वेब भेद्यता। अतुल्य - स्पष्ट

प्रवेश परीक्षण, सुरक्षा ऑडिट और 2010 और 2011 में पॉजिटिव टेक्नोलॉजीज के विशेषज्ञों द्वारा किए गए अन्य कार्यों के दौरान, सौ से अधिक कॉर्पोरेट वेब अनुप्रयोगों की सुरक्षा पर आंकड़े एकत्र किए गए थे। यह एप्लीकेशन है, बिजनेस कार्ड साइट्स नहीं। ई-सरकारी साइट, इंटरनेट बैंकिंग सिस्टम, मोबाइल ऑपरेटरों के स्वयं-सेवा पोर्टल्स - यह शोध वस्तुओं की पूरी सूची नहीं है।

कार्य के परिणामों के विश्लेषण से हमें सूचना सुरक्षा के शाश्वत सवालों के जवाब खोजने में मदद मिली:

• "मैलवेयर" से कितने साइट संक्रमित हैं?
• कौन सी सीएमएस सुरक्षित है - वाणिज्यिक, ओपनसोर्स, या क्या खुद को विकसित करना आसान है?
• कौन सा अधिक सुरक्षित है - Java, PHP या ASP.NET?
• पीसीआई डीएसएस आवश्यकताओं को पूरा करें - मिथक या वास्तविकता?

इनमें से कुछ सवालों के जवाब ने हमें हैरान कर दिया। विवरण - कटौती के तहत।

संभावित रूप से खतरनाक?

हाँ! हमने उन सभी वेब अनुप्रयोगों में भेद्यताएं पाईं, जिनका हमने परीक्षण किया, जिनमें दो तिहाई संसाधन कमजोर भेद्यता वाले हैं। ग्राफ में शीर्ष 10 कमजोरियां हैं जो कमजोर साइटों के शेयरों को दर्शाती हैं।

जिसके कीट भक्षण करते हैं

10% साइटें "मैलवेयर" से संक्रमित थीं। इसमें किन कमजोरियों का योगदान है? संदेह मुख्य रूप से ओएस कमांड के निष्पादन पर, साथ ही SQL-कोड के कार्यान्वयन और फ़ाइल सिस्टम की गलत अनुमतियों पर पड़ता है। संक्रमित साइट में इन भेद्यताओं के होने की संभावना अधिक होती है। "निष्पादन ओएस आदेश" भेद्यता के लिए, यह अंतर काफी ध्यान देने योग्य है: लगभग सभी संक्रमित साइटें (92%) असुरक्षित थीं - दुर्भावनापूर्ण कोड (21%) के बिना साइटों के विपरीत। नतीजतन, इस भेद्यता के साथ हर तीसरी साइट दुर्भावनापूर्ण कोड से संक्रमित थी।

सीएमएस: क्या यह सुरक्षा के लिए भुगतान करने योग्य है?

हर कोई लंबे समय से जानना चाहता है कि क्या ओपन सोर्स सीएमएस का उपयोग करना संभव है और क्या यह एक वाणिज्यिक के लिए बाहर कांटा करने के लिए लायक है? या यहां तक ​​कि अपने दम पर विकसित? हमारे अध्ययन से पता चला है कि स्वामित्व प्रणालियों पर निर्मित साइटें वाणिज्यिक और मुक्त प्रणालियों की साइटों की तुलना में अधिक महत्वपूर्ण और अन्य सामान्य कमजोरियां हैं। अजीब तरह से, वे मालवरी से सुरक्षित निकले: कई कमजोरियों के बावजूद, वे स्वचालित उपकरणों का उपयोग करते हुए बड़े पैमाने पर हमले के हिस्से के रूप में "आकस्मिक" हैकिंग के लिए प्रवण हैं, क्योंकि कोई भी आपके सीएमएस पर "ठोकर" की उम्मीद में एक शोषण लिखने का कार्य नहीं करेगा। ओपन सिस्टम के लिए, यह एक बड़ी समस्या बन गई: लगभग एक चौथाई संक्रमित थे।

