使用Detectify资产监控提升Web应用程序安全

你如何确保你的应用程序和基础设施免受安全漏洞的威胁？

Detectify提供了一套完整的资产清单和监控解决方案，包括漏洞扫描、主机发现和软件指纹识别。它的使用可以帮助避免令人不快的意外，比如存在漏洞的未知主机或容易被劫持的子域名。

很多问题可能会出现，攻击者可以利用它们。一些常见的问题包括：

保持不必要的端口开放
公开不安全的子域名、敏感文件和凭证
保持.git文件可访问
潜在的OWASP顶级漏洞，如XSS、SSRF、RCE

你可以辩称我可以手动运行port scanner、find sub-domain、test for vulnerabilities等等。如果你只需要偶尔运行一次，这是可以的，但是如果你需要频繁运行，这将是耗时且不划算的。

那么解决方案是什么呢？

选择Detectify Asset Monitoring，它监控你的Web应用程序资产，并定期扫描上述所有讨论中的内容以及许多其他检查，以保证你的在线业务安全🛡️。

Detectify拥有自己的伦理黑客社区，用于众包漏洞研究，因此给出的警报是从真正攻击者的角度来的。
其他工具依赖签名和版本测试，更像是合规性而不是实际安全。Detectify黑客提供了用于构建安全测试的实际有效载荷，提供了一套在市场上其他产品中看不到的独特测试。
结果呢？一种更可靠的安全测试方式，只给出可以验证的结果。
真正值得修复的安全发现！

在他们的blog中，他们提到资产监控测试的开发时间从黑客发布到25分钟。

听起来有趣吗？

让我们看看它是如何工作的。

开始使用Detectify资产监控的第一步是验证你拥有要监控的域名，或者你被授权执行安全扫描。这是Detectify采取的必要步骤，以确保它揭示的敏感信息不会落入错误的人手中。

我们可以通过多种方式进行域名验证：通过上传特定的.txt文件到你的域名根目录，通过Google Analytics，通过DNS记录，或者通过网页上的元标签。如果自助服务方法都不适用于你，还有协助验证的选项。

创建扫描配置文件

设置Detectify的第二步是创建一个扫描配置文件，可以将其与站点上运行HTTP或HTTPS服务的任何域、子域或IP地址相关联。

设置扫描配置文件后，你可以使用不同的选项进行配置。

例如，你可以有两个与同一域关联但具有不同凭据的配置文件。这样，你可以对同一服务器执行两个不同的扫描并比较结果。

一旦配置好了扫描配置文件，你就可以通过按下想要使用的扫描配置文件旁边的开始扫描按钮进行扫描。仪表板将显示正在进行扫描。

执行扫描的时间取决于站点内容的数量。如果数量相当大，扫描可能需要几个小时，而在扫描进行中，你可能会注意到站点性能稍有下降。所以我的建议是在你的站点不太繁忙的时候进行扫描。

扫描报告

当Detectify完成对您的网站的扫描后，您将收到一封电子邮件来告知您。在该电子邮件中，它将告知您执行扫描所花费的时间，按其严重程度分组的问题数量，以及显示网站在安全方面好坏的整体威胁评分。

您可以通过查看最新的扫描报告并在信息发现列表中点击“已爬取的URL”项目来查看扫描期间爬取的URL。详细信息部分显示了爬虫在扫描期间尝试访问的URL数量以及其中识别为唯一的URL数量。

页面底部有一个超链接，可下载一个包含所有已爬取URL和每个URL状态代码的CSV文件。您可以查看此列表，以确保您网站的所有重要部分都已被访问。

为了制定纠正计划并在将来的扫描中获得更准确的结果，Detectify允许您将每个发现标记为“已解决”，“接受风险”或“误报”。如果您将一个发现标记为“已解决”，扫描器将在以后的报告中使用相同的标记，因此您无需再进行纠正。接受风险是指您不希望在每次扫描时报告的内容，而误报是指可能类似于漏洞但实际上不是漏洞的发现。