Як провести аудит безпеки з допомогою Acunetix Vulnerability Scanner?

Acunetix Vulnerability Scanner: переваги та можливості

Acunetix Vulnerability Web Scanner —  це один з найстаріших (відомий з 2005 року) та найпотужніших професійних інструментів для оцінки захищеності сайтів, веб-додатків, мережевих ресурсів. На сьогоднішній день, це одне з найавторитетніших IAST/DAST-рішень для автоматизованого пошуку ризиків та вразливостей електронних ресурсів. Маючи Acunetix у своєму арсенсалі, з легкістю можна виявляти та визначати поширені вразливості, загрози і недоліки кібербезпеки.

Функціональні можливості:

• Кросплатформність: підтримка OS Linux, Windows, MacOS;
• Підтримка веб-серверів Apache/NGINX;
• Уміння тестувати SQL/PHP/XXE/CRLF-ін’єкції, XSS/CSRF/SSRF/RFI/RCE вразливості;
• Розуміння технологій HTML5, JS, Java, AJAX, PHP, Ruby, React, Vue, Angular, Node.js, ASP.NET та їх тестування;
• Розуміння структури популярних CMS WordPress/Drupal/Joomla, аналіз вразливостей в їх компонентах, темах, плагінах;
• Наявність модуля “AcuSensor”  –  суттєво покращує результативність сканування, дає можливість виконувати інтерактивне IAST-тестування, аналізуючи і експлуатуючи вразливості в режимі сірого ящика (GreyBox), проводячи аналіз вихідного коду додатків PHP, .NET, Java або Node.js. Скачується окремо і ставиться на стороні сервера;
• Наявність модуля “AcuMinitor” – виявлення поширених вразливостей через віртуальний браузер.
• Підтримка технологій SmartScan (розумного пошуку) та DeepScan (глибокого пошуку);
• Перевірка на відповідність стандартам OWASP Top 10/ISO27001/PCIDSS/HIPAA/NIST, класифікація вразливостей по базам CWE/CVE;
• Інтеграція з популярними таск-трекерами та платформами: Jira, Trello, GitHub, GitLab, Azure DevOps, Microsoft Team, Bugzilla, Mantis, Jenkis;
• Інтеграція з файєрволами Fortinet/Citrix/Imperva/AWS та іншими IPS/IDS системами (доступний експорт правил);
• Вбудований мережевий сканер, інтеграція з OpenVAS (безпека локальної мережі);
• Масовий імпорт цілей;
• Підготовка інформативних звітів з рекомендаціями;
• В базі Acunetix більше 4500 маркерів вразливостей!

Як бачимо, Acunetix Vulnerability Scanner – це досить об’ємне, комплексне рішення. Перейдемо тепер безпосередньо до роботи з ним.

Аудит безпеки з Acunetix Vulnerability Scanner

Завантажити додаток можна з офіційного сайту за посиланням.

Розгортати Acunetix пропоную на окремій віртуальній машині або RDP/VNC-сервері.

Примітка: Перш за все варто наголосити, що всі продукти компанії Acunetix розповсюджуються лише за комерційною ліцензією, тут немає безкоштовних версій, подібно до Burp Suite Community Edition. Є лише Trial, який видається на обмежений строк для корпоративних клієнтів для ознайомлення. Для цього власнику компанії необхідно написати в технічну підтримку support@acunetix.com й з вами зв’яжеться дилер, який проведе процедуру верифікації/реєстрації і видасть ключ активації.

Встановлення відбувається в автоматичному режимі, треба лише запустити інсталяційний Bash-скрипт (Linux) або exe-файл (Windows) на виконання.

Після того як будуть розгорнуті усі необхідні служби та компоненти, можна перейти у веб-інтерфейс сканера, який доступний за локальною URL-адресою: https://localhost:3443. Для входу використовується стандартна форма: логін/пароль.

Щоб розпочати сканування, необхідно спочатку додати в систему нову ціль (target). Це можна зробити обравши в сайдбар-меню пункт Targets -> Add Targets:

При створенні нового проєкту Acunetix запропонує ввести URL або IP-адресу цілі:

Тут можна вказати або кореневий домен – Acunetix просканує повністю всю його структуру, або підпапку – Acunetix обмежиться лише її скануванням, включаючи усі підпапки та файли.

Опція Network Scans Only – означає перевіряти тільки мережевий периметр, зовнішні веб-інтерфейси скануватися не будуть.

Кнопка Import CSV дозволяє імпортувати CSV-файл списку цілей. Підійде для масового сканування. 

Щоб продовжити, натискаємо Save.

