GIẢI PHÁP KIỂM TRA BẢO MẬT ỨNG DỤNG ĐỘNG

Giải pháp kiểm tra bảo mật ứng dụng động

Beyond Security được thành lập vào năm 1999, có trụ sở tại San Jose, Callifornia,USA. Là công ty chuyên cung cấp các giải pháp về ra quét lỗ hổng BeSecure, giải pháp kiểm tra bảo mật ứng dụng động (DAST – Black box fuzzing), BeStorm và giải pháp kiểm tra an ninh ứng dụng tĩnh (SAST),  BeSource. Là công ty dẫn đầu thị trường về công nghệ đánh giá bảo mật tự động, Beyond Security sẽ cung cấp góc nhìn chi tiết và đầy đủ, thời gian thực về tình trạng an ninh bảo mật của hệ thống.

Securityteam

Nền tảng kiến ​​thức Beyond Security là cốt lõi cho sự thành công và cũng là lợi thế cạnh tranh của hãng. Hiện này Beyond Security sở hữu và quản lí cổng web bảo mật hàng đầu là www.securiteam.com. Cùng với nhân viên R & D nội bộ Beyond Security, SecuriTeam làm việc liên tục, xây dựng các khai thác mới, kiểm tra các lỗ hổng mới và phát triển các bản sửa lỗi, bản vá và giải pháp mới để cập nhật công cụ quét của nó. Hiện tại, cổng thông tin SecuriTeam nhận được hàng triệu lượt truy cập mỗi tháng từ các chuyên gia bảo mật trên toàn thế giới và chứa hơn 10.000 trang nội dung được liên kết, khiến nó trở thành một trong những cổng thông tin bảo mật dựa trên Internet lớn nhất trên thế giới.

Bảo đảm an toàn hệ thống mạng

Các engine quét được thiết kế để đảm bảo không có thay đổi nào được thực hiện đối với các hệ thống hoặc mạng, đảm bảo một môi trường được kiểm soát, chống lại các cuộc tấn công chủ đích có tính chất tương tự.

Bảo mật thông tin cá nhân

Beyond Security được dành riêng để bảo mật tính bảo mật của tất cả các kết quả quét, vì tính toàn vẹn dữ liệu là một yếu tố thành công quan trọng trong giải pháp bảo mật được quản lý của Beyond Security. Tất cả các báo cáo và liên lạc được mã hóa để có thể  bảo vệ đầy đủ cho thông tin nhạy cảm của tổ chức. Kết quả quét chỉ được gửi cho nhân viên có liên quan theo lựa chọn của quản trị viên hệ thống. Các báo cáo được gửi qua e-mail cũng có thể được mã hóa bởi PGP hoặc S / MIME để bảo mật.

Giải pháp kiểm tra bảo mật ứng dụng động (DAST)

Kiểm tra bảo mật ứng dụng động (DAST) là chương trình được các nhà phát triển sử dụng để phân tích ứng dụng web (WebApp), khi đang chạy và xác định bất kỳ lỗ hổng bảo mật hoặc điểm yếu nào. Khi sử dụng DAST, tester sẽ kiểm tra một ứng dụng trong khi nó hoạt động và cố gắng tấn công nó như một tin tặc. Các công cụ DAST cung cấp thông tin có lợi cho các nhà phát triển về cách ứng dụng hoạt động, cho phép họ xác định nơi tin tặc có thể thực hiện một cuộc tấn công và loại bỏ mối đe dọa.

DAST được sử dụng khi các ứng dụng vượt qua các giai đoạn đầu đời và đã đi vào vận hành. Hầu hết các công cụ DAST chỉ kiểm tra giao diện HTTP và HTML được hiển thị của các ứng dụng hỗ trợ web, nhưng một số công cụ được thiết kế riêng cho các giao thức không phải web và dữ liệu đặc biệt – như các remote procedure calls (RPC) và giao thức khởi tạo phiên (SIP – session initiation protocols).

DAST là dạng black box testing, có nghĩa là nó được thực hiện từ bên ngoài ứng dụng, không biết trước mã nguồn nội bộ hoặc kiến ​​trúc ứng dụng. Do đó, thử nghiệm xác định các lỗ hổng bằng cách sử dụng các kỹ thuật tương tự như tin tặc và thực hiện các cuộc tấn công vào phần mềm. Một DAST sẽ sử dụng một kỹ thuật tiêm lỗi, như nhập phần mềm độc hại vào phần mềm, để khám phá các mối đe dọa như cross-site scripting (XSS) hoặc SQL injection (SQLi).

