HTTP biztonsági ellenőrző
A legtöbb webes biztonsági hiba nem okos támadás. Ezek egy soha be nem állított fejléc, vagy egy verziószám, amelyet a szerver önként ad mindenkinek, aki megkérdezi. Irányítsa a szkennert az Ön által felügyelt webhelyre, és kapja meg a fejléceket és a mögötte lévő technológiákat – osztályozzák, megőrzik, és figyelik, hogy mikor változnak.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Hat érv, hogy ellenőrizze saját HTTP-rétegét
A fejlécek a legolcsóbb biztonságmunka van. Ezek konfigurációk, nem kódok, és legtöbbjük egysoros.
01
Keresse meg azokat a fejléceket, amelyek soha nem voltak beállítva
A biztonsági fejlécek azok az utasítások, amelyeket a webhely ad a böngészőnek a kezelés módjáról. Nélkülük a böngésző az alapértelmezett beállításait alkalmazza, amelyek tervezésüknél fogva megengedőek, mert a webnek tovább kell működnie a húsz évvel ezelőtt írt oldalakon. Semmi sem törik el, ha egy fejléc hiányzik, pontosan ezért maradhiányzó.
02
Megakadályozza a szerver bemutatkozását
Az alapértelmezett telepítés gyakran minden válaszban közli a szoftvert és a verziót. Ez önmagában nem sebezhetőség, és egyben az első dolog, amit a támadó elolvassa – a „találjon beutat” a „pontosan ennek a verziónak az ismert hibáinak felkutatása” lesz. A banner kikapcsolása nem kerül semmibe.
03
Ellenőrizze a fejléceket, amelyek csak a jobb oldalon érvényesek
Strict-Transport-Security a marketing kezdőlapon és nem a bejelentkezési oldalon gyakori és csendes hiba. A cookie-jelzők ugyanazok: Secure és HttpOnly egyetlen cookie-n vannak beállítva, és elfelejtették a munkamenet-cookie-n. Egy URL tesztelése egy URL-ről tájékoztat.
04
Nézze meg, mely technológiákat használja valójában
A válasz általában felfedi a keretrendszert, a szervert és gyakran a CMS-t. Az a kezdet, hogy tudjuk, mi észlelhető kívülrőlpont, hogy megtudja, nem elavult-e valamelyik – és gyakran nem az a verzió, amelyet a csapat telepítettnek vél.
05
Fogd meg, milyen telepítést csendben eltávolítottak
A fejlécek olyan konfigurációban élnek, amelyet lecserélnek: új fordított proxy, elöl hozzáadott CDN, keretfrissítés, amely visszaállítja az alapértelmezett értékeket. Az oldal utólag ugyanúgy néz ki. A fejlécek eltűntek, és senki sem nézi meg a fejléceket, hacsak nem stimmel valami.
06
Mutasson be bizonyítékot abiztonsági felülvizsgálat
Az ügyfél biztonsági kérdőíve megkérdezi, hogy beállított-e tartalombiztonsági szabályzatot. A dátummal ellátott jelentés, amely megmutatja, hogy az egyes gazdagépek mely fejléceket adják vissza, jobb válasz, mint egy négyzet bejelölése, és ez bizonyíték, amelyet megtarthat.
Ismerje meg a napot, amikor a konfiguráció megváltozik
A HTTP-konfiguráció nem sodródik fokozatosan. Egy telepítés során megváltozik, és a változás nem látható a böngészőben.
Az ütemezett szkennelések ezt alakítjákegy különbség, amiről mesélnek: ez a fejléc eltűnt, ez a technológiai verzió visszafelé ment, ez az osztályzat leesett. A figyelmeztetések az alkalmazáson belül, e-mailben vagy a Slack, Teams, Jira vagy webhook segítségével érkeznek.
01. lépés · Nevezze el a célt
Az Ön által felügyelt gazdagépnév vagy domain hozzáadva az AYAsec-fiókjához. A tulajdonjogot a rendszer ellenőrzi, mielőtt bármit küldenek – az AYAsec nem ütemez ellenőrzéseket olyan infrastruktúra ellen, amelynek ellenőrzését nem bizonyította, és a bizonyításhoz egy DNS-rekordra van szükség. A fenti gyors ellenőrzés ezt kihagyja: nincs fiók, nincs ellenőrzés, csak IP-sebesség-korlátozás és egy szabály, hogy a célnak nyilvánosnak kell lennie.cím.
02. lépés · Válassza ki a profilt
Három mélység. A Passzív azt olvassa el, hogy mit ad vissza a webhely anélkül, hogy megvizsgálná. Az Aktív tesztkéréseket küld, hogy megtalálja a csak alattuk megjelenő gyengeségeket. A Bővített ismét tovább megy. A passzív minden ellen biztonságban van; a mélyebb profilok valódi forgalmat jelentenek, és arra kell mutatniuk, hogy mit várnak el tőlük.
