Zobrazenie zdroja stránky Metodiky testovania zraniteľností

[[Kategória:Študentské práce]]
[[Kategória:Bakalárske práce]]
[[Kategória:Informatika]]
[[Kategória:web]]
{{Praca_uvod|2|Bezpečnosť webových aplikácií|Rozdelenie typov testovacích útokov|Metodiky testovania zraniteľností|Teória útokov SQL injection, XSS, DoS a protiopatrenia|Reálne príklady útokov na web aplikácie|Penetračné testovanie fakultného servera|}}

= =
Medzi najznámejšie metodiky patri:
*OWASP (Open Web Application Security Project)
*SANS (SysAdmin, Audit, Network, Security)

Tieto metodiky sú zostavené tak, aby bol penetračný test dobre vyhodnotiteľný a bola minimalizovaná šanca, že bola niektorá podstatná časť testu vynechaná.
Metodika OWASP
Pomáha identifikovať bezpečnostné hrozby (zraniteľnosti) webových aplikácií. Je to špecifikácia hrozieb a spôsobov obrany proti nim. Je to vlastne zoznam bezpečnostných nedostatkov, na ktoré sa viaže najviac úspešných útokov cez internet. K najúspešnejším patria tieto zraniteľnosti:
*Zneužitie servera na odosielanie skriptov (XSS)
*Cross Site Request Forgery (CSRF/XSRF)
*SQL injection
*Malicious File Execution
*Nekorektné spracovanie chyby
*Porušenie správy účtov a relácií
*Nezabezpečené ukladanie údajov
*Nezabezpečená komunikácia
*Neoverený vstup
*Pretečenie zásobníka
*Narušenie kontroly prístupu
*Odmietnutie služby (DoS - denial of service)
*Nezabezpečená správa konfigurácie
*Insecure Direct Object Reference

==Metodika SANS==
SANS  Institute v spolupráci s NIPC  pre FBI asi pred šiestimi rokmi vydal materiál Ten Most Critical Internet Security Vulnerabilities (Desať najkritickejších internetových bezpečnostných zraniteľností). Skladba hrozieb a slabín sa priebežne aktualizuje. Špecifikácia má tvar zoznamu dvadsiatich bezpečnostných nedostatkov, 10 pre Windows a 10 pre Unix, na ktoré sa viaže najviac úspešných útokov. Sú to tieto nedostatky: [1]

#Bezpečnostné nedostatky pre Windows:
#*Webové servery a služby
#*Služba pracovnej stanice
#*Služby vzdialeného prístupu
#*Microsoft SQL Server
#*Autentifikácia
#*Webový prehliadač
#*Aplikácie spoločného využívania súborov
#*Odhalenie (LSAS Exposures)
#*Poštový klient
#*Instant Messaging (IM)
#Bezpečnostné nedostatky pre Unix
#*Systém doménových mien BIND
#*Web Server
#*Autentifikácia
#*Systém kontroly verzií
#*Služba poštového prenosu (Mail Transport Service)
#*SNMP – Simple Network Management Protocol
#*Open Secure Socket Layer (OpenSSL)
#*Zlá konfigurácia služieb (Misconfiguration of Enterprise Services)
#*Databázy
#*Jadro (Kernel)