Kereső által tárolt információk felderítése
Annak vizsgálata, hogy az alkalmazással kapcsolatban milyen eltárolt adatok térképezhetők fel a keresőmotorokból, valamint a nyílt adatbázisokból.
Külső vizsgálati metodika
Külső
A külső irányultság keretében az alkalmazások ellenőrzése az External Attack Surface Assessment (EASA) módszertana szerint történik. A vizsgálatok alapját automatizált sérülékenység-felderítő eszközök eredményei képezik, amelyeket a vizsgált alkalmazás technológiai sajátosságainak megfelelő, célzott manuális biztonsági tesztelés egészít ki.
A vizsgálat az EASA módszertanának megfelelően az alábbi fő tesztelési területekre terjed ki:
- Információgyűjtés;
- Rendszer- és szolgáltatáskonfiguráció vizsgálata;
- Hitelesítés vizsgálata;
- Jogosultságkezelés vizsgálata;
- Hibakezelés vizsgálata;
- Kriptográfiai mechanizmusok vizsgálata;
Az EASA módszertana által lefedett vizsgálati területeken túl az alkalmazott technológiák, keretrendszerek és komponensek sajátosságainak értékelése a vonatkozó gyártói dokumentációk, biztonsági útmutatók és iparági ajánlások alapján történik.
45
vizsgálati pont
6
tesztelési terület
OUT
vizsgálati irányultság
Rendszer információk felderítése
Annak vizsgálata, hogy az alkalmazást futtató rendszerrel kapcsolatban milyen információk tárhatók fel.
Metafájl információk felderítése
Annak vizsgálata, hogy az alkalmazás metafájlai alapján milyen információk ismerhetők meg.
Erőforrások felderítése
Annak vizsgálata, hogy az alkalmazás milyen erőforrásokat szolgál ki (rendszerfeltérképezés).
Komment és egyéb tartalmi információk felderítése
Annak vizsgálata, hogy az alkalmazás kódjában lévő kommentek, illetve a rendszer állományai tartalmaznak-e potenciálisan érzékeny információkat.
Kiinduló pontok felderítése
Annak vizsgálata, hogy az alkalmazás kiinduló felülete milyen elérési utakon hívható meg.
Végrehajtási utak felderítése
Annak vizsgálata, hogy az alkalmazás egy tipikus kérése során mely végrehajtási utak és kérések ismerhetők meg, illetve kerülnek végrehajtása.
Keretrendszer információk felderítése
Annak vizsgálata, hogy az alkalmazás keretrendszerével kapcsolatban milyen információk tárhatók fel
Szoftverkomponens információk felderítése
Annak vizsgálata, hogy az alkalmazás milyen szoftverkomponenseket használ.
Rendszerstruktúra felderítése
Annak vizsgálata, hogy az alkalmazás szerkezeti felépítése feltérképezhető-e, illetve ez milyen sérülékenységeket tartalmaz.
Hálózat és infrastruktúra konfigurációjának vizsgálata
Annak vizsgálata, hogy az alkalmazás milyen hálózati kapcsolatokkal és infrastruktúrával rendelkezik, valamint ezek milyen hatással vannak a rendszer biztonságára nézve.
Alkalmazás platform konfigurációjának vizsgálata
Annak vizsgálata, hogy az alkalmazás keretrendszerének, illetve szerverének mely alapértelmezetten telepített fájlai, mappái, konfigurációs állományai és beállításai térképezhetők fel szabadon.
Fájlkiterjesztések kezelésének vizsgálata
Annak vizsgálata, hogy az alkalmazás megfelelően kezeli-e a felületéről elérhető fájlok típusát, valamint kiterjesztéseit, illetve megkerülhetők-e ezen beállítások.
Régi, backup és nem hivatkozott fájlok vizsgálata
Annak vizsgálata, hogy az alkalmazás felületén megtalálhatók-e dinamikus szkriptek (backup fájlok, esetleg régebbi verziók állományai) vagy potenciálisan érzékeny tartalmú adatok.
Infrastruktúra és alkalmazás adminisztrátori interfészek vizsgálata
Annak vizsgálata, hogy az alkalmazás működése szempontjából kritikus felületek szabadon hozzáférhetők-e.
HTTP metódusok vizsgálata
Annak vizsgálata, hogy az alkalmazás webszervere milyen HTTP metódusokat támogat és azok megfelelően vannak-e konfigurálva.
HTTP Strict Transport Security vizsgálata
Annak vizsgálata, hogy az alkalmazás megfelelően használja-e a HSTS eljárást az adatai védelme érdekében.
Fájl jogosultságok vizsgálata
Annak vizsgálata, hogy az alkalmazás konfigurációs állományainak hozzáférési jogosultságai megfelelően vannak-e beállítva.
Aldomain átvétel vizsgálata
Annak vizsgálata, hogy az alkalmazás valamely aldomainje felett átvehető-e az irányítás.
Felhőtárhely vizsgálata
Annak vizsgálata, hogy az alkalmazás felhő szolgáltatásai megfelelően vannak-e konfigurálva.
Content Security Policy vizsgálata
Annak vizsgálata, hogy az alkalmazás CSP beállításai megfelelően vannak-e konfigurálva.
