Εν ολίγοις: Το pentest ή σάρωση ευπαθειών δεν είναι ερώτημα είτε-είτε, αλλά ερώτημα σειράς. Μια σάρωση ευπαθειών εντοπίζει αυτοματοποιημένα γνωστές ευπάθειες και εσφαλμένες διαμορφώσεις, γρήγορα και φθηνά, αλλά με ψευδή συναγερμικά και τυφλά σημεία. Μια δοκιμή διείσδυσης ελέγχει στοχευμένα τι θα μπορούσε πράγματι να πετύχει ένας επιτιθέμενος. Ένα πρόγραμμα bug bounty ανοίγει τον έλεγχο σε εξωτερικούς ερευνητές και αξίζει μόνο όταν οι σαρώσεις και τα pentests έχουν γίνει ρουτίνα. Για τις περισσότερες ΜμΕ η σειρά είναι: τακτική σάρωση, διόρθωση των ευρημάτων, στοχευμένη δοκιμή από ειδικούς, δημιουργία σημείου αναφοράς ευπαθειών.
Γιατί το ερώτημα τίθεται εκ νέου μετά το PHP2Shell
Όποιος ελέγχει μετά το PHP2Shell τον ιστότοπό του με έναν διαδικτυακό σαρωτή, μπορεί να λάβει μπερδεμένα αποτελέσματα. Ένας σαρωτής αναφέρει ενδεχομένως μια κρίσιμη ευπάθεια, παρότι ο πάροχος φιλοξενίας έχει επιβεβαιώσει το patch. Ένας άλλος δεν αναφέρει τίποτα, παρότι ο διακομιστής χρησιμοποιεί ακόμη παλιά έκδοση PHP, επειδή η ένδειξη έκδοσης είναι κρυμμένη.
Ο λόγος βρίσκεται στον τρόπο λειτουργίας. Πολλοί σαρωτές συμπεραίνουν την ευπάθεια από την έκδοση που εμφανίζεται. Οι διανομές εγκαθιστούν όμως backports χωρίς να αλλάζουν τον αριθμό έκδοσης· σύμφωνα με αναφορές, η Ubuntu 24.04 δείχνει, για παράδειγμα, μετά την ενημέρωση ακόμη 8.3.6. Γιατί συμβαίνει αυτό, εξηγεί το Γιατί το php -v δείχνει τον ίδιο αριθμό μετά την ενημέρωση. Την αξιόπιστη απόδειξη παρέχει το changelog του πακέτου, δείτε Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch.
Αυτό δεν είναι επιχείρημα κατά των σαρωτών, αλλά υπέρ του να γνωρίζετε τα όριά τους και να τους συνδυάζετε με άλλες μεθόδους.
Pentest ή σάρωση ευπαθειών: οι τρεις μέθοδοι σε σύγκριση
| Κριτήριο | Σάρωση ευπαθειών | Δοκιμή διείσδυσης | Bug bounty |
|---|---|---|---|
| Ποιος ελέγχει; | Αυτοματοποιημένο εργαλείο | Ειδικοί που έχουν αναλάβει την ανάθεση | Εξωτερικοί ερευνητές, συχνά μέσω πλατφόρμας |
| Τι εντοπίζεται; | Γνωστές ευπάθειες, παλιές εκδόσεις, εσφαλμένες διαμορφώσεις | Εκμεταλλεύσιμες ευπάθειες, σφάλματα λογικής, συνδυασμοί | Ό,τι βρίσκουν και αναφέρουν οι ερευνητές, συχνά ασυνήθιστα πράγματα |
| Βάθος | Ευρύ, αλλά επιφανειακό | Βαθύ στο συμφωνημένο πεδίο | Διαφορετικό, ανάλογα με τους συμμετέχοντες |
| Ψευδή συναγερμικά | Συχνά | Σπάνια, τα ευρήματα τεκμηριώνονται | Πολλές αναφορές που πρέπει να αξιολογηθούν |
| Προγραμματισιμότητα | Υψηλή, επαναλαμβάνεται κατά βούληση | Υψηλή, σταθερή περίοδος και έκταση | Χαμηλή, οι αναφορές έρχονται συνεχώς |
| Προϋποθέσεις στην επιχείρηση | Κάποιος που αξιολογεί τα αποτελέσματα | Συμφωνημένη έκταση, δοκιμαστικό περιβάλλον ή παράθυρο συντήρησης | Ώριμη διαδικασία αξιολόγησης, διόρθωσης και ανταμοιβής |
| Τυπική χρήση | Συνεχώς, π.χ. μηνιαία ή μετά από αλλαγές | Πριν από την έναρξη, μετά από μεγάλες αλλαγές, τακτικά | Συμπληρωματικά, σε ώριμες, εκτεθειμένες εφαρμογές |
Καμία μέθοδος δεν αντικαθιστά τις άλλες. Η σάρωση δείχνει πολλά σε σύντομο χρόνο, το pentest δείχνει τι πραγματικά μετράει, και το bug bounty βρίσκει ό,τι δεν σκέφτηκε κανείς.
