Сканирование веб-приложений

ScanSuite сканирует веб-приложения с аутентификацией и без неё. Для этого есть классические сканеры, собственный сканер AI DAST и агент пентеста ИИ.

Запуск веб-сканирования

1. 01
   Откройте раздел «Веб-приложения»
2. 02
   Укажите адреса

   Перечислите их через запятую или каждый с новой строки. К адресу без схемы ScanSuite добавит https://.

3. 03
   Выберите сканеры
4. 04
   Проверьте поле «Продукт»

   От него зависит, к какому продукту привяжутся результаты.

5. 05
   Настройте аутентификацию

   Cookie (Ключ=Значение, через точку с запятой), свой заголовок (Заголовок: значение, несколько — через |) или и то и другое.

6. 06
   Нажмите «Запустить анализ»

   Если в поле «Запустить или сохранить» выбрано «Запланировать», кнопка называется «Запланировать сканирование».

zoom_inУвеличить

Сканеры

AI DAST

Это сканер по принципу чёрного ящика: модель сама выбирает, куда бить, какой техникой и с какими значениями. Модули техник только выстраивают последовательность запросов и оценивают ответ. Когда модель закончит, сканер дополнительно прогоняет небольшой встроенный набор нагрузок. Если поставщик ИИ не отвечает, работает только этот набор.

1. 01
   Обнаружение

   Встроенный краулер вместе с импортированными результатами обхода собирает поверхность атаки: адреса, формы, параметры. Затем сканер сводит её к уникальным точкам, чтобы не проверять один и тот же параметр заново под каждым адресом, где он встречается.

2. 02
   Профилирование

   Отдельный проход определяет WAF и подбирает под него кодирование нагрузки. Профилировщик поверхности добавляет эндпоинты, до которых краулер не дошёл.

3. 03
   Проверка

   Для каждого эндпоинта модель выбирает технику и конкретные значения. Модуль отправляет запросы и сравнивает ответ с эталонным.

4. 04
   Подтверждение

   Предварительные доказательства проверяет второй проход. Он может отправить собственные запросы и либо подтверждает уязвимость, либо снимает её. Всё, что не доказано, в отчёт не попадает.

5. 05
   Отчёт

   Для каждой подтверждённой уязвимости указаны критичность, сработавшие нагрузки и HTTP-обмен, который её доказывает. Уязвимости сохраняются в ScanSuite.

Как сканер оценивает ответ

Изменился код ответа; на запрос с нагрузкой сервер вернул ошибку; в ответе отражается отправленный маркер; тело ответа заметно отличается от эталонного по содержанию или длине; в ответе есть характерные тексты ошибок; произошло перенаправление или сменился итоговый адрес; ответ пришёл на три секунды позже обычного. Модули техник добавляют свои признаки: тексты ошибок SQL и изменение поведения на логических условиях, вычисленные выражения и ошибки шаблонизаторов, вывод и задержку при инъекции команд, отрисованную нагрузку для XSS, разбор отрисованной страницы для хранимого XSS.

Покрытие техник

В сканере тридцать четыре модуля техник. Модель сама решает, какие из них применить к каждой точке входа и что отправить. Модуль выстраивает последовательность запросов и оценивает ответ.

Распределённое выполнение

Сканирования выполняют воркеры. Сканирование делится на задачи — по одной на каждый сканер и цель, а каждый воркер берёт по одной задаче. Поэтому сканирования и их сканеры идут параллельно. Чтобы запускать больше одновременно, добавьте воркеров. Как задать их число, описано в разделе Параметры настройки и сервисы.

Где искать результаты

AI DAST и пентест ИИ всегда сохраняют уязвимости в разделе «Уязвимости» ScanSuite, так же поступают Nessus Web и «Мои правила». Nuclei, Acunetix и результаты ZAP в быстром, полном режимах и API-сканировании попадают туда, только если на вкладке Сканирование команды включён параметр Сохранять уязвимости сканеров. Иначе классические сканеры пишут результаты только в Отчёт сканирования на странице «Сканирования» и, если у команды подключён DefectDojo, в DefectDojo. Если вы пользуетесь классическими сканерами, DefectDojo рекомендуется подключить (см. Настройка DefectDojo). Результаты сканеров Скрытые пути, Секреты и Технологии в DefectDojo не выгружаются никогда: смотрите их в отчёте.