مدقق أمان HTTP

معظم حالات فشل أمان الويب ليست هجمات ذكية. وهي عبارة عن رأس لم يتم تعيينه مطلقًا، أو رقم إصدار يتطوع به الخادم لأي شخص يسأل. قم بتوجيه الماسح الضوئي إلى موقع تتحكم فيه واحصل على الرؤوس والتقنيات التي تقف وراءه - وقم بتصنيفها والاحتفاظ بها ومراقبتها لليوم الذي يتغير فيه أي منها.

ستة أسباب للتحقق من طبقة HTTP الخاصة بك

الرؤوس هي أرخص أمانالعمل هناك. إنها تكوينات وليست تعليمات برمجية، ومعظمها عبارة عن سطر واحد.

ابحث عن الرؤوس التي لم يتم تعيينها مطلقًا

رؤوس الأمان هي التعليمات التي يقدمها الموقع للمتصفح حول كيفية التعامل معه. وبدونها، يطبق المتصفح إعداداته الافتراضية، والتي تكون متساهلة حسب التصميم لأن الويب يجب أن يستمر في العمل مع المواقع المكتوبة منذ عشرين عامًا. لا شيء ينكسر عند فقدان رأسية، وهذا هو بالضبط سبب بقائهامفتقد.

إيقاف الخادم عن التعريف بنفسه

غالبًا ما يعلن التثبيت الافتراضي عن برنامجه وإصداره في كل استجابة. هذه ليست ثغرة في حد ذاتها، وهي أيضًا أول شيء يقرأه المهاجم - فهو يحول عبارة "إيجاد طريقة للدخول" إلى "البحث عن العيوب المعروفة في هذا الإصدار الدقيق". إن إيقاف تشغيل اللافتة لا يكلف شيئًا.

تحقق من العناوين التي تنطبق فقط على الصفحة اليمنى

Strict-Transport-Security على الصفحة الرئيسية للتسويق وليس على صفحة تسجيل الدخول يعد فشلًا شائعًا وهادئًا. علامات ملفات تعريف الارتباط هي نفسها: Secure وHttpOnly تم تعيينهما على ملف تعريف ارتباط واحد وتم نسيانهما في ملف تعريف ارتباط الجلسة. يخبرك اختبار عنوان URL واحد عن عنوان URL واحد.

تعرف على التقنيات التي تستخدمها بالفعل

عادةً ما تكشف الاستجابة عن إطار العمل والخادم وغالبًا نظام إدارة المحتوى (CMS). إن معرفة ما يمكن اكتشافه من الخارج هو البدايةنقطة لمعرفة ما إذا كان أي منها قديمًا - وفي كثير من الأحيان لا يكون الإصدار الذي يعتقد الفريق أنه تم نشره.

قبض على ما نشر إزالة بهدوء

الرؤوس موجودة في التكوين الذي يتم استبداله: وكيل عكسي جديد، تمت إضافة CDN في المقدمة، وترقية إطار العمل التي تعيد تعيين الإعدادات الافتراضية. يبدو الموقع متطابقًا بعد ذلك. لقد اختفت الرؤوس، ولا أحد ينظر إلى الرؤوس إلا إذا كان هناك خطأ ما.

تقديم الأدلة على أمراجعة أمنية

يسأل استبيان الأمان الخاص بالعميل عما إذا كنت قد قمت بتعيين سياسة أمان المحتوى. يعد التقرير المؤرخ الذي يوضح الرؤوس التي يعرضها كل مضيف إجابة أفضل من وضع علامة في المربع، وهو دليل يمكنك الاحتفاظ به.

معرفة اليوم الذي يتغير فيه التكوين الخاص بك

لا يتغير تكوين HTTP تدريجيًا. يتغير في عملية نشر واحدة، ويكون التغيير غير مرئي في المتصفح.

عمليات الفحص المجدولة تحول ذلك إلىالفرق الذي قيل لك عنه: اختفى هذا العنوان، وتراجع هذا الإصدار التكنولوجي، وانخفضت هذه الدرجة. تصل التنبيهات داخل التطبيق أو عبر البريد الإلكتروني أو عبر Slack أو Teams أو Jira أو خطاف الويب.

الخطوة 01 · قم بتسمية الهدف

اسم مضيف أو مجال تتحكم فيه، تمت إضافته إلى حساب AYAsec الخاص بك. يتم التحقق من الملكية قبل إرسال أي شيء - لن تقوم AYAsec بجدولة عمليات فحص للبنية التحتية التي لم تثبت سيطرتك عليها، ويتطلب إثبات ذلك سجل DNS واحدًا. يتخطى الفحص السريع أعلاه هذا: لا يوجد حساب، لا تحقق، فقط تحديد معدل IP وقاعدة مفادها أن الهدف يجب أن يكون عامًاعنوان.

الخطوة 02 · اختر الملف الشخصي

ثلاثة أعماق. السلبي يقرأ ما يعود الموقع دون التحقق منه. نشط يرسل طلبات اختبار للعثور على نقاط الضعف التي تظهر تحتها فقط. الممتد يذهب إلى أبعد من ذلك مرة أخرى. السلبي آمن ضد أي شيء؛ الملفات الشخصية الأعمق هي حركة مرور حقيقية ويجب الإشارة إلى ما تتوقع منهم أن يلمسوه.

