Automatizace penetračních testů v režii IBM AppScan EnterpriseIdentifikovat chyby v...

transcript

Automatizace penetračních

testů v režii IBM AppScan

Enterprise

Jiří Kohout

14. října 2015

Agenda

Přístup Unicornu k penetračním testům

Možnosti IBM AppScan Enterprise

Architektura IBM AppScan Enterprise

Ukázky workflow

Případy užití

Přístup Unicornu – globální pohled

Přístup Unicornu – AppScan Ent.

Penetrační testy v kostce

Statická analýza

- Analýza zdrojového kódu

- Během vývoje aplikace

- Sledování toků informací/ / Hledání vzorů

Dynamická analýza

- Korelace dynamické a statické analýzy

- Odstranění zranitelnosti s pomocí identifikace závadného řádku kódu

Hybridní analýza

- Analýza nasazené webové aplikace

- Během testování - Manipulace s HTTP zprávami

Analýza kódu na klientovi

- Analýza staženého JavaScriptu spouštěného na klientovi

Run-time analýza

- Kombinace dynamické analýzy s run-time agentem (GlassBox)

- Doplnění výstupu a dodání přesnosti zjištění

Všechny zranitelnosti

Architektura – komponenty

AppScan Standard

AppScan Source

For Analysis

For Automation

For Development and Remediation

Database (Oracle DB, solidDB)

AppScan Standard

AppScan Source

AppScan Enterprise Server

Enterprise Console

Dynamic Analysis Scanner

Architektura

Aplikační prostředí

Centrální automatizované scannery

Klientské scannery

Infrastrukturní servery

Rational LicenseKey Server

AppScan Enterprise

ASE DAS

ASE DB

Active Directory

AppScanStandard

AppScan Sourcefor Automation

AppScanSource for Analysis

Aplikační serverWeb server

Firewall

F5/Imperva

AdministratorAuditor

Reporter

AppScanSource for

Development

Internet

Úložiště skenů, mgmt., plánovač, konzole řízení rizik

Autentizace, licence, databáze

Minimální workflow

Zdroj: IBM

Základní workflow

Zdroj: IBM

Workflow středního rozsahu

Zdroj: IBM

Plnohodnotné workflow

Zdroj: IBM

Rozšířené workflow

Zdroj: IBM

Možnosti nasazení

Zdroj: IBM

Případy užití

Identifikovat chyby v návrhu/implementaci v raných fázích vývoje

Úspora finančních prostředků při opravě zjištěných zranitelností

Audit kódu součástí vývojového procesu

Standardizované a automaticky opakované testy

Nástroj pro řízení rizik pro všechny webové aplikace

Pozitivní dopady na vývoj moderních mobilních aplikací

Úspora finančních nákladů za penetrační testy

Kontinuální sledování rizik s včasnou mitigací

Integrace

SW repozitáře, IDE, WAF, SIEM

Nasazení AppScan Ent.

Dvě základní části

Vlastní nasazení

Kompletní realizace < 90 dní

Kontakt

Děkuji za pozornost

Jiří Kohout

Automatizace penetračních testů v režii IBM AppScan EnterpriseIdentifikovat chyby v...

Documents