OWASP Top 10 – czyli co każdy programista o bezpieczeństwie wiedzieć powinien #od0dopentestera
Niedostateczne logowanie i monitorowanie to ostatni z punktów na liście.
Ale jak to? Przecież brak logowania to nie jest błąd sam w sobie.
Przecież jeżeli nic nie logujemy, to też nic nie może zostać wykradzione.
A co w przypadku gdy ktoś włamie się do naszej aplikacji?
Jeżeli nie posiadamy logów, to nawet jeżeli wykryjemy włamanie, dalej nie wiemy kiedy miało miejsce, co było jego powodem, a także jakie dane zostały skradzione.
Na co zwrócić uwagę?
1. Prawidłowe logowania do systemów. Jeżeli pracujemy w Polsce a nagle widzimy adres IP należący do Nigerii – coś jest nie tak.
2. Czy nasze systemy mają dobrze ustawiony czas? 1.01.1970 00:00:00 może i ładnie wygląda ale niczego nam nie mówi.
3. Długie zapytania do bazy danych. Może ktoś wykorzystuje błędy typu Blind SQL Injection, w których przy pomocy czasu odpowiedzi można zwracać wartości prawda/fałsz?
4. Naruszenia polityki CSP pozwalają na wykrycie błędów XSS podczas pierwszych prób tworzenia działającego ataku.
5. Kto i w jaki sposób może wyłączyć monitorowanie? Czy istnieje metoda na weryfikację integralności danych? Po co nam systemy jeżeli atakujący może je zatrzymać lub wyczyścić.
6. Jak długo przechowujemy informacje? Czy można je w prosty sposób zaimportować do jednego, centralnego systemu?
Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Podobne materiały dostępne są również w formie podcastu na Google i Apple Podcasts oraz Spotify i Anchor.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.
#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #swiat #gruparatowaniapoziomu #biznes #security #programista15k
