🔼 🛌🏻 👩🏿‍🤝‍👨🏾 परीक्षण वेब अनुप्रयोग सुरक्षा स्कैनर्स: दृष्टिकोण और मानदंड 🏍️ 👊🏼 👵🏼

सूचना सुरक्षा स्कैनर (भेद्यता स्कैनर) निगरानी और नियंत्रण उपकरण हैं जिनका उपयोग कंप्यूटर नेटवर्क, व्यक्तिगत कंप्यूटर और सुरक्षा समस्याओं के लिए उन पर स्थापित अनुप्रयोगों की जांच के लिए किया जा सकता है। अधिकांश स्कैनर आपको WASC खतरा क्लासिफिकेशन द्वारा वर्णित कमजोरियों का पता लगाने की अनुमति देते हैं। आज के हब्रतोपिका में, हम सॉफ्टवेयर उत्पादों के रूप में वेब अनुप्रयोगों के लिए सूचना सुरक्षा स्कैनर के परीक्षण से संबंधित कुछ मुद्दों पर विचार करेंगे।

एक आधुनिक वेब एप्लिकेशन स्कैनर एक बहुआयामी और अत्यधिक परिष्कृत उत्पाद है। इसलिए, इसके परीक्षण और समान समाधान के साथ तुलना में कई विशेषताएं हैं।

परीक्षण प्रक्रिया

" वेब एप्लिकेशन स्कैनर्स के लिए टेस्ट सूट का निर्माण " लेख स्कैनरों के परीक्षण के सामान्य सिद्धांतों को रेखांकित करता है, जिस पर हम बाद में भरोसा करेंगे। इन सिद्धांतों में से एक विभिन्न वेब एप्लिकेशन स्कैनर के प्रदर्शन की तुलना करने के लिए टेस्ट प्रक्रिया है । थोड़ा संशोधित रूप में, यह प्रक्रिया इस प्रकार है:

सभी तकनीकी आवश्यकताओं के कार्यात्मक सत्यापन और परीक्षण खड़ा करने के लिए आवश्यक परीक्षण सामग्री तैयार करें।
परीक्षणों की शुरुआत करें, परीक्षणों के लिए सभी आवश्यक सेटिंग्स प्राप्त करें।
स्कैन किए गए वेब एप्लिकेशन को कॉन्फ़िगर करें और इसके लिए भेद्यता के प्रकार और सुरक्षा के स्तर का चयन करें।
परीक्षण के तहत वेब एप्लिकेशन पर चयनित सेटिंग्स के साथ स्कैनर चलाएं और कार्यात्मक परीक्षणों का एक सेट पास करें।
स्कैनर (अद्वितीय लिंक, भेद्यता, हमला वैक्टर, आदि) द्वारा पाई गई वेब वस्तुओं को गिनें और वर्गीकृत करें।
प्रत्येक प्रकार की भेद्यता और सुरक्षा स्तर के लिए चरण 2-5 दोहराएं।

वस्तुओं के पता लगाने के परिणामों के सारांश तालिका में प्रत्येक पुनरावृत्ति के बाद परिवर्तन दर्ज किया जाना चाहिए। यह कुछ इस तरह दिखना चाहिए:

जाहिर है, सभी वेब एप्लिकेशन स्कैनर में स्कैनिंग मॉड्यूल का एक ही सेट नहीं होता है, हालांकि, इस तालिका का उपयोग अभी भी किया जा सकता है, जो कुछ मॉड्यूल या एक या किसी अन्य कार्यक्षमता की अनुपस्थिति में स्कैनर की रेटिंग को कम करता है।

अग्रिम में ज्ञात एक निश्चित प्रकार की कमजोरियों की सटीक संख्या के साथ एक परीक्षण आवेदन तैयार करना संभव नहीं है। इसलिए, जब ऐसी तालिका का संकलन किया जाता है, तो हम अनिवार्य रूप से खोज करने के लिए वास्तविक वस्तुओं की संख्या निर्धारित करने में कठिनाइयों का सामना करेंगे। इस समस्या को निम्नानुसार हल किया जा सकता है।

