Web应用程序安全

Why is Web应用程序安全 Important?

Web applications need to freely allow traffic through a variety of ports 和 usually require authentication; this means they also require a complex web application vulnerability scanner. 因为网站必须允许流量进出网络, hackers often attack the most commonly used ports. 这包括:

• Port 80 (HTTP): For unsecured website traffic
• Port 443 (HTTPS): For secured website traffic
• 端口21 (FTP):用于在服务器之间传输文件的文件传输协议
• 端口25 (SMTP), for simple mail transfer protocol, 和端口110 (POP3), 默认未加密端口:组织通常用于发送和接收电子邮件的电子邮件协议.

Given the breadth of ports available, 毫无疑问，黑客有很多机会通过利用网站的开放性来侵入网络，而网站必须具有这样的开放性才能与用户进行互动.

这只能通过 Verizon Data Breach Investigations Report, web应用程序攻击仍然是最常见的破坏模式，并且是恶意攻击者的首选载体.

By continuously monitoring 和 scanning your web应用程序, 您可以主动识别漏洞，并在漏洞发生之前进行补救, staying one step ahead of attackers. 在为我们的组织评估应用程序扫描器时，这里有一些最重要的事情要记住.

Free Scanning Web Application Scanning Is Inaccurate

The number of free web application vulnerability scanners abounds, 和 although free sounds good to just about everyone, 请记住，免费的扫描仪很可能会给您带来高概率的假阳性和假阴性警报——对于时间和精力都很紧张的IT团队来说，这是一场令人沮丧的噩梦. The old adage applies here: you get what you pay for.

话虽如此, 许多商业全功能扫描仪允许免费试用版本，您可以在购买之前试用. 这为您在为您的组织购买此类关键安全设备时提供了很大的优势. 您可以测试扫描器以确保它能够完成您需要的功能.

The OWASP Top 10 Vulnerabilities

You want your web scanner to accurately discover vulnerabilities, 而不仅仅是为您的IT团队提供劳动密集型的信息. How can you tell if a web application scanner is accurate? 确保它可以检测到开放Web应用程序安全项目，或OWASP十大漏洞:

1. 注: Attackers send untrusted data to a SQL, OS, or LDAP interpreter using a comm和 query, “欺骗”解释器执行命令或访问关键数据.
2. Broken Authentication 和 Session Management: 黑客使用身份验证和会话管理过程来窃取密码, 令牌, 或者让他们能够冒充被黑用户的身份并进入你的网络的密钥.
3. 敏感数据暴露: 难以置信, 但是许多web应用程序仍然不能很好地保护敏感数据, 比如信用卡, 身份验证凭证, 或税号. 黑客利用这些弱点进行身份盗窃, 信用卡诈骗, 还有其他攻击.
4. XML External Entities (XXE): 旧的或配置错误的XML处理器计算XML文档中的外部实体引用. External entities can be used to disclose internal port scanning, 远程代码执行, 和 denial of service attacks.
5. 访问控制中断: 对于允许经过身份验证的用户执行哪些操作，通常不会强制实施限制. 攻击者利用这一点来访问未经授权的数据和/或功能.
6. 安全错误配置: 最佳实践要求在应用程序及其周围的轨道和平台中进行安全配置. So if there is a misconfiguration in the security layer, hackers can easily exploit this, gaining access to your network 和 critical data.
7. 跨站点脚本: A way hackers hijack user sessions, 重定向到恶意站点, or deface websites through flaws in XSS.  应用程序将不受信任的数据发送到web浏览器，而不需要验证过程, enabling the hacker to run unwanted scripts in the victim’s browser.
8. 不安全的反序列化: This often leads to remote execution. Deserialization flaws can be used to perform replay attacks, privilege escalation attacks, 以及注入攻击.
9. Using Components with Known Vulnerabilities: Software module components usually run with full privileges, so if a vulnerable component (such as a library, 框架, or other software module) is exploited, 这可能会造成严重破坏, with hackers easily gaining access to the entire system.
10. 足够的日志 & 监控: 大多数攻击都是由于正确的日志记录和监控失误而发生的. Without sufficient logging 和 monitoring procedures, 攻击者可以不被注意，并有更大的机会造成严重的伤害.

Web应用程序安全 Reporting

您希望确保您的web应用程序漏洞扫描器提供易于阅读的报告，以易于理解的方式输出扫描器发现的信息. 报告允许您的IT团队轻松快速地识别web应用程序中的弱点或漏洞，这些弱点或漏洞可能成为黑客的主要目标. Reports also let you identify security 威胁 as they happen, providing real-time resolution for any application vulnerabilities.

Remediating Web Application Vulnerabilities 

而拥有详细的报告对于利用扫描器找到的数据至关重要, 这是不够的. 您的扫描器还应该能够将漏洞数据转换为特定的, 详细修复方案.

补救计划可以为您提供优先级排序的任务和上下文, including what needs to be fixed, 为什么, 到什么时候. 最好的漏洞扫描器允许您跟踪和测量扫描器软件本身的数据, or integrate the data within your IT ticketing solution.

Web应用程序安全 Summary

Today’s threat l和scape is constantly evolving. 考虑到人们每天与之交互的web应用程序的数量, whether for business or personal use, it’s critical that these apps are protected. By scanning your applications regularly, 您可以在漏洞发生之前识别并修复漏洞，从而领先攻击者一步.