الخطوة 03 · اقرأ النتيجة

تصل النتائج مرتبة حسب خطورتها ويتم تسجيلها من A+ إلى F. HTTPتحمل أثقل وزن في الطبقة المركبة - 30%، أكثر من أي طبقة أخرى - لأنها هي المكان الذي يعيش فيه بالفعل معظم ما يمكن الوصول إليه.

ما يتحقق من خلال الفحص

رؤوس الأمان

أي منها موجود، وأيها مفقود، وما إذا كانت القيم تفعل ما تبدو وكأنها تفعله. Content-Security-Policy الذي يسمح بكل شيء موجود وغير مفيد.

كشف التكنولوجيا

الخادم والإطار والمكتبات التي تكشف عنها الردود، مع الإصدارات التي يتم الكشف عنها.

ثغرات الويب المعروفة

بمجرد تسجيل الدخول إلى ملف التعريف النشط أو الموسع، يتم تشغيل الفحص بواسطة OWASP ZAP، وهو ماسح تطبيق الويب مفتوح المصدر الذي يحتفظ به مشروع Open Worldwide Application Security Project والأداة التي يتم قياس هذه الفئة بها. يظل الفحص السريع أعلاه سلبيًا: لا يوجد ZAP، ولا يوجد تحقيق، فقط الطلب الوحيد المطلوب لقراءة ملفرؤوس. HTTP هو واحد من خمس طبقات مسجلة. أما الملفات الأخرى فهي TLS والمنافذ وDNS بنسبة 20% لكل منهما، ومصداقية النطاق بنسبة 10%.

أسئلة قبل المسح

ما الذي يمكنني مسحه ضوئيًا؟

البنية التحتية التي تمتلكها أو تم التعاقد معها لاختبارها. لا يتحقق الفحص السريع أعلاه من ذلك بالنسبة لك - فهو يحدد المعدل فقط عن طريق IP ويرفض استهداف أي شيء سوى العنوان العام. أضف الهدف إلىحساب AYAsec بدلاً من ذلك، ويتم التحقق من التحكم قبل تشغيل أي شيء مجدول: حدود قانونية بقدر ما هي حدود عملية، نظرًا لأن الفحص الذي لم يتم التحقق منه لا يفيدك كدليل أيضًا.

هل سيؤدي الفحص إلى تعطيل الموقع؟

لن يقوم الملف الشخصي السلبي بذلك - فهو يقرأ الردود على الطلبات العادية. ترسل ملفات التعريف النشطة والممتدة طلبات اختبار حسب التصميم، وهذه هي الطريقة التي يتم بها العثور على الأشياء التي لا يمكن لعمليات التحقق السلبية القيام بها. قم بتوجيه هؤلاء إلى البيئة التي أنت فيهامستعدون للتحقيق.

هل هذا اختبار اختراق؟

لا، ولا يحل محل واحد. يعثر الفحص الآلي على فئات المشكلات التي يمكن العثور عليها تلقائيًا. اختبار الاختراق هو أن يبحث الشخص عن الأشخاص الذين لا يستطيعون ذلك.

نحن نستخدم CDN. هل أقوم باختبار موقعي أو موقعهم؟

كلاهما، وهذا أمر يستحق المعرفة. الرؤوس التي يتلقاها الزائر هي التي ترسلها شبكة CDN، أيًا كان من قام بتعيينها. إذا قام الأصل الخاص بك بتعيين رأس لشرائط CDN، فإنلا يحصل عليه الزائر - ويوضح لك المسح ما يحصل عليه الزائر.

هل الرؤوس المفقودة مهمة حقًا؟

بشكل فردي، في كثير من الأحيان ليس كثيرا. وهي تمثل بشكل جماعي الفرق بين المتصفح الذي يدافع عن المستخدمين والمتصفح الذي يفعل كل ما يُطلب منه. كما أنها أرخص حل لأي مشكلة أمنية متراكمة، مما يجعلها أمرًا سيئًا أن تظل مفتوحة.

هل تحتفظ بالنتائج؟

ليس الفحص السريع أعلاه - فهو يبقى في الذاكرة لمدة خمس عشرة دقيقة تقريبًا حتى تتمكن من قراءته مرة واحدة، ثم يختفي. يعد هذا اختيارًا متعمدًا للخصوصية، وليس قيدًا: لا أحد غيرك يرى هذا الفحص، ويمكنك تنزيل النتيجة الكاملة قبل انتهاء صلاحيتها. أضف الهدف إلى حساب AYAsec بدلاً من ذلك، وسيتم الاحتفاظ بكل عملية فحص - سلسلة تخبرك بعملية النشر التي تمت إزالة الرأس. يعتمد الاحتفاظ على خطتك.

احتفظ بالتاريخ، وليس فقطالنتيجة

قم بتشغيل الفحص الكامل على ممتلكاتك الخاصة، وفقًا لجدول زمني، مع الاحتفاظ بكل نتيجة ووضع علامة على كل تغيير.

بدء المسح مجانًا مقارنة الخطط

البيانات المنظمة المراد تضمينها

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

لا تضف ترميز FAQPage أو HowTo - فقد سحبت Google كلا النوعين من النتائج.