Веб-приложения

В настоящее время огромное количество организацией обладает собственными web-приложениями. Они используются для самых разнообразных целей, например, для работы с клиентами, информирования, обеспечения работы сотрудников и т.д.

Хакерским атакам подвергаются не только крупные web-сервисы, но и даже небольшие web -приложения, в рамках нецелевых атак с применением общедоступных инструментов. Потому вне зависимости от масштабов деятельности – все web-сервисы компании должны быть надежно защищены.

Основные цели злоумышленников при атаке на web-приложения можно разделить на следующие категории:

Осуществить несанкционированный доступа к конфиденциальной информации (персональные данные, платежные данные, внутренняя информация и т.д.);
Получить привилегированные права для совершения нелегитимных действий (доступ к правам чужих учетных записей пользователей, изменение размещенной информации, доступ к корпоративным ресурсам);
Сделать web-сервис недоступным (подробнее о противодействии атакам типа «отказ в обслуживании»);

При успешной реализации этих целей компания, подвергшаяся атаке, несет как имиджевые, так и финансовые потери. Анализ защищенности web-приложений поможет убедиться, что конфиденциальные данные останутся таковыми, а пользователю будет доступно сделать только то, что положено в рамках прав доступа. В рамках анализа защищенности могут проводиться 2 вида работ:

Внешний анализ защищенности веб-приложения;
Аудит исходного кода;

Задачи аудита Объект исследования Результат проекта

Задачи аудита

Внешний анализ защищенности web-приложения позволяет решить следующие задачи:

Выявить уязвимости, которые может использовать внешний злоумышленник;

Проверить уровень безопасности в бизнес логике web-приложения;

Определить качество используемых средств защиты web-приложения.

Объект исследования

Объектом исследования в данном виде анализа защищенности является front-end, то есть «оболочка» web-приложения, доступная внешнему пользователю.

К основным видам проверок относятся:

Анализ бизнес-логики и программных средств web-приложения;
Анализ защищенности обмена информации между клиентом и web-приложением;
Выявление уязвимостей, связанных с разграничением прав доступа;
Выявление уязвимостей, связанных с логикой работы web-приложения;
Анализ парольной политики;
Оценка найденных недостатков и уязвимостей и возможных последствий.

Результат проекта

Результатом проведения анализа защищенности web-приложения будет экспертный отчет, содержащий:

Перечень обнаруженных уязвимостей, ошибок конфигурации и других выявленных недостатков web-приложения с точки зрения информационной безопасности;
Демонстрации реализации выявленных значимых уязвимостей;
Рекомендации по закрытию уязвимостей и повышению текущего уровня защищенности.