Στους σαρωτές αξίζει επιπλέον μια δεύτερη ματιά στο είδος της σάρωσης. Μια σάρωση από έξω βλέπει μόνο ό,τι βλέπει κάθε επισκέπτης και πρέπει συχνά να μαντέψει εκδόσεις από απαντήσεις του διακομιστή. Μια σάρωση με πιστοποίηση, όπου το εργαλείο διαβάζει με δικά του διαπιστευτήρια τα εγκατεστημένα πακέτα στον διακομιστή, δίνει σαφώς πιο αξιόπιστα αποτελέσματα, ιδίως για το πραγματικό επίπεδο πακέτου της PHP. Προϋποθέτει όμως να στήσετε για αυτό μια περιορισμένη πρόσβαση και να την προστατεύσετε καλά. Για τις εξαρτήσεις των δικών σας εφαρμογών PHP υπάρχουν με τη σειρά τους δικά τους εργαλεία ελέγχου, όπως το composer audit για πακέτα του Composer.
Η λογική σειρά για ΜμΕ
- Απογραφή και σάρωση: Πρώτα να γνωρίζετε ποιοι ιστότοποι και διακομιστές υπάρχουν, έπειτα να σαρώνετε τακτικά. Μην υιοθετείτε τα ευρήματα ανέλεγκτα, αξιολογήστε τα.
- Διόρθωση των βάσεων: Εξαλείψτε το παλιό λογισμικό, τις ελλείπουσες ενημερώσεις και τις προφανείς εσφαλμένες διαμορφώσεις. Το να προγραμματίσετε ένα pentest σε συστήματα χωρίς patch είναι σπατάλη προϋπολογισμού.
- Στοχευμένη δοκιμή διείσδυσης: Για τις σημαντικότερες εφαρμογές, όπως e-shop, πύλη πελατών ή διεπαφές, με σαφώς συμφωνημένη έκταση και επανέλεγχο.
- Έλεγχος κώδικα σε δικές σας κατασκευές: Όποιος λειτουργεί δικές του εφαρμογές PHP, συμπληρώνει τη δοκιμή με εξέταση του πηγαίου κώδικα. Πώς γίνεται, περιγράφει το Έλεγχος κώδικα ασφαλείας για έργα PHP.
- Σημείο αναφοράς ευπαθειών: Μια πολιτική για το πώς μπορούν οι εξωτερικοί να αναφέρουν ευπάθειες, και ένα αρχείο security.txt κατά το RFC 9116 στη διαδρομή
/.well-known/security.txtμε επαφή και ημερομηνία λήξης. - Bug bounty, όταν οι βάσεις έχουν στηθεί: Μόνο όταν οι αναφορές αξιολογούνται αξιόπιστα και οι ευπάθειες διορθώνονται έγκαιρα.
Για να γίνει αυτό μόνιμη διαδικασία, αξίζει η ματιά στο Διαχείριση ευπαθειών για μικρομεσαίες επιχειρήσεις.
Τι δεν προσφέρει καμία από τις μεθόδους
Καμία μέθοδος ελέγχου δεν αποδεικνύει ότι ένα σύστημα είναι ασφαλές. Δείχνει μόνο τι βρέθηκε σε μια χρονική στιγμή με συγκεκριμένες μεθόδους. Μια καθαρή αναφορά pentest από την άνοιξη δεν λέει τίποτα για μια ευπάθεια όπως το PHP2Shell, που γίνεται γνωστή τον Οκτώβριο.
Εξίσου λίγο απαντούν η σάρωση ή το pentest στο ερώτημα αν ένας διακομιστής έχει ήδη παραβιαστεί. Γι' αυτό χρειάζεται αναζήτηση ιχνών στο ίδιο το σύστημα: διεργασίες, αρχεία, cronjobs, λογαριασμοί, συνδέσεις. Αυτή είναι ξεχωριστή εργασία με δικές της μεθόδους.
Αφήστε να ελεγχθούν μόνο συστήματα για τα οποία έχετε δικαίωμα και διευκρινίστε σε φιλοξενούμενα συστήματα εκ των προτέρων τους κανόνες του παρόχου. Μια δοκιμή διείσδυσης απαιτεί γραπτή ανάθεση με έκταση, χρονική περίοδο και πρόσωπα επαφής.
