Testowanie bezpieczeństwa

Co to jest testowanie bezpieczeństwa?

Testowanie bezpieczeństwa to technika testowania mająca na celu określenie, czy system informacyjny chroni dane i zachowuje funkcjonalność zgodnie z przeznaczeniem. Ma również na celu zweryfikowanie 6 podstawowych zasad wymienionych poniżej:

• Confidentiality

• Integrity

• Authentication

• Authorization

• Availability

• Non-repudiation

Testowanie bezpieczeństwa - techniki:

• Injection

• Uszkodzone uwierzytelnianie i zarządzanie sesjami

• Skrypty między lokacjami (XSS)

• Niezabezpieczone bezpośrednie odwołania do obiektów

• Błędna konfiguracja zabezpieczeń

• Narażenie wrażliwych danych

• Brak kontroli dostępu na poziomie funkcji

• Fałszerstwo żądań między lokacjami (CSRF)

• Używanie komponentów ze znanymi lukami w zabezpieczeniach

• Niezatwierdzone przekierowania i przekierowania

Open Source / bezpłatne narzędzia do testowania bezpieczeństwa:

Produkt	Sprzedawca	URL
FxCop	Microsoft	https://www.owasp.org/index.php/FxCop
FindBugs	Uniwersytet Maryland	http://findbugs.sourceforge.net/
FlawFinder	GPL	http://www.dwheeler.com/flawfinder/
Ramp Ascend	GPL	http://www.deque.com

Komercyjne narzędzia do testowania zabezpieczeń:

Produkt	Sprzedawca	URL
Armorize CodeSecure	Armorize Technologies	http://www.armorize.com/index.php?link_id=codesecure
GrammaTech	GrammaTech	http://www.grammatech.com/
Appscan	IBM	http://www-03.ibm.com/software/products/en/appscan-source
Veracode	VERACODE	http://www.veracode.com