Spis treści
1. Co robi skaner
Skaner to program, który automatycznie sprawdza stronę pod kątem znanych problemów: nieaktualnych wersji systemu i wtyczek, brakujących nagłówków bezpieczeństwa, otwartych katalogów czy słabej konfiguracji szyfrowania. Działa szybko, jest powtarzalny i świetnie nadaje się do częstych kontroli.
2. Czego skaner nie zobaczy
Skaner nie rozumie, do czego służy Twój serwis. Nie sprawdzi, czy klient A nie zobaczy zamówienia klienta B po zmianie numeru w adresie, czy kod rabatowy da się wykorzystać wielokrotnie, ani czy proces płatności można obejść. To błędy logiki, a nie wersji, i znajduje je człowiek, który próbuje serwis nadużyć. Skanery bywają też źródłem fałszywych alarmów, które trzeba odsiać.
3. Co zawiera audyt
Audyt wykonuje specjalista. Korzysta z narzędzi, ale uzupełnia je ręcznymi testami według uznanych metodyk, takich jak OWASP Web Security Testing Guide. Wynikiem jest raport z opisem problemów, oceną wagi i planem napraw w kolejności ważności. Jak taki raport wygląda i jak go czytać, opisuję w artykule Co zawiera raport z audytu bezpieczeństwa.
4. Kiedy wystarczy skaner
- jako regularna, tania kontrola między audytami,
- przy prostej stronie wizytówce bez logowania i płatności,
- żeby szybko wychwycić nieaktualne wtyczki lub wygasający certyfikat.
5. Kiedy potrzebny jest audyt
- przed uruchomieniem sklepu lub aplikacji,
- gdy serwis przechowuje dane klientów albo przyjmuje płatności,
- po włamaniu, żeby ustalić, którędy wszedł atakujący,
- gdy aplikacja powstała szybko, na przykład z pomocą AI, i nikt jej nie sprawdzał.
Chcesz zobaczyć efekt pracy audytora? Pobierz przykładowy raport (PDF) z opisanymi podatnościami i planem napraw.
Pobierz przykładowy raport (PDF)Jak to połączyć
Rozsądne podejście to audyt raz na jakiś czas i regularne, automatyczne kontrole pomiędzy nimi. Audyt ustala stan wyjściowy i znajduje problemy, których narzędzia nie widzą, a skaner pilnuje, żeby nowe zmiany nie otworzyły starych dziur. Szczegóły zakresów znajdziesz na stronie audyt bezpieczeństwa strony lub sklepu.
