dokumentasi<Sebelum | Contents [show] | Seterusnya>
11.2.4. Penilaian Aplikasi
Walaupun kebanyakan penilaian mempunyai skop yang luas, penilaian aplikasi ialah kepakaran yang tertumpu secara sempit pada satu aplikasi. Jenis penilaian ini menjadi lebih biasa disebabkan oleh kerumitan aplikasi kritikal misi yang digunakan oleh organisasi, kebanyakannya dibina secara dalaman. Penilaian aplikasi biasanya ditambahkan pada penilaian yang lebih luas, seperti yang diperlukan. Permohonan yang boleh dinilai dengan cara ini termasuk, tetapi tidak terhad kepada:
• Aplikasi web: Permukaan serangan yang paling biasa dihadapi secara luaran, aplikasi web menjadikan sasaran yang hebat hanya kerana ia boleh diakses. Selalunya, penilaian standard akan menemui masalah asas dalam aplikasi web, namun semakan yang lebih fokus selalunya berbaloi dengan masa untuk mengenal pasti isu yang berkaitan dengan aliran kerja aplikasi. The kali-linux-web pakej meta mempunyai beberapa alat untuk membantu dengan penilaian ini.
• Aplikasi desktop yang disusun: Perisian pelayan bukan satu-satunya sasaran; aplikasi desktop juga membentuk permukaan serangan yang indah. Pada tahun-tahun yang lalu, banyak aplikasi desktop seperti
21http://docs.kali.org/kali-dojo/02-mastering-live-build 22https://www.offensive-security.com/kali-linux/kali-rolling-iso-of-doom/ 23http://docs.kali.org/development/live-build-a-custom-kali-iso 24https://www.offensive-security.com/kali-linux/kali-linux-recipes/
Pembaca PDF atau program video berasaskan web sangat disasarkan, memaksa mereka matang. Walau bagaimanapun, masih terdapat sejumlah besar aplikasi desktop yang mempunyai banyak kelemahan apabila disemak dengan betul.
• Aplikasi mudah alih: Apabila peranti mudah alih menjadi lebih popular, aplikasi mudah alih akan menjadi lebih daripada permukaan serangan standard dalam banyak penilaian. Ini adalah sasaran yang bergerak pantas dan metodologi masih matang dalam bidang ini, membawa kepada perkembangan baharu secara praktikal setiap minggu. Alat yang berkaitan dengan analisis aplikasi mudah alih boleh didapati di Kejuruteraan Songsang kategori menu.
Penilaian permohonan boleh dijalankan dalam pelbagai cara yang berbeza. Sebagai contoh mudah, alat automatik khusus aplikasi boleh dijalankan terhadap aplikasi dalam usaha untuk mengenal pasti isu yang berpotensi. Alat ini akan menggunakan logik khusus aplikasi dalam percubaan untuk mengenal pasti isu yang tidak diketahui dan bukannya hanya bergantung pada set tandatangan yang diketahui. Alat ini mesti mempunyai pemahaman terbina dalam tentang tingkah laku aplikasi. Contoh biasa ini ialah pengimbas kerentanan aplikasi web seperti Burp Suite25, ditujukan terhadap aplikasi yang mula-mula mengenal pasti pelbagai medan input dan kemudian menghantar serangan suntikan SQL biasa ke medan ini sambil memantau tindak balas aplikasi untuk tanda-tanda serangan yang berjaya.
Dalam senario yang lebih kompleks, penilaian aplikasi boleh dijalankan secara interaktif sama ada dalam a
kotak hitam atau cara kotak putih.
• Penilaian Kotak Hitam: Alat (atau penilai) berinteraksi dengan aplikasi tanpa pengetahuan atau akses khas melebihi pengetahuan pengguna standard. Sebagai contoh, dalam kes aplikasi web, penilai hanya boleh mempunyai akses kepada fungsi dan ciri yang tersedia kepada pengguna yang belum log masuk ke sistem. Mana-mana akaun pengguna yang digunakan ialah akaun yang membolehkan pengguna umum mendaftar sendiri akaun tersebut. Ini akan menghalang penyerang daripada dapat menyemak sebarang fungsi yang hanya tersedia untuk pengguna yang perlu dibuat oleh pentadbir.
• Penilaian Kotak Putih: Alat (atau penilai) selalunya mempunyai akses penuh kepada kod sumber, akses pentadbiran kepada platform yang menjalankan aplikasi dan sebagainya. Ini memastikan bahawa semakan penuh dan menyeluruh bagi semua fungsi aplikasi selesai, tidak kira di mana fungsi itu hidup dalam aplikasi. Pertukaran dengan ini ialah penilaian itu sama sekali bukan simulasi aktiviti hasad sebenar.
Jelas terdapat warna kelabu di antaranya. Lazimnya, faktor penentu ialah matlamat penilaian. Jika matlamatnya adalah untuk mengenal pasti perkara yang akan berlaku sekiranya aplikasi itu mengalami serangan luaran terfokus, penilaian kotak hitam mungkin adalah yang terbaik. Jika matlamatnya adalah untuk mengenal pasti dan menghapuskan seberapa banyak isu keselamatan yang mungkin dalam tempoh masa yang agak singkat, pendekatan kotak putih mungkin lebih cekap.
25https://portswigger.net/burp/
Dalam kes lain, pendekatan hibrid boleh diambil apabila penilai tidak mempunyai akses penuh kepada kod sumber aplikasi platform yang menjalankan aplikasi, tetapi akaun pengguna disediakan oleh pentadbir untuk membenarkan akses kepada sebanyak mungkin fungsi aplikasi.
Kali ialah platform yang ideal untuk semua jenis penilaian aplikasi. Pada pemasangan lalai, pelbagai pengimbas khusus aplikasi yang berbeza tersedia. Untuk penilaian yang lebih maju, pelbagai alatan, penyunting sumber dan persekitaran skrip wujud. Anda mungkin menemui Aplikasi Web26 dan Kejuruteraan Songsang27 bahagian Alat Kali28 laman web membantu.