Elérési útvonal-zavar vizsgálata
Annak vizsgálata, hogy az alkalmazás válaszokat szolgáltat-e a kétértelmű URL-ekre.
Egyéb biztonsági fejléc-hibák vizsgálata
Annak vizsgálata, hogy az alkalmazás biztonsági fejlécei megfelelően vannak-e beállítva, illetve feltárható-e velük kapcsolatban konfigurációs probléma.
Alapértelmezett hitelesítési adatok vizsgálata
Annak vizsgálata, hogy az alkalmazás telepítésekor használt fiókok léteznek-e a rendszerben.
Kizárási házirend vizsgálata
Annak vizsgálata, hogy az alkalmazás szankcionálja-e a helytelen bejelentkezési kísérleteket.
Hitelesítési séma megkerülésének vizsgálata
Annak vizsgálata, hogy az alkalmazás felhasználóinak beléptetését végző felület tervezési vagy megvalósítási hibáin keresztül lehetséges-e a rendszerbe jogosulatlanul belépni.
Jelszómegjegyző funkció vizsgálata
Annak vizsgálata, hogy az alkalmazásban található-e olyan jelszómegjegyző funkció, ami nem megfelelően tárolja el a bejelentkezési adatokat.
Böngésző gyorsítótárazás vizsgálata
Annak vizsgálata, hogy az alkalmazásba történő sikeres hitelesítés után elérhető adatok helyileg is hozzáférhetők maradnak-e kijelentkezés után a webböngésző gyorsítótárában.
Hitelesítési módszerek vizsgálata
Annak vizsgálata, hogy az alkalmazás fiókjainak hitelesítő adatait szabályzó házirend kellően biztonságos-e.
Biztonsági kérdések és válaszok vizsgálata
Annak vizsgálata, hogy az alkalmazás lehetőséget biztosít-e a gyenge biztonsági kérdések, illetve válaszok használatára.
Jelszóváltoztató és visszaállító funkciók vizsgálata
Annak vizsgálata, hogy az alkalmazás felhasználói visszaélhetnek-e a jelszóváltoztató és visszaállító funkciók gyengeségeivel.
Alternatív csatornákon keresztüli gyengébb hitelesítés vizsgálata
Annak vizsgálata, hogy az alkalmazásban léteznek-e alternatív autentikációs mechanizmusok, valamint ezek létező hitelesítési adatokkal kihasználhatók-e.
Többfaktoros hitelesítés vizsgálata
Annak vizsgálata, hogy az alkalmazás többfaktoros autentikációja megfelelően van-e konfigurálva.
Könyvtárbejárás és fájl beszúrás vizsgálata
Annak vizsgálata, hogy az alkalmazás által kezelt fájlok elérési útjáról lehetséges-e átlépni a kiszolgáló rendszerfájljai felé.
Jogosultságkezelési séma megkerülésének vizsgálata
Annak vizsgálata, hogy az alkalmazás bizonyos jogosultsági szint birtokában elérhető funkciói hozzáférhetők-e az elvártnak nem megfelelő jogosultsági szint birtokában.
Jogosultság kiterjesztés vizsgálata
Annak vizsgálata, hogy az alkalmazás felhasználói hozzájuthatnak-e a számukra kiosztottnál bővebb jogosultságokhoz.
Közvetlen objektum referenciák kezelésének vizsgálata
Annak vizsgálata, hogy az alkalmazáson belül más felhasználók által kezelt állományokhoz hozzá lehet-e férni.
OAuth implementáció vizsgálata
Annak vizsgálata, hogy az alkalmazás OAuth implementációja megfelelően biztonságos-e.
OAuth jogosultságkezelési szerver vizsgálata
Annak vizsgálata, hogy az alkalmazás OAuth hitelesítő szerverének bizonyos jogosultsági szint birtokában elérhető funkciói hozzáférhetők-e az elvártnak nem megfelelő jogosultsági szint birtokában.
OAuth kliens vizsgálata
Annak vizsgálata, hogy az alkalmazás OAuth kliensei hozzájuthatnak-e a számukra kiosztottnál bővebb jogosultságokhoz.
Hibaüzenetek és hibaállapotok kezelésének vizsgálata
Annak vizsgálata, hogy az alkalmazás miként kezeli a felmerülő hibaüzeneteket és hibaállapotokat.
Gyenge SSL/TLS konfiguráció vizsgálata
Annak vizsgálata, hogy az alkalmazás SSL/TLS protokolljai, titkosítási algoritmusai és kapcsolódó kriptográfiai paraméterei megfelelnek-e az aktuális biztonsági követelményeknek.
Padding Oracle vizsgálata
Annak vizsgálata, hogy az alkalmazás megfelelően védett-e a Padding Oracle technikák használatával szemben.
Nyílt csatorna feletti érzékeny adattovábbítás vizsgálata
Annak vizsgálata, hogy az alkalmazás megfelelően konfigurált és titkosított hálózati csatornát használ-e az adatainak továbbítására.
Gyenge titkosítás vizsgálata
Annak vizsgálata, hogy az alkalmazás megfelelően biztonságos kriptográfiai algoritmusokat használ-e.
Nincs találat erre a keresésre vagy szűrésre.