Потрапляємо в деталізоване налаштування проєкта – Target Settings, де є ряд вкладок з опціями цілі:

• Вкладка “Target Information”
  • Project Name – вказати назву проєкту.
  • Business Ctitically – відповідає за рівень критичності сканування, можна обрати такі режими як: Low, Normal, High, Critical. Це дозволяє зосередити сканування на більш критичних або менш критичних елементах.
  • Default Scan Profile  – тип сканування, можна обрати: Full Scan, Critical/High Risk, Critical/High/Medium Risk, XSS, SQLi, Weak Passwords, Crawl Only, OWASP top 10, PCI Checks, SANS Top 25, Malware Scan. Кожен з них передбачає відповідність тій чи іншій методології. Можна також додати власний профіль, попередньо створивши його в розділі “Scan Profiles”.
  • Scan Speed  – швидкість сканування, доступні опції: Slower, Slow, Moderate, Fast. Наприклад, режим Slow встановлює 50 мілісекундну затримку між запитами і дозволяє 2 одночасних з’єднань. Ця опція може знадобитися для сканування сайтів, які містять фаєрволи, які обмежують високоінтенсивне сканування.
  • Continious Scannings – це сканування по розкладу, яке буде проводитися регулярно щодня в автоматичному режимі.
  • Site Login – тут можна вказати дані авторизації, якщо доступ до ресурсу обмежений. Сканер також протестує форму входу на брутфорс-перебор, але цю опцію можна відключити обравши “Do not test login forms”.
  • Business Login Recorder  – створення або імпорт спеціального макроса (сценарія) для виконання різноманітних автоматизованих дій на сайті, наприклад заповнення форм.
  • AcuSensor  – інтерактивний IAST модуль сканування, який задіює глибинну перевірку програмних компонентів досліджуваної системи: JAVA, PHP, NET, Node.js. Вимагає окремого ручного встановлення і конфігурації на стороні сервера.

• Вкладка “Crawling”
  • User Agent – вибір юзер-агента браузера, у списку доступні: Default, Google Chrome, Internet Explorer, Mozilla Firefox, Opera.
  • Case Sensitive Paths – дозволяє включити перевірку шляхів з чутливим регістром (верхній/нижній).
  • Limit Crawling to address and sub-directories only – обмежити краулінг адресою та субдиректоріями сайту. Тобто, субдомени враховуватися не будуть.
  • Exclude Paths – виключає додані вручну директорії.
  • Import Files / API Definitions – дозволяє імпортувати додаткові файли і заготовки для сканування, наприклад список адрес для сканування або скрипти Selenium.

• Вкладка “HTTP”
  • HTTP Authentication – автентифікація по протоколу HTTP.
  • Client Certificate – автентифікаія через клієнтський сертифікат.
  • Proxy Server – автентифікація через проксі-сервер.

• Вкладка “Advanced”
  • Custom Headers – додати вручну додаткові HTTP-заголовки, які будуть використовуватися при скануванні і тестуванні. Це може бути корисно, якщо наприклад треба обійти той чи інший захист (Bypass WAF).
  • Custom Cookie – аналогічно, можна додати кукі.
  • Issue Tracker – створення та відстеження задач для розробників.
  • Allowed Hosts – додати додаткові ресурси, які будуть скануватися разом з основою ціллю.
  • Knowledge Base – включити або вимкнути використання вбудованої бази знань Acunetix, яка використовується для опису вразливостей та рекомендацій.
  • Excluded Hours – вказати години сканування, якщо включене по розкладу (див. вище “Continious Scanning”).
  • Scanning Engine – обрати додатковий механізм сканування.
  • Block requests to Ad services (recommended) – блокувати запити до рекламних ресурсів.
  • Debug scans for this target – вмикає журнал налагодження, для Linux – /home/acunetix/.acunetix/data/scans/, для Windows – C:\ProgramData\Acunetix\shared\scans.

Запуск сканування відбувається після натиснення кнопки “Scan”, що знаходиться у правому верхньому кутку вікна (попередньо бажано також натиснути “Save”, щоб зберегти задані налаштування в проєкті).

