Aruanne on läbistustesti see osa, mis jääb teile alles ka pärast testijate lahkumist. Kui loete seda hästi, parandate esimesena õiged asjad ja saate kordustestist tõelist kasu. Samuti aitab see ära tunda „läbistustesti“, mis oli tegelikult kaanelehega automaatne skannimine.
Mida hea aruanne sisaldab
OWASP Web Security Testing Guide kirjeldab aruande ülesehitust, mis sobib hästi võrdlusaluseks. Iga osa teenib eri lugejat ja juhend soovitab, et jaotisi saaks neid vajavatele meeskondadele eraldi välja printida.
| Jaotis | Peamine lugeja | Mida kontrollida |
|---|---|---|
| Juhtkonna kokkuvõte | Juhtkond | Üks lehekülg arusaadavas keeles: mis on valesti ja kuidas seda parandada |
| Testi parameetrid | Kõik | Eesmärk, ulatus, ajakava, sihtmärgid ja piirangud |
| Leidude kokkuvõte | IT- ja turbejuhid | Kõik leiud koos raskusastmega ühes tabelis |
| Parandustegevuste kokkuvõte | IT- ja turbejuhid | Rühmitatud tegevused, mitte ainult probleemide loetelu |
| Üksikasjalikud leiud | Insenerid | Iga probleemi kohta tõendid, mõju, taasesitamise sammud ja parandus |
| Lisa | Insenerid ja audiitorid | Kasutatud tööriistad ja kõik kohandatud skriptid |
Lugege piirangute jaotist hoolikalt. Kui kontode lukustumine peatas testimise või server eemaldati teisel päeval ulatusest, peab aruanne seda mainima. Puhas tulemus valdkonnas, mida kunagi ei testitud, ei ütle teile midagi.
Ühendkuningriigi riiklik küberturbekeskus (NCSC) lisab kaks punkti, mis jäävad kergesti märkamata. Hea aruanne annab testijate arvamuse selle kohta, kui täpne oli teie enda haavatavuste hindamine, ja nõu, kuidas seda protsessi parandada.
Hea leiu ülesehitus
Iga leid peaks võimaldama projektis mitteosalenud inseneril probleemist aru saada, seda taasesitada ja see parandada. Otsige järgmist:
- unikaalne ID ja selge pealkiri
- raskusastme hinnang, CVSS-i kasutamise korral koos CVSS-vektoriga
- täpsed mõjutatud varad, näiteks hostid, URL-id, parameetrid või rollid
- nõrkuse kirjeldus ja selgitus, miks see on teie ärile oluline
- tõendid, näiteks päringud ja vastused, ekraanipildid või käskude väljund
- taasesitamise sammud
- konkreetsed parandussoovitused koos viidetega, näiteks tootja turvateatele
Siin on lühendatud näide sellest, kuidas see praktikas välja näeb:
ID AF-07 Invoice download does not check ownership
Severity Medium CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N (6.5)
Affected GET /api/v1/invoices/{id}/pdf on portal.example.eu
Evidence Logged in as customer A, a request for invoice 10452
(customer B) returned customer B's PDF.
Impact Any customer can download other customers' invoices,
including names, addresses and amounts.
Fix Check on the server that the invoice belongs to the
logged-in customer for every request.
Retest Request another customer's invoice and expect 403 or 404.(Näites: arve allalaadimine ei kontrolli, kellele arve kuulub; klient A sai kätte kliendi B arve PDF-i koos nimede, aadresside ja summadega. Parandus on kontrollida serveris iga päringu puhul, et arve kuulub sisseloginud kliendile.)
Vektorist näete, miks see on hinnatud keskmiseks (Medium): mõjutatud on konfidentsiaalsus, terviklus ja käideldavus mitte. Samuti saate sellega põhjendatult mitte nõustuda. Kuna arved sisaldavad isikuandmeid, võite otsustada, et see väärib skoorist kõrgemat prioriteeti.
Kuidas leide hinnatakse
Paljud aruanded hindavad leide FIRST-i hallatava CVSS-iga (Common Vulnerability Scoring System) ja NCSC nimetab seda hindamisskeemide hulgas, mida võite nõuda. CVSS v3.1 ja v4.0 kasutavad samu kvalitatiivseid vahemikke:
| Hinnang | CVSS-skoor |
|---|---|
| Puudub | 0,0 |
| Madal | 0,1–3,9 |
| Keskmine | 4,0–6,9 |
| Kõrge | 7,0–8,9 |
| Kriitiline | 9,0–10,0 |
Nende hinnangute lugemisel aitavad kolm tõdemust:
- Baasskoor mõõdab raskusastet, mitte teie riski. FIRST kirjeldab seda kui haavatavuse olemuslike omaduste peegeldust mõistliku halvima juhu korral. Kasutajad peaksid seda täiendama teabega oma keskkonna kohta.
