ส่วนประกอบ

Google ได้เปิดตัวเครื่องมือภายในฟรีหนึ่งตัวที่ใช้ในการทดสอบความปลอดภัยของแอพพลิเคชั่นบนเว็บ Ratproxy

A day with Scandale - Harmonie Collection - Spring / Summer 2013

A day with Scandale - Harmonie Collection - Spring / Summer 2013
Anonim

"เราตัดสินใจที่จะทำให้เครื่องมือนี้เป็นโอเพ่นซอร์สได้อย่างอิสระเนื่องจากเรารู้สึกว่านี่จะเป็นส่วนที่มีค่าต่อชุมชนความปลอดภัยข้อมูล ความเข้าใจของชุมชนเกี่ยวกับความท้าทายด้านความปลอดภัยที่เกี่ยวข้องกับเทคโนโลยีเว็บในปัจจุบัน "Michal Zalewski จาก Google กล่าวในบล็อกความปลอดภัยของ บริษัท

[อ่านเพิ่มเติม: วิธีลบมัลแวร์จากคอมพิวเตอร์ที่ใช้ Windows ของคุณ]

Ratproxy - ปล่อยออกมาในรูปแบบ 1.51 beta ซึ่งรวดเร็วและน่ารำคาญน้อยกว่าเครื่องสแกนเนอร์อื่น ๆ ที่เป็นแบบพาสซีฟและไม่ก่อให้เกิดการโจมตีที่จำลองการโจมตีในระดับสูงเมื่อทำงาน Zalewski เขียน เครื่องสแกนที่ใช้งานอยู่อาจทำให้เกิดปัญหากับการใช้งานได้

เครื่องมือนี้จะดูดเนื้อหาและสามารถเลือกตัวอย่าง JavaScript จากสไตล์ชีท นอกจากนี้ยังสนับสนุนการสแกน SSL (Secure Socket Layer) ด้วยคุณสมบัติอื่น ๆ

เนื่องจากทำงานในโหมดพาสซีฟ Ratproxy จึงเน้นประเด็นที่น่ากังวลว่า "ไม่จำเป็นต้องบ่งบอกถึงข้อบกพร่องด้านความปลอดภัยที่เกิดขึ้นจริงข้อมูลที่รวบรวมระหว่างช่วงการทดสอบควร จะถูกแปลโดยผู้เชี่ยวชาญด้านความปลอดภัยด้วยความเข้าใจที่ดีเกี่ยวกับปัญหาทั่วไปและรูปแบบการรักษาความปลอดภัยที่ใช้ในเว็บแอ็พพลิเคชัน "Zalewski เขียนไว้

Google ได้โพสต์ภาพรวมของ Ratproxy รวมทั้งลิงก์ดาวน์โหลดไปยังซอร์สโค้ด รหัสที่ได้รับอนุญาตภายใต้ใบอนุญาต Apache 2.0 อาจรวมอยู่ในงานลอกเลียนซึ่งรวมถึงเอกสารเชิงพาณิชย์ แต่ต้นกำเนิดของรหัสต้องได้รับการยอมรับ

การรักษาความปลอดภัยของแอพพลิเคชันเว็บแอ็พพลิเคชันที่อ่อนแอทำให้ บริษัท ยังคงลำบากซึ่งอาจก่อให้เกิดการสูญเสียข้อมูลลูกค้าหรือข้อมูลทางการเงิน

การสำรวจของ Web Application Security Consortium ในปี 2549 พบว่า 85.57% ของ 31,373 ไซต์เสี่ยงต่อการโจมตีด้วยสคริปต์ข้ามไซต์ร้อยละ 26.38 มีความเสี่ยงต่อการถูกแทรกแซงของ SQL และ 15.70 เปอร์เซ็นต์มีข้อผิดพลาดอื่น ๆ ที่อาจทำให้ข้อมูลสูญหาย

เป็นผลให้ผู้จำหน่ายระบบรักษาความปลอดภัยได้ย้ายไปเติมเต็มความต้องการเครื่องมือรักษาความปลอดภัยที่ดียิ่งขึ้นโดย บริษัท เทคโนโลยีขนาดใหญ่ที่ได้มาซึ่ง บริษัท ที่มีขนาดเล็กและมีความเชี่ยวชาญเฉพาะด้านในเดือนมิถุนายน 2550 ไอบีเอ็มได้ซื้อ Watchfire ซึ่งเป็น บริษัท ที่มุ่งเน้นที่ความเสี่ยงของแอพพลิเคชันเว็บ สแกน, การป้องกันข้อมูลและการตรวจสอบการปฏิบัติตามกฎระเบียบ สองสัปดาห์ต่อมา Hewlett-Packard กล่าวว่าจะซื้อ SPI Dynamics ซึ่งเป็นคู่แข่งของ Watchfire ซึ่งซอฟต์แวร์ของเขายังค้นหาช่องโหว่ในแอพพลิเคชันเว็บรวมถึงการตรวจสอบการปฏิบัติตามกฎระเบียบต่างๆด้วย