Защита Web-приложений. Учебное пособие

для проведения

быстрых

тестов, готовые

решения не

учитывают

индивидуальные

варианты

использования.

Следовательно, недостаточно просто использовать самые

популярные инструменты тестирования, чтобы обеспечить

безопасность вашей Web-платформы или приложения.

Поддержание

высокого

уровняOPSEC

включает

разработку контрмер на основе угроз, с которыми фактически

сталкивается ваш Web-сайт или приложение.

Любая

оценка

риска

начинается

с

определения

критической

информации.

Для

Web-сайта

электронной

коммерции это могут быть данные клиента, такие как номера

кредитных карт, номера телефонов и адреса, или информация,

связанная с компанией, такая

как

списки

поставщиков,

данные

об

обороте, марже

или

номера

телефонов

сотрудников.

Следующим шагом является создание стратегии анализа

угроз и тестирования. Этот шаг является наиболее важным,

потому

что

мы

должны

убедиться, что

все

важные

потенциальные угрозы покрыты.

Лучший

способ

создать

стратегию

анализа

тестирования угроз – это основывать свои тесты на хорошо

известных методологиях и стандартах оценки безопасности.

Это поможет вам выбрать наиболее эффективную стратегию

тестирования с учетом специфики вашей Web-платформы.

Руководство

по

методологии

тестирован

безопасности с открытым исходным кодом(OSSTMM)

посвящено

тому, что

тестировать,

а не тому, как

его

тестировать,

и

содержит

основы

тестирования-

веб

безопасности,

а

также

информацию

о,

кактом

интерпретировать результаты тестов.

Преимущества.

Платформа

OSSTMM

может

быть

адаптирована

к

нескольким

типам

тестов, включая

оценки

Проект Open Web Application Security Project ( OWASP )

– это

проект

с

открытым

исходным

, кодомкоторый

предлагает

широкий

спектр

бесплатных

,

ресурсов

ориентированных

на

тестированиеWeb-приложений

и

осведомленность о кибербезопасности.

OWASP предлагает несколько типов руководств для

оценки безопасности веб-приложений:

ТОП-10 OWASP. Это основная публикация OWASP, в

которой

подробно

описываются

наиболее

ча

встречающиеся уязвимости безопасности в Web-приложениях

в зависимости от воздействия на бизнес и

технической

сложности.

Руководство

по

тестированиюOWASP.

Это

руководство

содержит

коллекцию

лучших

практик

и

практических

примеров

тестирования

безопасности

для

тестирования безопасности Web-приложений.

Руководство

для

разработчиковOWASP.

Это

руководство

содержит

рекомендации

по

написанию

надежного, безопасного и надежного кода.

Руководство

по

пересмотру

кодаOWASP.

Это

руководство

предназначено

как

для

разработчиков

программного обеспечения, так и для менеджеров; в нем

описываются лучшие практики проверки безопасного кода и

объясняется, как его можно использовать в жизненном цикле

разработки

безопасного

программного

обеспечения

(S-SDLC).

Преимущества: рекомендации OWASP предоставляют

всю

необходимую

информацию

для

каждого

этапа

жизненного цикла безопасной разработки программного

обеспечения. Это самая популярная и полная коллекция

инструментов

для

тестирования

безопасн

Область

применения: Web-приложения, хотя

есть

несколько

проектов OWASP, ориентированных

на

тестирование мобильных приложений.

приложений

(WASC-TC) – это

классификация

угроз

безопасности

Web-сайтов. Этот документ также содержит

описания и примеры атак. Классификации представлены

несколькими

способами,

которые

называются

представлениями:

· Enumeration View – перечисляет атаки и слабые стороны,

которые могут поставить под угрозу безопасностьWeb-

сайта и его данных

· View

Phase

View –

сообщает, на

какой

стадии

жизненного

цикла

разработки

может

возникнуть

конкретная уязвимость

Таксономический перекрестный справочный вид–

помогает

сопоставить

терминологиюWASC-TC

с

терминологией, используемой в других подобных проектах,

включая OWASP Top Ten, CWE и CAPEC.

Преимущества:

WASC-TC

демонстрирует

Структура

оценки

безопасности

информационных

систем

(ISSAF) разделена на две

части: техническую и

управленческую. Техническая часть содержит набор наиболее

важных

правил

и

процедур

для

создания

адекватного

процесса оценки безопасности. Управленческая сторона

содержит общие рекомендации по организации эффективного

процесса тестирования.

Преимущества:

ISSAF

помогает

сократить

разрыв

между

технической

и

управленческой

сторонам

тестирования

безопасности

и

реализует

необходимые

3.5. Выбор методологии и проведение тестов

Полезность

каждого

из

перечисленных

выше

руководящих

принципов

зависит

от

вашей

конкретной

ситуации. Мы рекомендуем следовать контрольному списку

безопасности OWASP для создания стратегии тестирования.

