Kodėl automatiniai skeneriai nepastebi kritinių spragų

Automatiniai spragų skeneriai yra iš tiesų naudingi. Jie greiti, pigūs paleisti ir patikimai aptinka žinomas CVE spragas, trūkstamus atnaujinimus ir dažnas konfigūracijos klaidas. Todėl tiek daug komandų švarų skenavimo ataskaitos rezultatą priima kaip įrodymą, kad jų sistemos yra saugios. Tai netiesa, ir tarpas tarp „nuskenuota“ ir „patestuota“ yra tas, kur įvyksta tikri pažeidimai.

Skeneris veikia lygindamas signatūras ir žinomus šablonus su jūsų sistemomis. Jis puikiai atsako į klausimą „ar šis programinis komponentas pasenęs“ arba „ar šis prievadas atviras, nors neturėtų būti“. Jis kur kas prasčiau atsako į klausimą, kuris iš tiesų svarbus užpuolikui: „ar galiu sujungti kelias, atskirai nedideles, problemas į ką nors, kas suteiktų prieigą?“

Verslo logikos spragos yra akivaizdiausias pavyzdys. Skeneris neturi supratimo, kam skirta jūsų programa: jis nesupranta, kad naudotojas gali pakeisti paslėptą užsakymo ID ir peržiūrėti kito kliento sąskaitą, arba kad slaptažodžio atkūrimo procesas atskleidžia tiek informacijos, kad paskyros perėmimas tampa trivialus. Tokios problemos neatrodo kaip „spraga“ signatūrų duomenų bazėje. Jos atrodo taip, kaip jūsų programa veikia tiksliai taip, kaip užprogramuota, tiesiog ne taip, kaip buvo numatyta.

Autentifikavimo ir autorizavimo spragos veikia panašiai. Skenavimas gali pažymėti, kad API galinis punktas egzistuoja; jis nepastebės, kad tas punktas nepatikrina, ar užklausą teikiantis naudotojas iš tiesų yra prašomo resurso savininkas. Ši viena trūkstama patikra yra viena dažniausių pagrindinių priežasčių, kurias randame realiuose projektuose, ir ji pagal apibrėžimą yra nematoma signatūromis paremtiems įrankiams.

Kitas dalykas, kurį rankinis testavimas suteikia, o automatika negali: sprendimas, kas iš tiesų yra išnaudojama jūsų konkrečioje aplinkoje. Dvi organizacijos gali turėti identišką skenavimo rezultatą ir visiškai skirtingą realią riziką, atsižvelgiant į tinklo segmentavimą, kompensuojančias kontrolės priemones ir tai, kas iš tiesų pasiekiama iš išorės. Testuotojas visą projektą skiria tam, kad išsiaiškintų, kurie radiniai susijungia į realų kelią prie jautrių duomenų, o ne tik surašytų visa, ką pažymėjo įrankis.

Nieko iš to nereiškia, kad skenavimas nėra vertingas. Tai greitas ir naudingas pirmasis sluoksnis, ir mes jį naudojame kaip pradinį tašką. Argumentas yra prieš tai, kad juo apsiribotume. Jei jūsų sistemų paskutinį kartą nevertino žmogus, aktyviai bandantis prasiskverbti, daugiau nei prieš metus (ar niekada), skenavimo ataskaita, sakanti, kad viskas gerai, sako mažiau, nei skamba.