तो, अपने स्वयं के डिजाइन के सीएमएस पुराने चलनी से मिलते-जुलते हैं और पूंछ में बुनाई करते हैं। लेकिन वाणिज्यिक और ओपन-सोर्स के बारे में क्या? सबसे आम और सबसे खतरनाक कमजोरियों को ध्यान में रखते हुए, हम यह निष्कर्ष निकालते हैं कि मतभेद इतने महान नहीं हैं। प्रत्येक समूह अपनी कमजोरियों के समूह की ओर जाता है। उदाहरण के लिए, वाणिज्यिक सीएमएस एसक्यूएल इंजेक्शन की चपेट में आने की संभावना है। लेकिन अगर आपको यकीन है कि आप SQL कोड कार्यान्वयन प्रयासों से डरते नहीं हैं, तो वाणिज्यिक CMS चुनें (समग्र वर्गीकरण में सुरक्षा के मामले में उनका पहला स्थान है)। OS कमांड चलाना, क्रॉस-साइट स्क्रिप्टिंग (XSS), और जीरो बाइट्स लागू करना सभी मुफ्त सिस्टम हैं। और निर्देशिका ट्रैवर्सल और क्रॉस-साइट अनुरोध स्पूफिंग (सीएसआरएफ) के प्रतिरोध के संदर्भ में, यह एक मुकाबला ड्रा है। महत्वपूर्ण भेद्यता "दूरस्थ फ़ाइल समावेशन" को विशेष रूप से अपने स्वयं के डिजाइन के सीएमएस के साथ संसाधनों पर पहचाना गया था। नीचे विभिन्न प्रकार के सीएमएस के साथ साइटों पर जोखिम स्तर द्वारा कमजोरियों के वितरण का एक ग्राफ है।

जड़ को देखकर

यह ज्ञात है कि किसी साइट का "छिद्र" भाषा चयन के समय भी निर्धारित किया जाता है। इस अर्थ में अंतर आश्चर्यजनक हैं: 81% मामलों में PHP में सिस्टम में 59% मामलों में जावा में - और एएसपी.नेट पर महत्वपूर्ण कमजोरियां होती हैं - केवल 26% में।

कौन किससे डरता है? ASP.NET निर्देशिका ट्रैवेलर्स के लिए असुरक्षित संसाधन बिल्कुल नहीं पाए गए! केवल 4% OS कमांड निष्पादित करने के लिए असुरक्षित थे। लेकिन क्रॉस-साइट स्क्रिप्टिंग जावा में अन्य साइटों की तुलना में लगभग दोगुनी है। एक छोटे से मार्जिन के साथ, जावा SQL कोड इंजेक्शन के खिलाफ सुरक्षा पर चैंपियनशिप में ASP.NET से भी बेहतर प्रदर्शन करता है, और PHP दुख की बात है कि यह पेन (61% कमजोर साइटों - शेयर प्रतियोगियों की तुलना में लगभग तीन गुना अधिक है)। CSRF के साथ समान कहानी: PHP साइटें दोगुनी असुरक्षित हैं। खैर, एक शून्य बाइट का कार्यान्वयन पीएचपी साइटों के अधीन हो गया।

जहां पैसा तारों से होकर बहता है

वित्तीय क्षेत्र के वेब संसाधनों की समीक्षा करने के बाद, हम इस निष्कर्ष पर पहुंचे कि स्थिति बहुत निराशाजनक है। केवल 10% मामलों में, मालिक वेब अनुप्रयोगों की सुरक्षा के लिए PCI DSS आवश्यकताओं को पूरा करने में कामयाब रहे। यह अच्छा है कि किसी ने बफर अतिप्रवाह की अनुमति नहीं दी। लेकिन गलत त्रुटि हैंडलिंग 76% (!) अनुप्रयोगों के लिए विशिष्ट है।



उसी समय, दूरस्थ बैंकिंग प्रणालियों के विश्लेषण से पता चला कि उन्होंने लगभग सभी महत्वपूर्ण कमजोरियों को समाप्त कर दिया। आरबीएस में केवल 1% कमजोरियां उच्च स्तर के जोखिम से जुड़ी हैं।

PS डेटा को 2010-2011 में पॉजिटिव टेक्नोलॉजीज द्वारा किए गए वेब अनुप्रयोगों के सुरक्षा विश्लेषण के दौरान एकत्र किया गया था। सहायक स्वचालित उपकरणों का उपयोग करके काले और सफेद बॉक्स के तरीकों से सुरक्षा मूल्यांकन मैन्युअल रूप से किया गया था। कमजोरियों के वर्गीकरण के लिए, वेब एप्लिकेशन सिक्योरिटी कंसोर्टियम थ्रेट क्लासिफिकेशन (WASC TC v। 2) सिस्टम का उपयोग किया गया था - प्रसंस्करण इनपुट में त्रुटियों के अपवाद और लौटाए गए डेटा और सेवा से इनकार के साथ। सामान्य भेद्यता स्कोरिंग सिस्टम (सीवीएसएस 2) के अनुसार भेद्यता की आलोचना की डिग्री का मूल्यांकन किया गया था, फिर उच्च, मध्यम और निम्न स्तर के जोखिम की पहचान की गई थी।

पीपीएस सबसे उत्सुक पाठकों के पास रिपोर्ट के पूर्ण संस्करण के साथ खुद को परिचित करने का अवसर है।