एक भेद्यता के रूप में, समकक्ष कमजोरियों के वर्ग पर विचार करें जो एक परीक्षण वेब अनुप्रयोग में पाया जा सकता है। उदाहरण के लिए, SQL इंजेक्शन के लिए, समान भेद्यताओं के वर्ग को आवेदन के लिए GET अनुरोध के एक ही पैरामीटर के लिए मिली सभी कमजोरियों पर विचार किया जा सकता है। दूसरे शब्दों में, यदि कुछ असुरक्षित आईडी पैरामीटर है, जिसके बदलने से वेब सर्वर या डेटाबेस क्रैश हो जाता है, तो इस पैरामीटर का उपयोग करने वाले सभी आक्रमण वैक्टर को मापदंडों के क्रमपरिवर्तन के बराबर माना जा सकता है: example.com/page.php?id.blabla ~ example.com/page.php?a=1&id=bla&b=2
सरल परीक्षण अनुप्रयोगों को विकसित करने के लिए जो कुछ भेद्यता को लागू करते हैं या अनुकरण करते हैं, लेकिन विभिन्न रूपरेखाओं का उपयोग करते हुए और उन्हें विभिन्न प्रकार के नेटवर्क प्रोटोकॉल के माध्यम से, साथ ही साथ विभिन्न प्रॉक्सी श्रृंखलाओं के माध्यम से विभिन्न ऑपरेटिंग सिस्टम विकल्पों का उपयोग करके, विभिन्न डेटाबेस का उपयोग करते हुए उन्हें तैनात किया जाता है।
टेस्ट स्टैंडों पर कई अलग-अलग सीएमएस, कमजोर एप्लिकेशन (DVWA, Gruyere, OWASP साइट जेनरेटर, आदि) तैनात करें और उन्हें विभिन्न सुरक्षा स्कैनर के साथ स्कैन करें। सभी स्कैनरों द्वारा पाई गई कमजोरियों की कुल संख्या को मानक के रूप में लिया जाना चाहिए और आगे के परीक्षणों में उपयोग किया जाना चाहिए।

आप एक परीक्षण एप्लिकेशन को कॉन्फ़िगर कर सकते हैं और आवश्यक स्तर की सुरक्षा सेट करके इसे प्रबंधित कर सकते हैं, उदाहरण के लिए, OWASP साइट जेनरेटर टूल का उपयोग करके, जिसके कॉन्फ़िगरेशन को नियमित XML फ़ाइल में संग्रहीत और संपादित किया जा सकता है। दुर्भाग्य से, इस समय यह उपकरण अप्रचलित माना जाता है और यह अनुशंसा की जाती है कि आप आधुनिक कमजोरियों का अनुकरण करने के लिए अपने स्वयं के विकास के अनुप्रयोग बनाएं।

स्कैनर को स्कैन करने के लिए परीक्षण सामग्री में लागू की जाने वाली कमजोरियों के प्रकारों को WASC खतरा वर्गीकरण से लिया जा सकता है।

स्थापित अनुप्रयोगों के सभी संभावित संयोजनों के लिए परीक्षण प्रक्रिया के शुरू होने की अपेक्षित संख्या बहुत, बहुत बड़ी होगी, जो आश्चर्यजनक नहीं है। जोड़ीवार विश्लेषण परीक्षण तकनीक का उपयोग करके इस संख्या को कम किया जा सकता है ।

स्कैन के परिणामों के आधार पर, हम फॉर्म के संख्यात्मक वैक्टर प्राप्त करते हैं

(सुरक्षा स्तर, ज्ञात वस्तुओं की संख्या, झूठी सकारात्मक, झूठी नकारात्मक, कुल वस्तुएं, स्कैन समय)

फिर आपको एक स्कैन गुणवत्ता मीट्रिक दर्ज करने की आवश्यकता है, जिसका उपयोग संकेतक और स्कैनर की एक-दूसरे के साथ तुलना करने के लिए किया जा सकता है। एक समान मीट्रिक के रूप में सरलतम यूक्लिडियन मीट्रिक का उपयोग करना पर्याप्त है।