- Raskusaste on sisend. OWASP-i juhend soovitab juhtkonna kokkuvõttes seda selgelt välja öelda: hinnang on sisend teie riskijuhtimisprotsessile, mitte selle asendus.
- Testijatel puudub äriline kontekst. NCSC soovitab teil leide ise hinnata, sest hinnangud võivad olla liiga kõrged või liiga madalad. Samas hoiatab see, et seda ei tohi kasutada probleemide pisendamiseks.
Mida parandada esimesena
- Kõik, mida saab internetist ilma sisselogimiseta ära kasutada, eriti kui see viib koodi käivitamise, andmetele juurdepääsu või administraatori kontrollini.
- Ründeahelad. Hea aruanne näitab, kuidas mitu madalama hinnanguga leidu koos muutuvad tõsiseks. NIST SP 800-115 märgib, et skannerid ei suuda tuvastada nõrkusi, mis ilmnevad alles haavatavuste kombineerimisel. Nende ahelate leidmine ongi suur osa sellest, mida inimtestija juurde annab.
- Süsteemid, kus hoitakse võtmeid, näiteks identiteedipakkujad, varundusserverid, kaugjuurdepääsu lüüsid ja kõik, mis töötleb isikuandmeid.
- Kiired võidud. Üks seadistusmuudatus võib mõnikord sulgeda mitu leidu korraga.
- Algpõhjused. NIST soovitab pärast hindamist algpõhjuste analüüsi, sest tulemused võivad osutada nii nõrkadele protsessidele kui ka nõrkadele süsteemidele. Viis puuduvat turvaparandust viiel serveril on üks leid paikamise korralduse kohta, mitte viis omavahel seostamata probleemi.
NCSC käsitleb läbistustesti kui teie enda haavatavuste halduse kontrolli, mitte kui peamist viisi haavatavuste leidmiseks. Tema sõnul peaksid uued avastused olema „erand, mitte reegel“. Kui aruanne teid üllatab, ütleb see midagi ka teie sisemiste protsesside kohta.
Kordustestimine
Leppige kordustest kokku lepingu sõlmimisel, sealhulgas see, mida see hõlmab ja kui palju aega on teil enne seda parandusteks. Paluge tulemused uuendatud aruande või lisana, kus iga leiu juures on olek: parandatud, osaliselt parandatud, parandamata või risk aktsepteeritud.
Kordustest kinnitab konkreetseid parandusi. See ei ole uus test. NCSC juhib tähelepanu sellele, et test näitab teie süsteemide seisu ainult selle tegemise päeval ja et testide vahel on sageli aasta või rohkem. Jätkake vahepeal kontrollimist.
Odava „läbistustesti“ ohumärgid
Automaatsel skannimisel on oma koht ja NIST SP 800-115 käsitleb seda ühe standardse hindamisvõttena. Samas märgib see, et skanneritel võib olla palju valepositiivseid tulemusi ja nende tõlgendamiseks on vaja asjatundjat. Probleem algab siis, kui läbivaatamata skannimistulemusi müüakse läbistustestina. Ohumärgid on näiteks:
- üldise, kopeeritud tekstiga leiud, ilma tõenditeta, et keegi neid kinnitas
- kümned väikese mõjuga punktid bännerite ja TLS-šifrite kohta, kuid mitte midagi juurdepääsu kontrolli, autentimise või äriloogika kohta, mille testimiseks on vaja inimest
- otse tööriistast võetud raskusastmed; NIST-i järgi peaksid hindajad määrama riskitaseme ise, selle asemel et skanneri hinnanguid aktsepteerida
- puudub ulatuse, metoodika või piirangute jaotis
- puuduvad taasesitamise sammud, nii et teie meeskond ei saa parandust kontrollida
- testijaid ei ole nimetatud ega nende kvalifikatsiooni märgitud; NCSC järgi peaksid testimist tegema ainult kvalifitseeritud ja kogenud töötajad
- „kordustest“, mis on lihtsalt sama skannimine uuesti
Kust alustada
Enne järgmist testi küsige teenusepakkujalt:
- Mis täpselt kuulub ulatusse ja mis on välja jäetud?
- Kas testijatel on kontod iga kasutajarolli jaoks, mida soovite testida?
- Kas saate näha anonüümitud näidisaruannet?
- Kuidas leide hinnatakse ja kas iga leiu juures on CVSS-vektor?
- Kas kordustest on hinnas ja millise aja jooksul?
Kui kavandate testi ja soovite esmalt ulatust arutada, tutvuge meie läbistustestimise teenusega.