03. lépés · Olvassa el az eredményt
A leletek súlyosság szerint rendezve érkeznek, és A+-tól F-ig terjednek. HTTPa kompozit minőségben viseli a legnagyobb súlyt - 30%-kal, többet, mint bármely más réteg -, mert itt él a legtöbb elérhető.
Mit ellenőriz a vizsgálat
01
Biztonsági fejlécek
Melyek vannak jelen, melyek hiányoznak, és hogy az értékek azt csinálják-e, aminek látszanak. Egy Content-Security-Policy, amely mindent megenged, jelen van és haszontalan.
02
Technológiai észlelés
A szerver, keretrendszer éskönyvtárak, amelyeket a válaszok felfedeznek, a verziókkal, ahol közzéteszik azokat.
03
Ismert webes biztonsági rések
Miután bejelentkezett az aktív vagy kiterjesztett profilba, a vizsgálatot az OWASP ZAP, az Open Worldwide Application Security Project által karbantartott nyílt forráskódú webalkalmazás-ellenőrző és az e kategória mérésére szolgáló eszköz hajtja végre. A fenti gyorsellenőrzés passzív marad: nincs ZAP, nincs vizsgálat, csak egy kérés szükséges a beolvasáshozfejlécek. A HTTP az öt pontozott réteg egyike. A többi a TLS és a portok és a DNS 20%-os, a domain hitelessége pedig 10%.
Kérdések a beolvasás előtt
Mit szkennelhetek?
Az Ön tulajdonában lévő vagy tesztelésre szerződött infrastruktúra. A fenti gyors ellenőrzés nem igazolja ezt az Ön számára – csak IP-cím alapján korlátozza a sebességet, és nem hajlandó mást megcélozni, csak nyilvános címet. Adja hozzá a célt egyEhelyett AYAsec-fiók, és az irányítás ellenőrzése megtörténik, mielőtt bármi ütemezett futna: ez egy jogi és gyakorlati határ, mivel az ellenőrizetlen vizsgálat sem használ bizonyítékként.
A vizsgálat megzavarja a webhely működését?
A passzív profil nem - beolvassa a szokásos kérésekre adott válaszokat. Az aktív és a kiterjesztett profilok tervezés szerint küldenek tesztkéréseket, így találnak olyan dolgokat, amelyeket a passzív ellenőrzések nem tudnak. Irányítsa őket egy olyan környezetre, amelyet Önfelkészültek a szondázásra.
Ez egy penetrációs teszt?
Nem, és nem helyettesít egyet sem. Az automatikus vizsgálat megkeresi azokat a problémaosztályokat, amelyek automatikusan megtalálhatók. A behatolási teszt olyan személy, aki azt keresi, amelyik nem tud.
CDN-t használunk. Az én webhelyemet vagy az övéket tesztelem?
Mindkettőt, és ezt érdemes tudni. A látogató által kapott fejléceket a CDN küldi, függetlenül attól, hogy ki állítja be őket. Ha az eredet fejlécet állít be a CDN-sávokhoz, alátogató nem kapja meg – és a vizsgálat megmutatja, mit kap a látogató.
Valóban számítanak a hiányzó fejlécek?
Egyénileg, sokszor nem sokat. Összességében ezek jelentik a különbséget a felhasználókat védő böngésző és aközött, amelyik azt csinál, amit mondanak neki. Ezek a legolcsóbb megoldások minden biztonsági lemaradásra, ami rossz dolog, ha még mindig nyitva vannak.
Megőrzi az eredményeket?
Nem a fenti gyorsellenőrzés – körülbelül tizenöt percig él a memóriában, így egyszer elolvashatod, aztán eltűnik. Ez egy szándékos adatvédelmi döntés, nem pedig korlátozás: rajtad kívül senki sem látja ezt a vizsgálatot, és letöltheti a teljes eredményt, mielőtt lejárna. Ehelyett adja hozzá a célt egy AYAsec-fiókhoz, és minden vizsgálat megtartásra kerül – egy sorozat, amely megmondja, hogy melyik telepítés távolította el a fejlécet. A megőrzés a tervtől függ.
Tartsa meg az előzményeket, ne csakaz eredmény
Futtassa a teljes szkennert saját birtokán, ütemezetten, minden eredmény megtartásával és minden változás megjelölésével.
További ingyenes biztonsági szkennerek TLS-hez, portokhoz és DNS-hez
A HTTP az öt pontozott réteg egyike. A többiek egy-egy kérdésre válaszolnak:
Online portszkenner
Kivel hajlandó ez a birtok beszélniidegen kb?
SSL/TLS-ellenőrző
hangzik a titkosítás, és mikor jár le a tanúsítvány?
DNS-biztonsági ellenőr – tud bárki olyan levelet küldeni, amely úgy tűnik, mintha Öntől származna?
Mind az öt együtt a támadási felület kezelése jelentése a gyakorlatban.
Beágyazandó strukturált adatok
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec HTTP Security Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/http-security-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Ne adjon hozzá FAQPage vagy HowTo jelölést – a Google mindkét eredménytípust visszavonta.