документація<Попередній | зміст | Наступна>
11.2.4. Оцінка заявки
У той час як більшість оцінок мають широку сферу застосування, оцінка заявки — це спеціальність, яка вузько зосереджена на одній заявці. Такі оцінки стають все більш поширеними через складність критично важливих програм, які використовують організації, багато з яких створені власними силами. За потреби оцінка заявки зазвичай додається до більш широкого. Заявки, які можуть бути оцінені таким чином, включають, але не обмежуються:
• Веб-програми: найпоширеніша поверхня атаки, спрямована на зовнішній вплив, веб-додатки стають чудовими цілями просто тому, що вони доступні. Часто стандартні оцінки виявляють основні проблеми у веб-додатках, однак більш цілеспрямований огляд часто вартує часу, щоб виявити проблеми, пов’язані з робочим процесом програми. The kali-linux-web У метапакеті є ряд інструментів, які допомагають у цих оцінках.
• Компільовані настільні програми: серверне програмне забезпечення не є єдиною метою; настільні програми також створюють чудову поверхню атаки. У минулі роки багато настільних програм, таких як
21http://docs.kali.org/kali-dojo/02-mastering-live-build 22https://www.offensive-security.com/kali-linux/kali-rolling-iso-of-doom/ 23http://docs.kali.org/development/live-build-a-custom-kali-iso 24https://www.offensive-security.com/kali-linux/kali-linux-recipes/
Програми для зчитування PDF-файлів або веб-відеопрограми були дуже цільовими, що змушувало їх дозрівати. Проте все ще існує велика кількість настільних додатків, які при належному розгляді мають масу вразливостей.
• Мобільні програми: у міру того, як мобільні пристрої стають все більш популярними, мобільні додатки стануть набагато більше стандартною поверхнею атак у багатьох оцінках. Це швидкоплинна мета, і методики в цій сфері все ще дозрівають, що призводить до нових розробок практично щотижня. Інструменти, пов’язані з аналізом мобільних додатків, можна знайти в Зворотній інжиніринг категорія меню.
Оцінку заявок можна проводити різними способами. Як простий приклад, автоматизований інструмент для конкретної програми можна запустити проти програми, щоб виявити потенційні проблеми. Ці інструменти використовуватимуть спеціальну логіку програми, намагаючись визначити невідомі проблеми, а не просто залежати від набору відомих сигнатур. Ці інструменти повинні мати вбудоване розуміння поведінки програми. Звичайним прикладом цього може бути сканер уразливостей веб-програм, наприклад Burp Suite25, спрямований проти програми, яка спочатку визначає різні поля введення, а потім надсилає звичайні атаки ін'єкції SQL у ці поля, одночасно відстежуючи відповідь програми на предмет успішної атаки.
У складнішому сценарії оцінка заявки може проводитися в інтерактивному режимі в будь-якому а
чорний ящик або білий ящик.
• Оцінка Black Box: інструмент (або оцінювач) взаємодіє з програмою без спеціальних знань або доступу, крім стандартного користувача. Наприклад, у випадку веб-програми оцінювач може мати доступ лише до функцій і функцій, які доступні для користувача, який не ввійшов у систему. Будь-які використовувані облікові записи користувачів будуть такими, де звичайний користувач може самостійно зареєструвати обліковий запис. Це не дозволить зловмиснику переглянути будь-які функції, доступні лише користувачам, які мають бути створені адміністратором.
• Оцінка білого ящика: інструмент (або оцінювач) часто матиме повний доступ до вихідного коду, адміністративний доступ до платформи, на якій запускається програма, тощо. Це гарантує завершення повного та всебічного огляду всіх функцій програми, незалежно від того, де ця функція знаходиться в програмі. Компроміс у цьому полягає в тому, що оцінка ні в якому разі не є моделюванням фактичної шкідливої діяльності.
Очевидно, що між ними є відтінки сірого. Як правило, вирішальним фактором є мета оцінки. Якщо мета полягає в тому, щоб визначити, що станеться у випадку, якщо програма потрапить під цілеспрямовану зовнішню атаку, оцінка «чорної скриньки», ймовірно, буде найкращою. Якщо мета полягає в тому, щоб виявити та усунути якомога більше проблем безпеки за відносно короткий проміжок часу, підхід білого ящика може бути більш ефективним.
25https://portswigger.net/burp/
В інших випадках можна застосувати гібридний підхід, коли оцінювач не має повного доступу до вихідного коду програми платформи, на якій запущена програма, але облікові записи користувачів надаються адміністратором, щоб надати доступ до якомога більшої функціональності програми.
Kali є ідеальною платформою для різного роду оцінок додатків. При встановленні за замовчуванням доступний цілий ряд різних сканерів для певних програм. Для більш розширеного оцінювання існує цілий ряд інструментів, редакторів вихідних кодів і середовища створення сценаріїв. Ви можете знайти веб-додаток26 і зворотна інженерія27 розділи інструментів Kali28 корисний веб-сайт.