Giải pháp BeStorm

BeStorm là công cụ kiểm thử, phân tích lỗ hổng ứng dụng động bằng cách mô phòng các cuộc tấn công từ bên ngoài (black box fuzzing) mà không cần biết sourrce code. BeStorm tìm kiếm lỗ hổng bảo mật bằng cách tấn công thử vào hệ thống và chỉ ra lỗ hổng nếu như tấn công thành công. BeStorm cho phép kiểm tra lỗ hổng tại tất cả lớp, bao gồm lớp mạng, giao thức, tập tim, phần cứng, DLL và API. Bên cạnh đó, các bài test của BeStorm bao quát vào tất cả các khía cạnh của bảo mật thay vì chỉ tập trung vào một vài kịch bản định sẵn. Với những tính năng tự động học các thông số kĩ thuật, các tiêu chuẩn độc quyền và với việc thực hiện các bài test liên tục và ổn định đảm bảo rằng sẽ tìm thấy toàn bộ lỗ hổng bảo mật của hệ thống đang sử dụng mà không cần biết trước các tham số và source code.

Các tính năng nổi bật

beSTORM® tổng hợp tất cả các đầu vào để phát hiện ra các lỗ hổng mới và chưa biết trong phần mềm, tệp và phần cứng.

Bằng cách tự động kiểm tra hàng tỷ kết hợp tấn công, beSTORM đảm bảo bảo mật sản phẩm trước khi phát hành hoặc triển khai, tiết kiệm cho các công ty hàng triệu chi phí tiềm năng liên quan đến việc sửa lỗ hổng bảo mật sau khi sản phẩm được vận chuyển.

beSTORM là một giải pháp thử nghiệm động ở chỗ nó không yêu cầu source code. beSTORM kiểm tra sản phẩm bằng cách đưa ra hàng tỷ cuộc tấn công vào sản phẩm khi đang hoạt động và do đó có thể được sử dụng để kiểm tra các sản phẩm cực kỳ phức tạp với cơ sở code lớn, trong khi các công cụ kiểm tra source code không dễ dàng mở rộng quy mô của code base.

beSTORM kiểm tra ứng dụng nhị phân, và do đó hoàn toàn không quan tâm đến ngôn ngữ lập trình hoặc thư viện hệ thống được sử dụng. Điều này cho phép một nhóm thử nghiệm riêng biệt hoặc bên thứ ba có thể không có quyền truy cập vào mã nguồn, có thể sử dụng beStorm để kiểm thử ứng dụng.

beSTORM sẽ báo cáo sự tương tác chính xác gây ra lỗ hổng. Lập trình viên có thể sử dụng báo cáo lỗ hổng để gỡ lỗi ứng dụng, sử dụng môi trường phát triển được lựa chọn của họ, để xem những gì gây ra lỗi.

Loại bỏ dương tính giả (False Positive)

beSTORM kiểm tra ứng dụng bên ngoài bằng cách khởi chạy các cuộc tấn công thực tế. Kết quả là các lỗ hổng được báo cáo chỉ khi một cuộc tấn công đã thành công. Trong khi đó các công cụ phân tích mã nguồn khác sẽ có một số lượng lớn dương tính giả.

Tìm kiếm các lỗ hổng đã biết và chưa biết

Các công cụ kiểm tra mã nguồn tĩnh thường chạy một tập hợp các study case hoặc tình huống nhất định, lên đến hàng ngàn hoặc tốt nhất là hàng chục ngàn  trường hợp. Trong khi đó beStorm thực hiện hàng triệu và có khả năng hàng tỷ kết hợp tấn công. Đây là sự khác biệt giữa kế thừa các tri thức từ trước (kiểm tra các vấn đề đã biết) và dự đoán tương lai (kiểm tra các lỗ hổng chưa được biết).

Tấn công Fuzzing thông minh

beSTORM sử dụng một phương pháp kiểm toán bảo mật được gọi là “fuzzing” hoặc “fuzz testing.”  Fuzz testing tăng cường bảo mật phần mềm bằng cách xác định vị trí vượt ngưỡng khác biệt và những khiếm khuyết mà con người có thể không tìm thấy và thậm chí là người thiết kế thử nghiệm chưa tính đến kịch bản tấn công đó. Ngoài ra, beSTORM sử dụng Fuzzing thông minh để nhắm mục tiêu lỗ hổng xác suất cao đầu tiên cho kết quả nhanh hơn. Giải pháp sẽ tập trung vào các cuộc tấn công nhiều khả năng thành công trước, tiếp theo là mở rộng có phương pháp các cuộc tấn công dựa trên mô-đun đã chọn.

Nguyên lí hoạt động của beStorm

beSTORM cung cấp một tìm kiếm toàn diện về tất cả các kết hợp đầu vào có thể để kiểm tra thực hiện đầu vào cho các điểm yếu. Kiểm tra toàn diện bằng hàng tỷ kết hợp là tự động. beSTORM sử dụng thuật toán ưu tiên để nhanh chóng vá các đầu vào có nhiều khả năng gây ra lỗ hổng bảo mật.

