Web lietojumu biežāk pieļautās kļūdas un to risinājumi. Didzis Balodis. DPA Konference 2014.

Web lietojumu biežāk pieļautās kļūdas un to risinājumi.

Didzis Balodis, CISSP, GPEN

DPA infrastruktūras un drošības virziena vadītājs

Saturs

Realitāte

Demo Risinājumi

Statistika

Didzis Balodis

• DPA IT drošības un infrastruktūras virziena vadītājs

• Vairāk kā 10 gadi IT industrijā (sākot no 1999.g)

• Administrēšana, izstrāde, drošība

• Pēdējie 5 gadi – IT konsultācijas, audits un drošības audits, ielaušanās

testi (veikti vairāk kā 50 auditi)

• Hobijs - bezvadu tīklu drošība

• Sertifikāti:

• CISSP- Certified Information System Security Professional

• GPEN – GIAC Certified Penetration Tester

Statistika

86%gadījumu web aplikācija satur vismaz

vienu

augsta riska ievainojamību

OWASP TOP 10

Injekcijas aizvien ir vispopulārākās!

A1- Injection (SQL, LDAP, SMTP, XML...) A2-Broken Authentication and Session Management

A3-Cross-Site Scripting (XSS) A4-Insecure Direct Object References

A5-Security Misconfiguration A6-Sensitive Data Exposure

A7-Missing Function Level Access Control A8-Cross-Site Request Forgery (CSRF)

A9-Using Components with Known Vulnerabilities A10-Unvalidated Redirects and Forwards

Trustwave pētījums

Viegli...

Arī web lietojumu drošībā statistika ir nemainīga:

96% vieglu uzbrukumu

Sekas

Klientu dati publiski pieejami

Publiskota organizācijas iekšējā informācija

Reputācijas zaudējumi

Administratīvā atbildība (FPDAL)

Sistēmu nepieejamība

Finanšu zaudējumi

Piemērs

Piemērs

Piemērs

DEMO TIME

SQLi

http://somesystem.lv/ gettextLang=0&usr_login=login

' AND (SELECT 4747 FROM

(SELECT COUNT(*),CONCAT(0x3a76796a3a,

(SELECT (CASE WHEN (4747=4747) THEN 1 ELSE 0 END)),

0x3a787a693a,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)

AND 'KWgn'='KWgn&usr_password=aaa&sendpost=PieslÄgties sistÄmai

Failu upload

Proaktīva rīcība

Lai izvairītos no nepatīkamas situācijas -

Veic pārbaudi

pirms to izdarījis kāds cits...

DPA piedāvājums

IT auditi un ielaušanās testēšana:

Atbilstības auditi LR normatīviem un labākās prakses standartiem

Ievainojamību skanēšana

Tīkla ielaušanās testi

Bezvadu tīklu auditi

Web aplikāciju drošības testēšana

Sociālās inženierijas testēšana

Darbinieku IT drošības apmācība

Sertifikāti

Paldies!