Александр Сербул Руководитель направления контроля качества интеграции и внедрений Автоматическая проверка безопасности интернет-проектов

Текущие инструменты безопасности Панель безопасности, журнал вторжений, одноразовые пароли, защита сессий и контроль активности – позволяют выстроить инфраструктуру защиты Проактивный фильтр (WAF) и веб-антивирус – защищают снаружи от имеющихся уязвимостей в коде, допущенных интегратором Текущие инструменты страхуют разработчика, значительно снижают последствия ошибок и усложняют взлом

Причины появления «дырявого» кода Написание устойчивого к взлому кода требует не только глубоких теоретических знаний, но и многолетней практики. Разработчик мыслит «креативно», хакер – «деструктивно». Программисту не хватает опыта аудита и «взлома» кода. API Bitrix Framework – взломоустойчива. «Дырявый» код возникает при интеграции, в кастомных страницах, компонентах и модулях.

Инструмент для аудита безопасности PHP-кода

XSS (Cross-site scripting) SQL инъекции Выполнение произвольного php кода Инструмент идентифицирует следующие возможные уязвимости: Выполнение произвольных системных команд Инъекции в заголовок ответа (HTTP Response Splitting) File Inclusion Подробности в блоге Андрея Красичкова: Технология – статический taint-анализ.

Инструмент для аудита безопасности PHP-кода Данные HTTP-запроса (GET, POST, PUT, COOKIE, SERVER) Environment, argv, argc Данные HTTP-запроса (GET, POST, PUT, COOKIE, SERVER) Environment, argv, argc Файл php или подключение компонента в публичной части Ядро компонента (component.php) result_modifier.php Шаблон компонента (template.php) Произвольный подключаемый файл (include) Автоматически отслеживается иерархия подключения (переопределения) файлов и ресурсов компонента: /bitrix/components/… /bitrix/templates/… и т.п.

Движение опасных данных «по файлам»

Отчет инструмента Отчет по возможным проблемам безопасности достаточно краток и точен, предназначен для разработчика или аудитора кода Эффективно определяются наиболее распространенные ошибки безопасности. Рекомендуется включить как ключевой этап в производство веб-проекта Инструмент постоянно развивается!

Новое «оружие» Веб-антивирус Проактивный фильтр Инструмент для аудита безопасности PHP-кода Журнал вторжений Панель безопасности Одноразовые пароли Защита административного раздела Защита сессий Шифрование пароля без SSL

Спасибо за внимание! Вопросы? Александр