Để làm điều này, beSTORM chuyển đổi đặc tả truyền thông thành một tập hợp các bài kiểm tra tự động và sau đó nhấn mạnh vào những vấn đề kỹ thuật  sai về mặt chức năng. Ví dụ, beSTORM tự động thử mọi kết hợp đầu vào có thể để tạo ra lỗi tràn bộ đệm.

Một ví dụ khác: beSTORM sẽ cung cấp các ký tự không hợp lệ thay vì tên tệp. beSTORM không giới hạn trong các trường hợp cụ thể; nó sẽ bao phủ toàn bộ không gian tìm kiếm cho đủ sức mạnh xử lý hoặc thời gian.

Giám sát lỗ hổng

beSTORM bao gồm một chức năng giám sát mạnh mẽ. Trình giám sát có thể chạy trên cùng một hệ thống với ứng dụng đang được thử nghiệm hoặc nằm trên mạng. Nó phát hiện và ghi lại tất cả các lỗi tràn bộ đệm, chuỗi định dạng hoặc các sự kiện ngoại lệ bộ nhớ cùng với các tham số chính xác đã tạo ra lỗ hổng.

Các tính năng

Phân tích phần mềm toàn diện – không cần có mã nguồn.

Xử lý tất cả các tiêu chuẩn truyền thông (communication). Ngay cả các tiêu chuẩn phức tạp, chẳng hạn như SIP (được sử dụng trong các sản phẩm VoIP).

Linh hoạt – Tự động tìm hiểu sẽ kiểm tra mọi tiêu chuẩn giao tiếp độc quyền.

Các thuật toán ưu tiên tấn công – beSTORM bắt đầu với các cuộc tấn công có khả năng nhất, tiết kiệm thời gian đáng kể.

Không có báo cáo sai – beSTORM giả lập tấn công và chỉ báo cáo các cuộc tấn công thành công.

Một công cụ giám sát phát hiện chi tiết, phát hiện ngay cả khi tràn bộ đệm, chuỗi định dạng, memory exception dù rất nhỏ xảy ra.

Tuân thủ giao thức – beSTORM chuyển đổi các tiêu chuẩn giao thức thành một bộ kiểm tra tự động bằng cách chuyển đổi mô tả BNF được sử dụng trong các tài liệu RFC kỹ thuật thành ngôn ngữ tấn công.

Phân tích toàn diện – beSTORM gắn liền với quy trình được kiểm toán và phát hiện ngay cả những bất thường nhỏ nhất. beSTORM có thể tìm thấy các cuộc tấn công ‘off-by-one’ và các cuộc tấn công tràn bộ đệm không làm sập ứng dụng.

Có thể mở rộng – beSTORM có thể sử dụng nhiều bộ xử lý hoặc nhiều máy để giảm đáng kể thời gian thử nghiệm.

Kiểm tra toàn bộ phạm vi input – có thể được sử dụng để kiểm tra các sản phẩm cực kỳ phức tạp với cơ sở mã lớn.

Ngôn ngữ độc lập – beSTORM kiểm tra ứng dụng nhị phân và do đó hoàn toàn độc lập với ngôn ngữ lập trình hoặc hệ thống thư viện sử dụng.

Báo cáo sự tương tác chính xác gây ra lỗ hổng do đó cho phép lập trình viên fix lỗi ứng dụng bằng cách sử dụng sự môi trường phát triển đã chọn của họ.

Tự động học các tiêu chuẩn mới hoặc tiêu chuẩn độc quyền

beSTORM cung cấp một giao diện đơn giản hỗ trợ tạo các mô-đun thử nghiệm mới từ nhiều loại khối dữ liệu. Các loại đầu vào này có thể là lưu lượng truy cập mạng được ghi lạiSTORM, một mẫu tệp chứa lưu lượng truy cập mạng được ghi lại bằng các phương tiện khác hoặc cú pháp mô tả API. beSTORM sử dụng các bộ dữ liệu này để xác định cách xây dựng giao thức hoặc tệp. Nếu đặc điểm kỹ thuật hoàn chỉnh có sẵn, người dùng có thể tạo hoặc mở rộng các mô đun beSTORM bằng trình soạn thảo XML.

beSTORM hoàn thành phân tích cấu trúc của một tiêu chuẩn truyền thông độc quyền và cung cấp một danh sách các tùy chọn liên quan. Bắt đầu với các tùy chọn đã chọn, kiểm tra beSTORM của giao thức này sẽ mở rộng sang bao gồm đầy đủ các biến thể có thể có – một trường thử nghiệm bao gồm hàng triệu các biến thể.

Tư vấn và báo giá:

CÔNG TY CỔ PHẦN GIẢI PHÁP CÔNG NGHỆ SONIC

Tầng 16, Tòa nhà Licogi 13, 164 Khuất Duy Tiến, P. Nhân Chính, Q. Thanh Xuân, TP. Hà Nội

Tel: 02466.564.587

Email: Sales@sonic.com.vn