Після цього з’явиться діалогове вікно, у якому необхідно обрати три завершальні опції:

• Scan Profile – профіль сканування, доступні такі режими: Full Sсan, Critical/High Risk, Critical/High/Medium Risk, XSS, SQLi. Як можна зрозуміти з назв, кожен з них орієнтується на виявлення різних типів вразливостей, але режим Full Scan – враховує все.
• Report – дозволяє вказати тип звіту. Доступні такі варіанти: Standard Reports – Affected Items (звіт тільки про уражені об’єкти), Comprehensive (комплексний класичний звіт), Developer (звіт для розробників у вигляді ТЗ), Executive Summary (звіт з підсумковими даними, резюме для керівників та менеджерів), Quick (експрес-звіт); Compliance Reports – CWE Top 25, DISA STIG, HIPAA, ISO 27001, NIST SP 800-53, OWASP Top 10, PCI-DSS, Sarbanes Oxley, WASC.
• Schedule – дозволяє обрати час сканування: Instant (запустити негайно), Future Scan (за розкладом), Recurrent Scan (регулярні повторні сканування за розкладом).

Після натискання кнопки Create Scan розпочнеться довгоочікуваний процес сканування. Ми потрапляємо на сторінку сканування з відображенням перебігу подій:

Окрім загальної інформації тут буде також декілька вкладок:

• Scan Information  – загальна інформація про сканування;
• Vulnerabilities  – виявлені вразливості та їх докладний опис;
• Site Structure  –  структура просканованого сайту у вигляді дерева файлів та папок й відображення по ним знайдених вразливостей;
• Scan Statistics  – статистика про перебіг сканування, кількість відправлених запитів, URL-адреси цілей та інше;
• Events  –  основні події сканування, дата і час запуску і т.д.

Новостворений проєкт також відобразиться на лістингу проєктів в розділі Scans:

Якщо є потреба посортувати проєкти, то скористайтеся меню Target Groups. Тут можна створювати різні групи для своїх проєктів.

Після того як сканування завершено, звіт стане доступним у розділі Reports і його можна буде завантажити в форматі PDF/HTML:

Також можна повторно генерувати звіти будь-якого типу безпосередньо на лістингу або на сторінці проєкту, натиснувши кнопку  Generate Report.

Звіт оформлений відповідно до сучасних вимог та стандартів й містить детальну інформацію по проєкту, доповнену інфографікою. Виявлені ризики та вразливості підсвічуються різними кольорами, відповідно до їх ступеня критичності: Зелений (Зауваги інформативного характеру), Блакитний (Вразливості низького, інформаційного рівня), Жовтий (Вразливості середнього рівня) та Червоний (Вразливості високого, критичного рівня).

У звіті до кожної знайденої вразливості наводять такі подробиці як:

• URL-адреса і деталі вразливого об’єкту;
• Короткий опис вразливості;
• HTTP-заголовки;
• Вплив і значення;
• Рекомендація щодо усунення вразливості;
• Класифікація;
• Посилання на джерела та документації.

Примітка: Отримані результати можуть варіюватися, в залежності від типу обраного звіту.

За потреби, на базі виявлених вразливостей, Acunetix може сформувати правила безпеки для популярних фаєрволів (WAF). Необхідно перейти в проєкт й натиснути “Export to”:

В розділі Users можна додати нового користувача в систему з правами доступу до проєктів.

В розділі Settings знаходяться глобальні технічні налаштування сканера Acunetix.

Висновки

Acunetix Vulnerability Scanner  – це  професійний інструмент з кібербезпеки Premium-класу. Такою кількістю фіч в одній коробці мало хто може похизуватися. Працювати з ним  –  одне задоволення!

Якщо Burp Suite вимагає від користувача конкретних технічних навичок, то Acunetix підійде не лише спеціалістам кібербезпеки, а й широкому колу власників електронних ресурсів. Тут  все інтуїтивно зрозуміло і доведено до автоматизму, а тому не складно розібратися.

Точність ідентифікації вразливостей, кількість, деталізованість та стиль звітів вражають й розкривають необмежений потенціал. Те, що можна довго і нудно комбінувати вручну, створюючи аудити з нуля, в Acunetix отримуєш однією кнопкою. Ось це і є автоматизація рутинних процесів у кращому вигляді. Сподобались також об’єм та фактаж наданих даних, багатопоточність, швидкодія і простота сканера.

Обширна База знань допоможе в опануванні Acunetix новачкам. Також додаток має власну CVE-базу вразливостей, що стане в пригоді аудиторам й пентестерам.

Загалом, Acunetix Vulnerability Scanner є прикладом довершеності та функціональності програмного забезпечення.

Усім власникам ІТ-інфраструктури рекомендується!

Читайте також: 

• Як провести аудит безпеки з допомогою BurpSuite PRO
• Приклад внутрішнього ІТ аудиту VPS-сервера
• Аудит Linux-сервера очима хакера
• ТОП сервісів для аудиту безпеки сайтів
• Пентест від А до Я: комплексне керівництво з тестування на проникнення