Для технических

деталей

мы

предлагаем

использовать

Техническое руководство PTES.

Как

только

вы

закончите

создавать

тестовую

документацию, самое

время

провести

собственное

тестирование

и

посмотреть, как

работает

вашеWeb-

приложение.

В результате этого тестирования вы получите список

проблем, которые следует оценить на предмет уязвимости и

воздействия.

Вы

можете

использовать

следующие

классификации для вашей оценки.

Влияние проблемы:

1) критический

уровень:

проблема,

представляющая

крайнюю угрозу; например, проблема, которая не позволяет

устройству управления безопасностью фильтровать трафик

или

позволяет

злоумышленнику

получить

полный

4)

низкий

уровень: Проблема

с

небольшим

воздействием; например, утечка информации, которая может

быть

полезна

злоумышленнику

путем

предоставления

операционной

системы

или

другие

инструмент,

загруженные из Интернета;

обладать

определенными

знаниями

и

использовать

комбинацию

инструментов

операционной

системы

и

инструментов, легко доступных в Интернете;

4)

испытывающий

уровень:

злоумышленник

должен

обладать конкретными знаниями и приложить немало усилий

для

использования

этой

проблемы, например,

путем

получения физического доступа к сетевой

инфраструктуре

или ресурсам, использования комбинации различных атак.

5) N/A: проблема, которая не может быть использована

напрямую.

Следующим шагом является расчет риска. Найдите, где

результаты

из «Влияния

проблемы» и

«Возможность

воздействия» пересекаются, чтобы определить значение риска

для каждой проблемы.

Основываясь на результатах этого расчета риска, вы

можете

расставить

приоритеты

для

всех

проблем

от

уязвимостей с низким приоритетом до высокоприоритетных.

Затем

вы

можете

сосредоточить

свои

действия

п

исправлению наиболее важных проблем.

3.6. Автоматизация тестирования

На

рынке существует

несколько

коммерческих

и

бесплатных инструментов тестирования для тестирования их

возможностей подключения, ответа и производительности.

Эти

инструменты

тестирования

автоматизиру

тестирование

для

конкретного

сценария, такого

как

SoapUI –

это инструмент для кросс-платформенного

тестирования с открытым исходным кодом. Он может

автоматизировать

функциональные,

регрессионные,

согласованные и нагрузочные тесты какSOAP, так и REST-

сервисов. Он

прост

в использовании

и поддерживает

· помогает

создавать

сложные, расширяемые

и

многоразовые тесты без кодирования;

· поддерживает

непрерывное

интеграционно

тестирование.

TestMaker

– это

инструмент с

открытым

исходным

кодом для тестирования и мониторинга производительности

Web-сервисов и приложений SOA с помощью PushtoTest. Он

работает

на Jython (Python написанный

на Java). TestMaker

может

перепрофилировать

тестыSelenium,

тесты

SoapUI,

тесты Sahi или

любые

тесты, написанные

в Groovy, Java,

Ключевые особенности:

· позволяет

организовывать API в

функции, называемые

сборками Postman;

· облегчает

совместную

работу

и

совместно

использование данных API и средств контроля;

· позволяет

записывать

логические

тесты Postmanв

Interface.

Vrest

–

это

инструмент, предназначенный

для

тестирования, тестирования REST APIS и Web-сервисов. Он

также

поддерживает

тестированиеWeb-приложений,

мобильных

и

настольных

приложений, которые

взаимодействуют со стороннимиAPI-интерфейсами или

службами HTTP.

Ключевые особенности:

· имеет

функциональность

макетного

сервера

для

создания макета API за считанные минуты;

· существует

расширение Chrome

для

записи

и

воспроизведения тест-кейсов;

· позволяет

экспортировать

и импортировать

тест-кейсы

и отчеты

из внешних инструментов, таких как Postman

Collections, Swagger 2.

HttpMaster – еще один эксклюзивный инструмент для

тестирования

Web-сервисов

REST.

Это

помогает

тестировщикам тестировать поведение API REST и проверять

выходные данные в таких форматах, как XML,

JSON и

HTML. Благодаря

универсальному HTTP-инструменту

HttpMaster

также

помогает

разработчику

моделировать

активность клиента и поведение ответа приложения API.

Ключевые особенности:

· имеет

простой

в

использовании

пользовательский

интерфейс, который не требует передовых технических

навыков;

· использует HTTP-методы,

такие

как GET, POST,

DELETE и т. д;

· предоставляет

различные

типы

и

выражения

для

мониторинга

производительности API. Runscope

также

поддерживает

тестирование API-интерфейсов

и

бэкэнд

мобильных приложений.

Ключевые особенности: