Die e-handelslandskap is die afgelope tyd dramaties versterk deur die vooruitgang in internettegnologieë wat baie meer mense in staat stel om aan die internet te koppel en meer transaksies uit te voer.
Veel meer ondernemings maak staat op hul webwerwe vir 'n groot bron van inkomste. Daarom moet die veiligheid van sulke webplatforms geprioritiseer word. In hierdie artikel gaan ons kyk na 'n lys van die beste wolk-gebaseerde VAPT-instrumente (Vulnerability Assessment and Penetration Testing) wat vandag beskikbaar is, en hoe dit aangewend kan word deur 'n start-up, klein en medium ondernemings.
Eerstens moet 'n web-gebaseerde of e-handelseienaar die verskille en ooreenkomste tussen Vulnerability Assessment (VA) en Penetration Testing (PT) begryp om u besluit in te lig wanneer u 'n keuse maak oor wat die beste vir u besigheid is. Alhoewel beide VA en PT aanvullende dienste lewer, is daar maar subtiele verskille in wat hulle beoog om te bereik.
0.1 Verskil tussen VA en VT
Verskil tussen VA en VT
By die uitvoering van 'n kwesbaarheidsbeoordeling (VA) wil die toetser verseker dat alle oop kwesbaarhede in die toepassing, webwerf of netwerk gedefinieër, geïdentifiseer, geklassifiseer en geprioritiseer word. Daar word gesê dat 'n kwesbaarheidsbeoordeling 'n lysgerigte oefening is. Dit kan bereik word deur gebruik te maak van skandeergereedskap, waarna ons later in hierdie artikel kyk. Dit is noodsaaklik om so 'n oefening uit te voer, want dit gee besighede 'n kritiese insig in waar die skuiwergate is en wat hulle moet regmaak. Hierdie oefening gee ook die nodige inligting vir besighede by die opstel van firewalls, soos WAF's (Web Application Firewalls).
Aan die ander kant is 'n Penetration Testing (PT) oefening meer direk en word gesê dat dit doelgerig is. Die doel hier is om nie net die verweer van die toepassing te ondersoek nie, maar ook om kwesbaarhede wat ontdek is, te benut. Die doel hiervan is om kuberaanvalle uit die werklike lewe op die toepassing of webwerf te simuleer. Sommige daarvan kan gedoen word met behulp van outomatiese gereedskap; sommige sal in die artikel opgesom word en dit kan ook met die hand gedoen word. Dit is veral belangrik vir ondernemings om die vlak van risiko wat 'n kwesbaarheid inhou te begryp, en om die kwesbaarheid die beste te voorkom teen moontlike kwaadwillige uitbuiting..
Daarom kon ons dit regverdig; 'n kwesbaarheidsbeoordeling lewer insette in die uitvoering van penetrasietoetsing. Daarom is die behoefte om volledige funksionele gereedskap te hê wat u kan help om albei te bereik.
Kom ons ondersoek die opsies …
Astra is 'n volledige VAPT-instrument wat op wolk gebaseer is, met 'n spesiale fokus vir e-handel; dit ondersteun WordPress, Joomla, OpenCart, Drupal, Magento, PrestaShop, en ander. Dit bevat 'n reeks toepassings, malware en netwerktoetse om die veiligheid van u webtoepassing te beoordeel.
Dit kom met 'n intuïtiewe paneelbord wat 'n grafiese ontleding toon van die bedreigings wat op u webwerf geblokkeer is, gegewe 'n spesifieke tydlyn.
Sommige funksies sluit in.
Toepassing Statiese en dinamiese kode-analise
Met 'n statiese kode en dinamiese ontleding, wat 'n program se kode voor en tydens die tydsduur kontroleer om te verseker dat dreigemente intyds vasgevang word, wat onmiddellik opgelos kan word.
Dit doen ook 'n outomatiese toepassingsskandering vir bekende malware en verwyder dit. Net so word daar gekyk na die lêerverskil om die integriteit van u lêers te verifieer, wat moontlik deur 'n interne program of eksterne aanvaller kwaadwillig verander is. Onder die gedeelte vir die skandering van malware kan u nuttige inligting oor moontlike malware op u webwerf kry.
Astra doen ook outomatiese opsporing en logging van bedreigings, wat u 'n insig gee in watter dele van die toepassing die meeste kwesbaar is vir aanvalle watter dele die meeste benut word op grond van vorige aanvalpogings.
Betaling gateway en infrastruktuur toets
Dit voer 'n penne-toets vir betalingstoepassings vir toepassings met betalingsintegrasies aan – ook infrastruktuurtoetse om die veiligheid van die program se hou-infrastruktuur te verseker.
