Ukratko: Penetracijski test Vaše PHP aplikacije pokazuje koje bi slabe točke napadač stvarno mogao iskoristiti prije nego što to netko učini. Zajedno sa specijaliziranim partnerima provjeravamo aplikaciju i poslužitelj u pisano dogovorenom opsegu i isporučujemo izvješće s prioritetnim mjerama. Nakon otklanjanja u ponovnom testu provjeravamo jesu li ranjivosti zatvorene.
Zašto je penetracijski test za PHP aplikacije smislen
PHP2Shell je pokazao da čak i temelj aplikacije, sam PHP, može sadržavati kritičnu ranjivost. No većina provala u PHP aplikacije odvija se putem poznatih slabosti u vlastitom kodu ili konfiguraciji: SQL injection, cross-site scripting, nesigurni prijenosi datoteka, slabe sesije, zastarjele ovisnosti ili otvorena administratorska područja. OWASP Top 10 sažima te kategorije.
Neovisan pogled izvana pronalazi ono što se u svakodnevici previdi. Za upravu i nadzor on daje pouzdanu osnovu za procjenu rizika i ciljano korištenje proračuna. Za programere je konkretan radni popis.
Audit ili penetracijski test: što Vam odgovara?
| Oblik | Što se provjerava | Prikladno ako |
|---|---|---|
| Audit konfiguracije | poslužitelj, PHP, web-poslužitelj, pristupi, sigurnosne kopije | želite znati stanje infrastrukture |
| Pregled koda | izvorni kod aplikacije s uvidom | postoje vlastiti razvoji ili veće prilagodbe |
| Penetracijski test black-box | aplikacija izvana bez predznanja | želite vidjeti perspektivu vanjskog napadača |
| Penetracijski test grey-box/white-box | aplikacija s testnim računima ili kodom | želite u ograničenom vremenu pronaći što više |
Često je smislena kombinacija, primjerice audit konfiguracije poslužitelja zajedno s grey-box testom aplikacije. Čisti black-box test djeluje realistično, ali troši mnogo vremena na istraživanje. Uz testne račune i uvid u strukturu ispitivači u istom vremenu u pravilu pronalaze više slabih točaka.
Uz aplikaciju isplati se pogledati i okruženje: koja verzija PHP-a radi, jesu li administratorska sučelja javno dostupna, leže li sigurnosne kopije u web-direktoriju, jesu li ovisnosti aktualne? Takve točke provjeravamo u auditu jer u praksi često teže vrijede od pojedinačne pogreške u kodu.
Kada je pravo vrijeme za test
Penetracijski test najviše donosi ako se provede u smislenoj točki životnog ciklusa aplikacije. Tipični povodi su:
- prije pokretanja nove aplikacije, shopa ili portala za klijente
- nakon većih promjena, primjerice novih načina plaćanja, sučelja ili postupaka prijave
- nakon incidenta, kad su čišćenje i ojačavanje završeni, a želite neovisnu kontrolu
- u redovitim razmacima, ako to traže klijenti, partneri ili Vaše upravljanje rizicima
Malo je smisla u testu dok su poznate ranjivosti otvorene. Tko još koristi nezakrpane verzije PHP-a, trebao bi prvo uspostaviti osnovno stanje. Inače se plaća test da potvrdi poznato.
Kako PHP SOS konkretno pomaže?
- Utvrditi opseg: S Vama razjašnjavamo koje se aplikacije, poslužitelji i funkcije provjeravaju, koja vrsta testa odgovara i što je izričito isključeno. Rezultat je pisani nalog s vremenskim okvirom i kontakt osobama.
- Pripremiti: Osiguravaju se testni računi, pristupi testnom okruženju i aktualna sigurnosna kopija. Vaš se pružatelj hostinga po potrebi obavještava kako test ne bi bio blokiran kao pravi napad.
- Provjeriti: Naši specijalizirani partneri testiraju prema priznatim metodama, među ostalim prema OWASP kategorijama. Kritične nalaze prijavljujemo odmah, a ne tek u završnom izvješću.
- Izvijestiti: Dobivate izvješće s upravljačkim sažetkom i tehničkim dijelom.
- Ponovni test: Nakon otklanjanja ponovno provjeravamo pronađene slabe točke i potvrđujemo što je zatvoreno.
Mnogi se nalazi mogu izbjeći već unaprijed. Savjetnici o SQL injectionu u PHP-u, sigurnim prijenosima datoteka i sesijama u PHP-u pomažu programerima u pripremi.
Što dobivate i što trebamo
Izvješće sadrži svaku pronađenu slabu točku s opisom, pogođenim mjestom, procjenom rizika i konkretnom preporukom za otklanjanje. Sažetak za upravu razvrstava rezultate bez stručnog žargona. Nakon ponovnog testa dobivate potvrdu koje su točke otklonjene. Alati za napad ili izvršivi exploiti nisu dio izvješća.
Od Vas trebamo:
- pisano dopuštenje ovlaštene osobe za svaki sustav koji se testira, i kad se nalazi kod pružatelja hostinga
- testne račune s ulogama koje se trebaju provjeriti
- testno okruženje ili odobrenje za testiranje u živom okruženju u vremenskom okviru
- tehničku kontakt osobu tijekom testa
- kod pregleda koda: pristup repozitoriju
Što ne obećavamo
Penetracijski test ne pronalazi svaku ranjivost. To je trenutni presjek u dogovorenom opsegu; nove funkcije ili nove ranjivosti u ovisnostima mogu sutra pokazati drukčiju sliku. Ne navodimo certifikate ni pečate koje nemamo i ne izdajemo potvrde koje zamjenjuju zakonske obveze. Ispunjava li test Vaše obveze primjerice prema NIS2, razjasnite sa svojim stručnjacima za pravo i usklađenost.
Otklanjanje nalaza na želju preuzimamo sami ili zajedno s Vašom agencijom. Za poslužitelj i PHP konfiguraciju nudi se ojačavanje poslužitelja.
Česta pitanja
Koja je razlika između sigurnosnog audita i penetracijskog testa?
Audit provjerava konfiguraciju, procese i kod prema zadanim kriterijima i iskustvenim vrijednostima, često uz uvid u sustave. Penetracijski test ciljano i uz Vaše dopuštenje pokušava iskoristiti slabe točke kako bi pokazao njihov stvarni učinak. Oboje se nadopunjuje.
Je li penetracijski test opasan za moju PHP aplikaciju?
Test može opteretiti sustave ili promijeniti podatke. Zato se opseg, vremenski okvir i granice unaprijed utvrđuju pisano, a gdje je moguće preporučujemo korištenje testnog okruženja. Aktualna sigurnosna kopija uvijek je dio toga.
Pronalazi li penetracijski test sve sigurnosne ranjivosti?
Ne. Test pokazuje slabe točke pronađene u dogovorenom opsegu i razdoblju. To je trenutni presjek koji smanjuje rizik, ali ne dokazuje da ne postoje druge ranjivosti.
Pomaže li penetracijski test kod NIS2?
Redovite provjere sigurnosnih mjera uobičajen su element ispunjavanja obveza upravljanja rizicima. Koji se zahtjevi konkretno primjenjuju na Vašu tvrtku, razjasnite sa stručnjacima za pravo i usklađenost.