परीक्षण के प्रकार

एक अन्य लेख जिस पर आप भरोसा कर सकते हैं जब वेब एप्लिकेशन स्कैनर का परीक्षण किया जाता है जिसे वेब एप्लीकेशन सिक्योरिटी स्कैनर्स की सटीकता और समय की लागत का विश्लेषण करना कहा जाता है। यह सामग्री विभिन्न स्कैनर (BurpSuitePro, Qualys, WebInspect, NTOSpider, Appscan, Hailstorm, Acunetix) के परीक्षण का वर्णन करती है और प्रत्येक विशिष्ट उपकरण के लिए चार प्रकार के परीक्षण करने का प्रस्ताव है।

प्वाइंट एंड शूट (PaS) मोड में वेब एप्लिकेशन को स्कैन करें और पाया और पुष्टि की कमजोरियों की संख्या निर्धारित करें।
प्रारंभिक "प्रशिक्षण" के बाद फिर से स्कैन करें और इस प्रकार के आवेदन के साथ काम करने के लिए स्कैनर को कॉन्फ़िगर करें, इस मामले में पाया और पुष्टि की गई कमजोरियों की संख्या निर्धारित करें।
मिली कमजोरियों के विवरण की सटीकता और पूर्णता का आकलन करें।
परीक्षण, विश्लेषण और स्कैन परिणामों की गुणवत्ता सुनिश्चित करने और तैयार करने में विशेषज्ञों द्वारा खर्च किए गए कुल समय का आकलन करें।

पीएएस मोड मानक स्कैनर सेटिंग्स के साथ एक स्कैन का शुभारंभ है। यह योजना के अनुसार होता है "एक लक्ष्य निर्धारित करना - स्कैन करना - एक परिणाम प्राप्त करना।"

प्रशिक्षण - किसी भी कॉन्फ़िगरेशन सेटिंग्स, स्क्रिप्ट बदलना, स्कैनर आपूर्तिकर्ताओं के साथ संचार आदि शामिल हैं।

गुणवत्ता परिणाम प्राप्त करने के लिए विशेषज्ञों को समय की मात्रा निर्धारित करने के लिए, लेख में एक सरल सूत्र का उपयोग करने का सुझाव दिया गया है:

कुल समय = प्रशिक्षण समय + # सकारात्मक सकारात्मक * 15 मिनट। + # फाल्स नेगेटिव * 15 मि।

प्रत्येक परीक्षण के दौरान, ऊपर वर्णित परीक्षण प्रक्रिया को लागू किया जाना चाहिए।

वेब एप्लिकेशन स्कैनर्स के लिए मूल्यांकन मानदंड

एक अन्य उपयोगी लेख में, " शीर्ष 10: वेब एप्लिकेशन वल्नरेबिलिटी स्कैनर्स बेंचमार्क, " लेखक स्कैनर विशेषताओं की तुलना करने के लिए एक सामान्य दृष्टिकोण का सुझाव देते हैं, साथ ही उदाहरणों के साथ ऐसी विशेषताओं का एक सेट। यह लेख निम्नलिखित मानदंडों का उपयोग करते हुए सारणीबद्ध रूप में वेब एप्लिकेशन स्कैनर की क्षमताओं का मूल्यांकन करने का प्रस्ताव करता है:

मापदंड अनुमानों के संबंध में उत्पाद की कीमतों की तुलना । (एक मूल्य तुलना - बाकी बेंचमार्क परिणामों के संबंध में)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
स्कैनर बहुमुखी प्रतिभा - प्रोटोकॉल और इनपुट डिलीवरी क्षेत्र के स्कैनर के समर्थन के लिए एक उपाय) समर्थित प्रोटोकॉल और वितरण वैक्टर की संख्या है - सर्वर को डेटा पहुंचाने के तरीके। डिलीवरी वैक्टर में सर्वर पर डेटा पहुंचाने के तरीके, जैसे क्वेरी स्ट्रिंग्स के लिए HTTP पैरामीटर, HTTP-बॉडी पैरामीटर, JSON, XML, विशिष्ट तकनीकों के लिए बाइनरी तरीके जैसे AMF, जावा क्रमबद्ध ऑब्जेक्ट और WCF शामिल हैं। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
समर्थित आक्रमण वैक्टर की संख्या: सक्रिय स्कैनर प्लगइन्स की संख्या और प्रकार (अटैक वेक्टर सपोर्ट - सक्रिय स्कैन प्लगइन्स की मात्रा और प्रकार (भेद्यता का पता लगाना))। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
सीएसएस डिटेक्शन सटीकता (रिफ्लेक्टेड क्रॉस साइट स्क्रिप्टिंग डिटेक्शन सटीकता)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
एसक्यूएल इंजेक्शन जांच सटीकता तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
वेब एप्लिकेशन संरचना को दरकिनार करने और स्थानीय फ़ाइलों का पता लगाने की सटीकता । (पथ ट्रैवर्सल / स्थानीय फ़ाइल समावेश जांच सटीकता)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
आरएफआई के माध्यम से फ़िशिंग, रिमोट फ़ाइल का उपयोग । (रिमोट फाइल इंक्लूजन डिटेक्शन एक्यूरेसी (XSS / फ़िशिंग थ्रू RFI))। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है। आरेख में आरएफआई परीक्षण मामलों का एक उदाहरण दिखाया गया है ।
WIVET तुलना : स्वचालित क्रॉलिंग और आक्रमण के लिए इनपुट वैक्टर प्राप्त करना (WIVET (वेब इनपुट वेक्टर एक्सट्रैक्टर टीज़र) स्कोर तुलना - स्वचालित क्रॉलिंग / इनपुट वेक्टर एक्सट्रैक्शन)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
स्कैनर की अनुकूलन क्षमता : सुरक्षात्मक बाधाओं को दूर करने के लिए स्कैनर की अतिरिक्त विशेषताओं की संख्या (स्कैनर अनुकूलनशीलता - पूरक कवरेज सुविधाएँ और स्कैन बैरियर समर्थन)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
प्रमाणीकरण सुविधाओं की तुलना : समर्थित प्रमाणीकरण विधियों और प्रमाणीकरण की संख्या और प्रकार (प्रमाणीकरण सुविधाएँ तुलना)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
अतिरिक्त स्कैनिंग क्षमताओं और अंतर्निहित तंत्रों की संख्या। (पूरक स्कैन सुविधाएँ और एंबेडेड उत्पाद)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
मुख्य स्कैनिंग फ़ंक्शन (सामान्य स्कैनिंग सुविधाओं और समग्र प्रभाव) के संचालन की सामान्य छाप। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।
लाइसेंस और प्रौद्योगिकियों की तुलना (लाइसेंस तुलना और सामान्य जानकारी)। तुलना का एक उदाहरण धुरी तालिका में देखा जा सकता है।

सूचीबद्ध वस्तुओं में से कुछ वस्तु डिटेक्शन सारांश तालिका में शामिल हैं। इसके अलावा, आप देख सकते हैं कि अधिकांश मानदंडों के लिए विशेषज्ञ मूल्यांकन की आवश्यकता होती है, और यह स्वचालित परीक्षण और स्कैनर की तुलना को मुश्किल बनाता है। नतीजतन, प्रस्तावित मूल्यांकन मानदंडों का उपयोग किया जा सकता है, उदाहरण के लिए, स्कैनर की विशेषताओं के अध्ययन पर अधिक सामान्य रिपोर्ट के लिए अनुभाग, जिसमें परीक्षण के सभी परिणाम शामिल हैं और प्रतियोगियों के साथ एक विशिष्ट स्कैनर की तुलना करना है।

वेब एप्लिकेशन स्कैनर के लिए परीक्षण के प्रकार

उपरोक्त लेखों की सामग्रियों के आधार पर, हमने परीक्षण प्रकारों का वर्गीकरण विकसित किया है जो परीक्षण प्रक्रिया में उपयोग किए जा सकते हैं।