Astra kom met 'n netwerkpenetrasietoets van routers, skakelaars, drukkers en ander netwerknodes wat u onderneming aan interne veiligheidsrisiko's kan blootstel.
Op standaarde is Astra se toetsing gebaseer op belangrike sekuriteitstandaarde, insluitend OWASP, PCI, SANS, CERT, ISO27001.
Netsparker-span is 'n onderneming-gereed medium-tot-groot sake-oplossing wat 'n aantal funksies het. Dit spog met 'n robuuste skandeerfunksie wat as 'n bewys-gebaseerde-skandering ™ -tegnologie met volle outomatisering en integrasie gemerk is.
Netsparker het 'n groot aantal integrasies met bestaande gereedskap. Dit kan maklik geïntegreer word in probleemopsporingstoerusting soos Jira, Clubhouse, Bugzilla, AzureDevops, ens. Dit het ook integrasies met projekbestuurstelsels soos Trello. Net so, met CI (Continuous Integration) stelsels soos Jenkins, Gitlab CI / CD, Circle CI, Azure, ens. Dit gee Netsparker die vermoë om in u SDLC (Software Development Life Cycle) geïntegreer te word; vandaar kan u pypleidings nou 'n kwesbaarheidstoets insluit, voordat u funksies op u besigheidstoepassing in werking stel.
'N Intelligensie-instrumentpaneel gee u insig in watter sekuriteitsfoute in u toepassing bestaan, die vlak van hul erns, en watter opgelos is. Dit gee u ook inligting oor kwesbaarhede van skanderingsresultate en moontlike skuiwergate.
Tenable.io is 'n onderneming-gereed webtoepassing skandeermiddel wat u belangrike insigte gee in die veiligheidsvooruitsigte van al u webtoepassings.
Dit is maklik om op te stel en te begin hardloop. Hierdie instrument fokus nie net op 'n enkele program wat u het nie, maar op al die webprogramme wat u gebruik het.
Dit baseer ook die skandering van die kwesbaarheid op 'n wyd gewilde OWASP Top Tien-kwetsbaarheid. Dit maak dit maklik vir enige sekuriteitsgeneraal om 'n webprogramskandering te begin en die resultate te verstaan. U kan 'n outomatiese scan skeduleer om 'n herhalende taak te vermy om programme met die hand te skandeer.
Pentest-gereedskap skandeerder gee u volledige skanderingsinligting oor kwesbaarhede om op 'n webwerf te soek.
Dit dek web-vingerafdrukke, SQL-inspuiting, skripsie oor webwerwe, uitvoering van eksterne opdragte, plaaslike / afstandlêers, ens. Gratis skandering is ook beskikbaar, maar met beperkte funksies.
Rapportering toon besonderhede van u webwerf en die verskillende kwesbaarhede (indien daar is) en hul ernsvlakke. Hier is 'n skermkiekie van die gratis 'Light' Scan-verslag.
In die PRO-rekening kan u die skandeermodus kies wat u wil uitvoer.
Die paneelbord is baie intuïtief en gee 'n gesonde insig in alle skanderings wat uitgevoer word en die verskillende vlakke daarvan.
Bedreiging kan ook geskeduleer word. Net so het die instrument 'n rapporteringsfunksie wat 'n toetser in staat stel om kwesbaarheidsverslae te genereer uit die uitgevoer skanderings.
Veiligheidskommandosentrum (SCC) is 'n veiligheidsmoniteringsbron vir Google Cloud.
Dit bied Google Cloud-gebruikers die vermoë om sekuriteitsmonitering vir hul bestaande projekte op te stel sonder om ekstra gereedskap te kry.
SCC bevat 'n verskeidenheid inheemse sekuriteitsbronne. Insluitend
Cloud Anomaly Detection – Nuttig vir die opsporing van misvormde datapakkette wat gegenereer is uit DDoS-aanvalle.
Cloud Security Scanner – Nuttig om kwesbaarhede op te spoor, soos skripsies oor die hele terrein (XSS), die gebruik van duidelike tekswagwoorde en verouderde biblioteke in u app.
Cloud DLP Data Discovery – Hier word 'n lys met stooremmer wat sensitiewe en / of gereguleerde data bevat, weergegee
Forseti Cloud SCC Connector – Hiermee kan u u eie skandeerders en detector ontwikkel
Dit bevat ook vennootoplossings soos CloudGuard, Chef Automate, Qualys Cloud Security, Reblaze. Almal kan in Cloud SCC geïntegreer word.
Veiligheid op die webwerf is uitdagend, maar danksy die instrumente wat dit maklik maak om uit te vind wat kwesbaar is en die aanlynrisiko's verminder. Indien nog nie, probeer dan die bogenoemde oplossing vandag om u aanlynbesigheid te beskerm.