Webアプリケーションのセキュリティのテストに関するセミナーの準備として、省庁、連邦政府機関、およびサービスのWebサイトにアクセスして、セキュリティ状況がどのように進んでいるかを確認することにしました。
同時に、サーバー全体を攻撃できるかどうかに注意を払わず、XSS、SQLインジェクション、コマンドインジェクションなどの基本的な脆弱性の存在について、サイト自体のみをチェックしました。 私はすべてを調べたわけではありませんが、約40、つまり約半分です。 それらのうち：
- 5つのサイトはパッシブXSSの対象です。
- 1つのサイトはブラインドSQLインジェクションの対象です。
- 1サイトは、UNIONを実装する機能を備えたSQLインジェクションの対象となります。
- 3つのサイトが内部デバイスの詳細を明らかにし、2つがphpinfoへのアクセスを提供し、1つがデバッグ情報を含むエラーメッセージを提供し、
- 1つのサイトはチームの導入の対象であり、これは私が出会ったすべての中で最も深刻な問題です。
一般的に、個々の問題が存在するにもかかわらず、すべてが悪いとは言いません。
しかし、ここに私が知りたいことがあります-省庁および部門のすべてのウェブサイトの情報セキュリティを担当する単一のサービスはありますか？ または、誰もが自分自身に責任がありますか？