Bezpečnostný audit webu je systematická kontrola webu a servera zameraná na zraniteľnosti, ktoré by mohol zneužiť útočník. Výstupom je zoznam zistených rizík podľa závažnosti a odporúčaní na ich opravu.
Čo sa pri audite kontroluje?
| Oblasť | Príklady kontroly |
|---|---|
| Aktualizácie | Systém, témy, pluginy a knižnice, ktoré majú známe chyby |
| Prístupy | Silné heslá, počet správcov, zabezpečenie prihlásenia |
| Formuláre a vstupy | Ochrana pred SQL injection a vkladaním škodlivého kódu, ochrana proti spamu |
| Komunikácia | HTTPS, certifikát a bezpečnostné hlavičky |
| Server | Nastavenie prístupov, firewall a práva k súborom |
| Zálohy a obnova | Existencia záloh a overená možnosť obnovy |
Podľa čoho sa audit riadi?
Zdrojom je projekt OWASP. OWASP Top Ten je prehľad najkritickejších rizík webových aplikácií a OWASP Web Security Testing Guide opisuje, ako ich testovať. Audit sa môže robiť automatickými skenermi, ručnou kontrolou kódu a konfigurácie alebo penetračným testom, pri ktorom sa útok simuluje.
Na čo si dať pozor?
Bezpečnostné testovanie sa smie robiť len na webe, ku ktorému má testujúci súhlas vlastníka. Skenery často nahlásia aj nepodstatné nálezy, preto výsledok vyhodnocuje odborník. Audit je obraz stavu v danom čase. Bezpečnosť treba udržiavať aktualizáciami a zálohami. Pri podozrení na napadnutie kontaktujte hosting a postupujte podľa návodov na obnovu napadnutých webov.
Čo si zapamätať o pojme bezpečnostný audit webu?
Bezpečnostný audit webu hľadá zraniteľnosti v aktualizáciách, prístupoch, formulároch, komunikácii a serveri. Výsledkom je zoznam rizík s odporúčaniami, no platí len k dátumu kontroly. Kontrolu vášho webu vieme pripraviť, kontaktujte nás.
Ako to rieši webstrankanamieru.sk: Pri tvorbe webu na mieru sa pojem bezpečnostný audit webu rieši v rámci postupu opísaného v sekcii Proces tvorby webstránky. Hotové weby nájdete v portfóliu, orientačné ceny v cenníku a vlastný projekt môžete konzultovať cez kontakt.
Súvisiace pojmy: HTTPS, SSL certifikát, Firewall, SQL injection, reCAPTCHA, Zálohovanie webu, WordPress, SSH, SEO audit, Logovanie chýb
Často kladené otázky o pojme bezpečnostný audit webu
Čo je bezpečnostný audit webu?
Čo je OWASP Top Ten?
Je audit to isté ako penetračný test?
Môžem testovať bezpečnosť cudzieho webu?
Ako často audit opakovať?
Zdroje
- OWASP Top TenNajkritickejšie riziká webových aplikácií.
- OWASP Web Security Testing GuidePostup testovania bezpečnosti webu.
- MDN Web Docs: Web securityZáklady webovej bezpečnosti.