Rubrik: Produkte/System-, Netzwerk-, Datenbank- und Softwaremanagement

Manuelle Prüfung von False Positives

Scan zeigt nicht nur technische, sondern auch funktionale Schwachstellen auf

(31.03.11) - CIOs sind zunehmend besorgt über die Sicherheit ihrer Infrastrukturen, und dies gilt gerade auch für die Sicherheit von Webanwendungen. Von allen Schwachstellen, die 2010 entdeckt wurden, betrafen 63 Prozent der Webanwendungen.

Derzeit gibt es auf dem Markt zwei Arten von Lösungen zur Analyse des Sicherheitsniveaus: zum einen automatisierte Audits und zum anderen manuelle Prüfungen, die von Consulting-Firmen vorgenommen werden. Beide Modelle haben jedoch ihre Grenzen und bieten bzw. verwenden sehr oft Tools, die der Komplexität von Webanwendungen nicht ausreichend gerecht werden.

Deny All hat nun ihre Lösung "rWeb" um eine neue Option erweitert: den Penetrationstest "Edge".

Edge simuliert im Upstream Angriffe, die auf die getesteten Anwendungen durchgeführt werden könnten. Durch den automatischen Scan werden die Webanwendungen gründlich getestet. Der Scan wird als SaaS-Service durchgeführt.

Folgende Merkmale unterscheiden Edge von den beiden Arten von Analyselösungen:

·         Behandlung von False Positives (entdeckte Schwachstellen, die letztlich keine sind): Ein Experte von Deny All prüft diese manuell und bestätigt dann, ob es sich um echte Schwachstellen handelt oder nicht.

·         Ergänzung des technischen Ansatzes durch einen funktionalen Ansatz: Anders als die bestehenden Lösungen analysieren die Scans von Deny All auch die "Geschäftslogik". Es werden also nicht nur die technischen Schwachstellen aufgezeigt, sondern auch die funktionalen. Ein Beispiel für eine solche, funktionale Schwachstelle: Ein Feld ermöglicht die mehrfache Eingabe eines Promotion-Codes, der eigentlich nur zur einmaligen Eingabe vorgesehen ist. 

Der Edge Scan zeigt die ermittelten Schwachstellen in Form vollständiger Analyseberichte und Screenshots an. Die Lösung ist als Option von rWeb verfügbar, aber auch als eigenständiges Produkt erhältlich. (Deny All: ma)