Πότε δεν χρειάζεστε εξωτερική δοκιμή
Για έναν απλό εταιρικό ιστότοπο χωρίς φόρμες με ευαίσθητα δεδομένα, σε πάροχο φιλοξενίας που εγκαθιστά αξιόπιστα τις ενημερώσεις, αρκεί συχνά μια τακτική σάρωση με κριτική αξιολόγηση των αποτελεσμάτων. Μια δοκιμή διείσδυσης θα ήταν εδώ συνήθως δυσανάλογη. Σημαντικότερα είναι το επίκαιρο λογισμικό, οι ισχυρές προσβάσεις και τα αντίγραφα ασφαλείας.
Μια εξωτερική δοκιμή αξίζει σε e-shops, πύλες, δικές σας κατασκευές, διεπαφές προς εσωτερικά συστήματα και παντού όπου πελάτες ή πρότυπα απαιτούν ανεξάρτητη απόδειξη.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Ρυθμίζουμε τακτικές σαρώσεις και αξιολογούμε τα αποτελέσματα, συμπεριλαμβανομένων των ψευδών συναγερμικών λόγω backports.
- Βοηθούμε να διορθωθούν οι βάσεις πριν διοχετευθούν χρήματα σε ένα pentest.
- Μαζί με εξειδικευμένους συνεργάτες διενεργούμε ελέγχους ασφαλείας και δοκιμές διείσδυσης με συμφωνημένη έκταση και επανέλεγχο.
- Υποστηρίζουμε τη δημιουργία σημείου αναφοράς ευπαθειών και ενός security.txt.
Συμπέρασμα
Η σάρωση, το pentest και το bug bounty είναι βαθμίδες, όχι ανταγωνιστές. Όποιος ξεκινά με τακτικές σαρώσεις, διορθώνει τις βάσεις και έπειτα αφήνει να δοκιμαστεί στοχευμένα, αποκτά για τον προϋπολογισμό του τη μεγαλύτερη ασφάλεια. Το bug bounty είναι το επιπλέον για οργανισμούς των οποίων το βασικό καθήκον έχει ήδη στηθεί.
Συχνές ερωτήσεις
Ποια η διαφορά μεταξύ pentest και σάρωσης ευπαθειών;
Μια σάρωση ευπαθειών ελέγχει αυτοματοποιημένα αν είναι αναγνωρίσιμες γνωστές ευπάθειες ή εσφαλμένες διαμορφώσεις. Μια δοκιμή διείσδυσης πηγαίνει πιο μακριά: ειδικοί προσπαθούν, σε συμφωνημένο πλαίσιο, να εκμεταλλευτούν πράγματι ευπάθειες και να τις συνδυάσουν, και αξιολογούν τις συνέπειες.
Εντοπίζει ένας σαρωτής αν ο διακομιστής μου έχει patch για το PHP2Shell;
Μόνο περιορισμένα. Πολλοί σαρωτές διαβάζουν την έκδοση PHP που εμφανίζεται. Αν η διανομή εγκαταστήσει backport, ο αριθμός παραμένει συχνά ο ίδιος, και ο σαρωτής αναφέρει μια ευπάθεια που έχει από καιρό κλείσει. Αντίστροφα, μπορεί να εμφανίζεται νέος αριθμός ενώ εκτελούνται ακόμη παλιές διεργασίες.
Είναι ένα πρόγραμμα bug bounty κατάλληλο για μικρές επιχειρήσεις;
Συνήθως όχι ακόμη. Το bug bounty προϋποθέτει ότι οι αναφορές αξιολογούνται γρήγορα και οι ευπάθειες διορθώνονται έγκαιρα. Μια καλή αρχή είναι μια απλή πολιτική αναφοράς ευπαθειών με ένα αρχείο security.txt.
Επιτρέπεται να ελέγξω μόνος μου τον ιστότοπό μου με σαρωτή;
Τα δικά σας συστήματα κατά κανόνα ναι, εφόσον έχετε το δικαίωμα. Αν ο ιστότοπος βρίσκεται σε πάροχο φιλοξενίας, διευκρινίστε εκ των προτέρων αν οι σαρώσεις επιτρέπονται ή πρέπει να ανακοινώνονται. Ξένα συστήματα τα ελέγχετε μόνο με γραπτή άδεια του διαχειριστή.
Πόσο συχνά πρέπει να γίνεται ένα pentest;
Σταθερός κανόνας δεν υπάρχει. Συνήθως γίνεται μια δοκιμή πριν από την έναρξη μιας νέας εφαρμογής, μετά από μεγαλύτερες αλλαγές και σε τακτά διαστήματα, που καθορίζονται από τον κίνδυνό σας και, ενδεχομένως, από απαιτήσεις πελατών ή προτύπων.