Jak fungují automatické bezpečnostní kontroly webu, co testují a kde mají slepá místa
Automatická bezpečnostní kontrola webu dokáže za pár sekund odhalit problémy, jejichž ruční identifikací by i zkušený vývojář strávil hodiny. Přesto má své limity, které mnoho správců webů nezná, a právě tato slepá místa bývají příčinou toho, že web projde automatickým testem s čistým výsledkem a přesto zůstane zranitelný. Pojďme si podrobněji říct, jak automatické skenery fungují a co skutečně testují, a také kde už nestačí spoléhat pouze na ně.
Co automatické bezpečnostní skenery testují
SSL certifikát a HTTPS konfigurace
Jednou z prvních věcí, které každý automatický skener ověřuje, je platnost SSL certifikátu (o SSL certifikátech zjistíte více zde) a správnost HTTPS konfigurace. Skener zkontroluje, zda certifikát není prošlý, zda je vydán důvěryhodnou certifikační autoritou a zda web přesměrovává HTTP požadavky na HTTPS. Ověří také, zda není certifikát vydán pro jinou doménu, než na které web běží.
Tato kontrola je rychlá a spolehlivá. Prošlý nebo nesprávně konfigurovaný certifikát skener identifikuje bez chyby. Ovšem samotná přítomnost platného HTTPS certifikátu ještě neznamená, že web je 100% bezpečný.
HTTP bezpečnostní hlavičky
Bezpečnostní hlavičky jsou instrukce, které server posílá prohlížeči a říkají mu, jak má s obsahem stránky nakládat. Automatické skenery testují přítomnost a správnou konfiguraci nejdůležitějších z nich:
- Content-Security-Policy (CSP) omezuje, zdroje, z nichž může prohlížeč načítat skripty, styly a další obsah. Chybějící nebo příliš volná CSP otevírá prostor pro XSS útoky.
- X-Frame-Options zabraňuje vložení stránky do iframe na cizím webu, čímž chrání před clickjacking útoky.
- Strict-Transport-Security (HSTS) říká prohlížeči, aby web vždy načítal přes HTTPS, i kdyby uživatel zadal URL bez protokolu.
- X-Content-Type-Options zabraňuje prohlížeči v interpretaci souborů jinak, než deklaruje server v hlavičce Content-Type.
Chybějící nebo špatně nastavené bezpečnostní hlavičky patří mezi nejčastější nálezy automatických skenů a zároveň mezi relativně snadno opravitelné problémy.
Přítomnost na blacklistech
Skenery také prověřují, zda doména nebo IP adresa webu nefiguruje na blacklistech antivirových společností, Googlu nebo bezpečnostních databází. Web na blacklistu zobrazuje návštěvníkům varování v prohlížeči ještě před otevřením stránky a Google ho přestane zobrazovat v organických výsledcích.
Kontrola blacklistů je jednou z nejcennějších funkcí automatických skenů, protože majitel webu se o zařazení na blacklist jinak dozví zpravidla až poté, co mu začne klesat návštěvnost.
Otevřené porty a expozice služeb
Část automatických skenů testuje, které porty jsou na serveru otevřené a přístupné z internetu. Zbytečně otevřené porty rozšiřují plochu potenciálního útoku. Správcovské rozhraní databáze dostupné z internetu bez omezení IP adres je typickým příkladem konfigurace, kterou automatický skener označí jako rizikovou.
Rozsah těchto testů podobně jako u testů SEO optimalizace závisí na konkrétním nástroji. Hloubka analýzy se mezi nástroji výrazně liší a výběr nástroje ovlivňuje, jak úplný obraz o stavu webu získáte.
Zastaralý software a „known vulnerabilities“
Skenery porovnávají verze detekovaného softwaru, zejména CMS, pluginů a serverových komponent, s databázemi známých zranitelností. WordPress s neaktualizovanými pluginy, zastaralá verze PHP nebo CMS s veřejně zdokumentovanou bezpečnostní chybou jsou nálezy, které automatický skener identifikuje spolehlivě.
Kde automatické skenery naráží na limity
Logické chyby v aplikaci
Automatický skener testuje technickou konfiguraci a známé vzory zranitelností. Nedokáže pochopit, jak aplikace funguje z pohledu obchodní logiky.
Chyba, která umožňuje objednat zboží za nulovou cenu manipulací s parametry v URL, nebo dostat se k cizím objednávkám změnou ID v adrese, je pro automatický skener neviditelná.
Tyto zranitelnosti odhalí pouze člověk, který konkrétní web testuje a ví, jak přesně funguje.
Autentizační slabiny po příhlášení
Většina automatických skenů testuje web bez přihlášení. Vše, co se nachází za přihlašovací stránkou, zůstává mimo jejich dosah. Slabá hesla administrátorů, nedostatečné řízení přístupu k funkcím nebo citlivá data dostupná přihlášeným uživatelům bez správného ověření oprávnění skener neodhalí.
Sociální inženýrství a lidský faktor
Phishingové stránky napodobující přihlašovací formulář, podvržené e-maily vyzývající k zadání přístupových údajů nebo manipulace s zaměstnanci – to všechno jsou vektory útoku, které žádný automatický skener neodhalí. Bezpečnost webu sahá za hranice technické konfigurace serveru a kódu.
Nové a zero-day zranitelnosti
Automatické skenery pracují s databázemi známých zranitelností. Čerstvě objevená slabina, která ještě nebyla zdokumentována a přidána do databáze, skenerem projde bez povšimnutí. Pravidelná aktualizace skenovacích nástrojů a sledování bezpečnostních bulletinů jsou proto nezbytným doplňkem automatických kontrol.
Jak automatické skenery využít smysluplně
Výsledky skeneru ukazují měřitelný stav technické konfigurace webu, odhalují rychle opravitelné problémy a poskytují přehled o viditelnosti webu na blacklistech. Pro weby zpracovávající platby, osobní údaje nebo zdravotnická data jsou tak nutnou, ovšem nikoliv dostatečnou vrstvou ochrany.
Komplexní přístup kombinuje automatické skenování s pravidelnými manuálními kontrolami, aktualizacemi veškerého softwaru bez odkladů a ověřením bezpečnosti po každé větší změně webu. Automatizované nástroje jsou nejcennější tehdy, když se používají pravidelně a jejich výsledky se skutečně zapracovávají do správy webu.
Frekvence takových pravidelných kontrol pak závisí na typu webu. E-shopy a weby zpracovávající osobní údaje by měly kontrolu provádět minimálně jednou měsíčně, statické prezentační weby jednou za čtvrtletí.
