jetoane nesecurizate online. În loc să stocheze detalii despre token în altă parte, dezvoltatorii le includ pur și simplu în depozitele lor open-source.
O bună practică de bază pentru securitatea aplicației este să vă securizați corect token-urile de la terți. Nu ar trebui să lăsați în codul dvs. jetoanele pe care le-ați achiziționat pentru ca oricine să le ia.
Cele mai bune practici de securitate a aplicațiilor ca practici de bază
Fiecare dintre cele mai bune practici prezentate aici ar trebui să fie integrată în procesul de dezvoltare continuă al organizației dumneavoastră. Aplicațiile și datele companiei dvs. sunt în pericol dacă nu minimizați riscul. Urmați acești pași pentru a minimiza riscul.
Evitarea greșelilor pe care este probabil să le facă alții este o modalitate de a rămâne în fața hackerilor, astfel încât ești mai greu de vizat pentru atacuri. Nu va exista niciodată un perimetru sau o măsură de securitate a aplicației care să fie complet rezistentă la piratare.
Cu toate acestea, respectarea acestor bune practici de bază poate contribui în mare măsură la menținerea aplicației dvs. să nu merite problemele pentru hackeri.
