უსაფრთხოების აუდიტი და დაცვა
უსაფრთხოების აუდიტი და დაცვა
უსაფრთხოების აუდიტის მიზანია არა „100%-იანი დაცვის“ დაპირება, არამედ კონკრეტული რისკების აღმოჩენა და მათი შემცირების პრაქტიკული გზების განსაზღვრა. ვაანალიზებთ აპლიკაციის და server გარემოს შესაბამის ნაწილებს, წვდომის წესებს, input validation-ს, კონფიგურაციას, dependency-ებსა და უსაფრთხოების header-ებს. სამუშაოს სიღრმე დამოკიდებულია ტექნოლოგიურ სტეკზე და ხელმისაწვდომ წვდომებზე.
რას მოიცავს ვებ უსაფრთხოების აუდიტი?
ვებ უსაფრთხოება რამდენიმე ფენისგან შედგება: აპლიკაციის კოდი, ავტორიზაცია და წვდომის კონტროლი, მონაცემთა დამუშავება, server კონფიგურაცია, dependency-ები და ადმინისტრაციული პროცედურები. აუდიტისას ვადგენთ რომელი სფეროებია კონკრეტული პროექტისთვის რელევანტური და სად არსებობს ყველაზე მნიშვნელოვანი რისკი.
წვდომის კონტროლი და ავტორიზაცია
ვამოწმებთ შესაძლებელია თუ არა მომხმარებლისთვის ისეთი რესურსის ან მოქმედების მიღწევა, რომელიც მის უფლებებს არ შეესაბამება. ყურადღება ექცევა ადმინისტრაციულ ფუნქციებს, პირდაპირ URL-ებს, session და permission ლოგიკას და სენსიტიურ ოპერაციებს.
Input validation და მონაცემთა დამუშავება
ფორმები, URL პარამეტრები, API მოთხოვნები და სხვა input უნდა დამუშავდეს უსაფრთხოდ. ვაფასებთ validation-ს, encoding-ს, database query-ების გამოყენებას და იმ ადგილებს, სადაც დაუმუშავებელმა მონაცემმა შეიძლება არასასურველი ქცევა გამოიწვიოს.
კონფიგურაცია და უსაფრთხოების header-ები
ვამოწმებთ შესაბამის server და application პარამეტრებს, debug რეჟიმებს, არასაჭირო exposure-ს, HTTPS-ის გამოყენებას და HTTP security headers-ს, სადაც მათი დანერგვა პროექტისთვის შესაბამისია. ასევე განიხილება ფაილებისა და დირექტორიების უფლებები და ადმინისტრაციული წვდომის პრაქტიკა.
განახლებები და dependency-ები
მოძველებული framework, library, CMS ან plugin შეიძლება ზრდიდეს ცნობილ რისკებთან შეხების ალბათობას. აუდიტის ფარგლებში ვაფასებთ გამოყენებულ კომპონენტებს და განახლების საჭიროებას ისე, რომ ცვლილებებმა არსებული ფუნქციონალი არ დააზიანოს.
რას მიიღებთ აუდიტის შემდეგ?
შედეგი არის აღმოჩენილი საკითხების ჩამონათვალი პრიორიტეტებით, რისკის ახსნა და რეკომენდებული გამოსწორების გზა. შეთანხმების მიხედვით შესაძლებელია კონკრეტული hardening სამუშაოების შესრულებაც. უსაფრთხოება უწყვეტი პროცესია, ამიტომ კრიტიკული სისტემებისთვის საჭიროა პერიოდული განახლებები, backup-ის შემოწმება და შესაბამისი მონიტორინგი.
რა არ არის ამ სერვისის დაპირება?
არც ერთი პასუხისმგებლიანი უსაფრთხოების სერვისი არ უნდა დაპირდეს აბსოლუტურ დაცვას ყველა შესაძლო შეტევისგან. მიზანია ცნობილი და პროექტისთვის რელევანტური რისკების გამოვლენა, attack surface-ის შემცირება და უსაფრთხო პრაქტიკების გაძლიერება.