ارزیابی آسیب‌پذیری مبتنی بر WSTG

یک تست امنیتی وب اپلیکیشن است که OWASP Web Security Testing Guide را دنبال می‌کند و دسته‌های آن را به‌صورت سیستماتیک پیش می‌برد تا آسیب‌پذیری‌ها را شناسایی و به‌صورت دستی اعتبارسنجی کند، نه این‌که تنها به یک اسکن خودکار تکیه کند.

ارزیابی آسیب‌پذیری در پی گستره است: یافتن و اعتبارسنجی سیستماتیک بیشترین ضعف‌های واقعی در دسته‌های WSTG. تست نفوذ در پی عمق است: زنجیرکردن یافته‌ها و حرکت جانبی تا نشان دهد یک مهاجم چقدر می‌تواند به یک هدف مشخص نزدیک شود. این سرویس همان ارزیابی است؛ اگر روایت حمله و زنجیره‌ی بهره‌برداری را هم می‌خواهید، یک ارزیابی و تست نفوذ ترکیبی ارائه می‌دهیم.

اسکنر در گستره روی امضاهای شناخته‌شده خوب است اما نسبت به ضعف‌های مجوزدهی، سوءاستفاده از منطق کسب‌وکار و مسائل زنجیره‌ای نابیناست و مثبت کاذب تولید می‌کند. ما ابزار را برای پوشش به کار می‌بریم، سپس برای دسته‌هایی که اسکنر نمی‌تواند درباره‌شان قضاوت کند دستی تست می‌کنیم و هر یافته را پیش از گزارش با دست تأیید می‌کنیم.

نشانی و محیط اپلیکیشن، و حساب‌های آزمایشی برای هر نقش (دست‌کم دو کاربر در هر نقش تا دسترسی میان‌کاربری را بسنجیم). دسترسی به مستندات یا کد منبع، تست عمیق‌تر جعبه‌خاکستری یا جعبه‌سفید را ممکن می‌کند. پیش از شروع، دامنه و هر بخشی را که باید کنار گذاشته شود توافق می‌کنیم.

ترجیح ما محیط staging است که آینه‌ی تولید باشد. اگر تست ناچار روی تولید انجام شود، محدودیت‌ها را از پیش توافق می‌کنیم: بدون اقدام مخرب، احتیاط با هر چیزی که داده می‌نویسد یا انبوه پردازش می‌کند، و یک نقطه‌ی تماس در سمت شما برای توقف فوری اگر چیزی نادرست به نظر رسید.

هر یافته یک امتیاز CVSS برای مبنای مشترک می‌گیرد که با اثر واقعی کسب‌وکار در بافت شما تعدیل می‌شود: چه چیزی را افشا می‌کند، چقدر آسان به آن می‌رسند و مهاجم چه به دست می‌آورد. به همین دلیل دو مسئله با CVSS یکسان ممکن است اولویت متفاوت بگیرند.

بله. پس از رفع، یافته‌های گزارش‌شده را دوباره تست می‌کنیم تا مطمئن شویم هر رفع پابرجاست و مسئله‌ی تازه‌ای ایجاد نکرده، و وضعیت آن‌ها را در گزارش به‌روز می‌کنیم.

WSTG جمع‌آوری اطلاعات، پیکربندی و استقرار، هویت و احراز هویت، مجوزدهی، مدیریت نشست، اعتبارسنجی ورودی (تزریق و اسکریپت میان‌سایتی)، مدیریت خطا، رمزنگاری ضعیف، منطق کسب‌وکار و تست سمت کلاینت را دربر می‌گیرد؛ کل سطح یک وب اپلیکیشن امروزی، که بر دسته‌های ریسک OWASP Top 10 نگاشته می‌شود.

به اندازه و پیچیدگی اپلیکیشن و تعداد نقش‌ها بستگی دارد؛ یک ارزیابی جامع معمولاً حدود دو تا چهار هفته طول می‌کشد. پس از دامنه‌گذاری، برآورد دقیق می‌دهیم.