बुनियादी कार्यात्मक (धुएं) परीक्षणों को मुख्य निम्न-स्तरीय स्कैनर नोड्स की संचालनशीलता की जांच करनी चाहिए: परिवहन सबसिस्टम, कॉन्फ़िगरेशन सबसिस्टम, लॉगिंग सबसिस्टम आदि का संचालन जब सरल परीक्षण लक्ष्यों को स्कैन करते हैं, तो लॉग में कोई त्रुटि संदेश, अपवाद और ट्रेसबैक नहीं होना चाहिए, स्कैनर को फ्रीज नहीं करना चाहिए। विभिन्न ट्रांसपॉर्ट्स, रीडायरेक्ट, प्रॉक्सी सर्वर आदि का उपयोग करते समय।
तकनीकी आवश्यकताओं को सत्यापित करने के लिए कार्यात्मक परीक्षणों को बुनियादी परिदृश्यों के सत्यापन को लागू करना चाहिए। मॉड्यूल और परीक्षण वातावरण की विभिन्न सेटिंग्स के साथ प्रत्येक स्कैनिंग मॉड्यूल की संचालन क्षमता की जांच करना आवश्यक है। सकारात्मक और नकारात्मक परीक्षण स्क्रिप्ट और विभिन्न तनाव परीक्षण वेब एप्लिकेशन के जवाब में स्कैनर को भेजे गए सही और गलत डेटा की बड़ी सरणियों का उपयोग करके किए जाते हैं।
तुलना (तुलना) कार्यक्षमता के लिए परीक्षण , जिसके दौरान चयनित स्कैनर मॉड्यूल द्वारा वस्तुओं की खोज करने की गुणवत्ता और औसत गति की तुलना प्रतिस्पर्धी उत्पादों में समान कार्यक्षमता वाले मॉड्यूल से की जाती है। प्रत्येक विशिष्ट स्कैनिंग मॉड्यूल के लिए, परिभाषाएं दी जानी चाहिए कि इसके लिए वस्तुओं और उनकी खोज की गुणवत्ता से क्या मतलब है।
मूल्यांकन मानदंड (मानदंड) के संकेतकों की तुलना करने के लिए परीक्षण , जिसके दौरान यह जाँच की जाती है कि परीक्षण किए जा रहे स्कैनर के प्रत्येक नए संस्करण में प्रत्येक स्कैनिंग मॉड्यूल के साथ वस्तुओं की खोज की गति और गुणवत्ता पिछले संस्करण की तुलना में खराब नहीं हुई है। कार्यक्षमता की तुलना के लिए परीक्षणों के लिए गति और गुणवत्ता की परिभाषाएं उसी तरह निर्धारित की जानी चाहिए: इस अपवाद के साथ कि इस प्रकार के परीक्षणों में, इसका पिछला संस्करण परीक्षण स्कैनर के लिए एक प्रतियोगी के रूप में कार्य करता है।

आप वेब अनुप्रयोगों के लिए किसी भी सुरक्षा स्कैनर के लिए विषय में वर्णित परीक्षण प्रक्रिया का उपयोग कर सकते हैं, और स्कैन गुणवत्ता मीट्रिक का उपयोग करके, हम उनके मैट्रिक्स की तुलना करके स्कैनर की गुणात्मक तुलना के लिए एक उपकरण प्राप्त करते हैं। इस विचार को विकसित करने के लिए, आप फ़ज़ी इंडीकेटर्स, स्केल और मेट्रिक्स का उपयोग कर सकते हैं - स्कैनर्स की तुलना में काम को सरल बनाने के लिए।

आपका ध्यान देने के लिए धन्यवाद, हमें टिप्पणियों में प्रश्नों का उत्तर देने में खुशी होगी।

तैमूर गिल्मुलिन, पॉजिटिव टेक्नोलॉजीज ऑटोमेटेड टेस्टिंग ग्रुप

परीक्षण वेब अनुप्रयोग सुरक्षा स्कैनर्स: दृष्टिकोण और मानदंड

परीक्षण प्रक्रिया

परीक्षण के प्रकार

वेब एप्लिकेशन स्कैनर्स के लिए मूल्यांकन मानदंड

वेब एप्लिकेशन स्कैनर के लिए परीक्षण के प्रकार

More articles: