好奇心が強い統計。
他のすべてのものと同様に、ハッカーの活動も調査され、カウントされます。 さらに、この数字は、プロの環境に存在する数字と異なる場合があります。 たとえば、ガートナーは、すべての攻撃の75％の標的がWebアプリケーションであると推定しました。 そして、すべてのアプリケーションの3分の2が脆弱です。 実際、あなた自身のセキュリティ専門家がいなければ、ファイアウォールを使用して定期的にチェックしていても、いつでも好きなときにハッキングされます。 最も人気のある攻撃ツールはXSSおよびSQLインジェクションであることが判明しましたが、それ以前はすべてのサーバーレベルの保護は役に立たず、攻撃はアプリケーションレベルで行われていました。 さらに、人々がサーバーを保護してお金を使う方法を学んだ限り、アプリケーションではそうではないので、75％の価値がそこから生まれます。 さらに、セキュリティテストはプロジェクトの最後に実行され、多くの場合、結果に影響を与える「残余原則」まで拡張されます。
どうして起こるの
最も一般的な2つのテクノロジー、XSSとSQLインジェクションを検討してください。
XSSテクノロジー（クロスサイトスクリプティング）の本質は、アドレスバーで被害者にjavascriptを渡すことです。 たとえば、被害者が使用する銀行の企業テンプレートに電子メールを送信します。 一部の単語はリンクとして強調表示され、ユーザーは、ドメイン名があったとしてもアドレスを見た後、アドレスに含まれるものに注意を払う可能性は低くなります。
そして、このjavascriptは、サイト内で呼び出されたため、サイトのセキュリティコンテキストにアクセスします。 つまり、この方法では、Cookieを盗み、スクリプトが起動された瞬間からブラウザ内のすべてのアクションを追跡し、ユーザーを不正なWebサイトにリダイレクトし、表示されたページのコンテンツを完全に変更できます。
驚くことではありませんが、これはこれまでで最も人気のある技術です。 ただし、SQLインジェクションは彼女に遅れをとっていません。 名前が示すように、アクションの原則は、ユーザーが入力したデータとともにSQLコマンドを送信することです。 非常に多くの場合、プログラマーは、怠慢または無意識のうちに、送信されたデータの検証を無視し、生成されたSQLクエリにそれが入ったフォームに直接挿入します。 また、攻撃者がそこにSQLコマンドを送信すると、低品質のプログラムによって自動的に生成されるそのクエリに直接移動するため、実行されます。
最も単純な例：ユーザーは製品の名前のリンクをクリックします。この名前には、アドレスバーにこの製品のデジタルIDが含まれています。 サイト上のスクリプトは、このIDをアドレスバーから直接リクエストテンプレートに置き換えて実行します。 SQLは広く使用されているオープンな言語であり、パターンがSELECT * FROM製品WHERE id = '...'のように見えるのは簡単です。アドレスバーの数字が省略記号に置き換えられます。 idに空の値が渡されるように、最初にアポストロフィを記述するだけで十分であり、独自のコマンドを記述し続けます。 トリックは簡単ですが、人気があります。
IBM Rational AppScanはこれをどのように処理しますか？
IBM Rational AppScanは、アプリケーションに対してブラックボックスアプローチを使用します。 最初に、彼はWebアプリケーションを調べ、独自のサイトモデルを構築します。 これらの結果に基づいて、選択されたテストポリシーに基づいて攻撃ベクトルを決定します。 次に、このポリシーに一致するさまざまなHTTP要求の送信を開始し、HTTP応答を解析します。
結果として何が得られますか？ サービスやjavascriptを含む一般的な脆弱性についてWebアプリケーションを自動的にスキャンおよびテストし、それらを修正することができる強力で理解可能なツールです（自動で実行できない場合、発見された脆弱性を閉じるアクションのリストを提供するなど）。 IBM Rational AppScanは、他のテストツールとシームレスに統合され、それらとの共同スケジュールとレポートが用意されている場合があります。 合計で、彼は安全要件の順守に関する40以上の既製のレポートを提供しています。
IBM Rational AppScanの非常に重要な特性は、非常に詳細なレポートと指示を提供するため、チームの高価なセキュリティスペシャリストを必要としないことです。 たとえば、各脆弱性には、ビデオクリップを含むなど、どのように動作し、どのように危険であるかについてのアクセス可能な説明が備わっています。 つまり、IBMの担当者は、すべての責任を持って教育コンポーネントにアプローチしました。
そして、それらは理解することができます：平均的なコンピュータリテラシーが高ければ高いほど、私たちのIT従業員にとっての問題は少なくなります。 知識は、情報を保護する最も効果的な方法です。 このアプリケーションはRationalと呼ばれ、美しい言葉のためだけではありません。