Vorpsel / Plataforma / Exposición
Web Application Scanner
Tus sitios y aplicaciones web están abiertos a cualquier persona en internet, incluidos los atacantes. El escáner los mira como lo haría un atacante, desde afuera, y te muestra las vulnerabilidades a corregir antes de que alguien las use.
En resumen
- Tus sitios públicos y las aplicaciones web detrás de ellos
- El sitio completo cada página y formulario que alcanza, mapeados primero
- Tres capas el servidor, las plataformas y la aplicación que construiste
- Hallazgos comprobados reportados solo cuando la respuesta del propio sitio los confirma
- Permiso por escrito confirmado por nuestro equipo antes del primer escaneo
Tu sitio es la única puerta abierta para todo el mundo.
Un firewall puede cerrar casi todo, menos el sitio que usan tus clientes. Cualquiera puede llegar a él, y es exactamente ahí donde empieza un atacante: leyendo las páginas, probando los formularios y buscando la versión de algo que tenga una falla conocida.
Un escaneo de aplicación web hace lo mismo, en tu nombre. Visita el sitio desde internet, entiende cómo está construido y lo prueba contra las vulnerabilidades que buscan los atacantes, para que la lista de lo que hay que corregir llegue primero a tu equipo.
Lo que examina
Un sitio son tres cosas apiladas, y cualquiera de ellas puede ser el punto débil. El escáner revisa las tres en la misma ejecución.
El servidor
El servidor web que responde a cada visita y la conexión segura delante de él.
Versiones desactualizadas, configuraciones débiles de cifrado y problemas de certificado.
Las plataformas
Aquello sobre lo que está construido el sitio: gestores de contenido, frameworks, tiendas y paneles de administración.
Versiones con vulnerabilidades publicadas y paneles dejados abiertos a internet.
Tu aplicación
Las páginas, formularios y funcionalidades que escribió tu propio equipo, que ningún proveedor va a corregir por ti.
Fallas en la forma en que la aplicación trata lo que los visitantes le envían.
Cómo funciona un escaneo
Indicas la dirección del sitio. Todo lo demás ocurre solo, en este orden, y el escaneo nunca sale de ese sitio.
Mapear el sitio.
Desde la página de inicio, el escáner sigue los enlaces y reúne las páginas y formularios que puede alcanzar, como lo haría un visitante.
Reconocer lo que corre.
Identifica el servidor, las plataformas y sus versiones, para que cada parte se revise contra lo que se sabe de ella.
Probar.
Cada página y formulario encontrado se prueba contra las vulnerabilidades que buscan los atacantes, sin molestar a quienes usan el sitio.
Reportar lo comprobado.
Una vulnerabilidad solo se convierte en hallazgo cuando la respuesta del propio sitio la confirma. Las suposiciones nunca llegan a tu lista.
Un hallazgo con el que tu equipo puede actuar
Una lista de problemas solo sirve si un desarrollador puede abrirla y corregir el primer ítem hoy. Cada hallazgo responde las preguntas que haría.
- Qué tan grave es
- Una severidad, para que el equipo sepa por dónde empezar.
- Dónde está
- La página y el campo donde se encontró.
- La prueba
- Lo que respondió el sitio, para que nadie tenga que creerlo a ciegas.
- Por qué importa
- Lo que un atacante podría hacer con él, en palabras simples.
- Cómo corregirlo
- El cambio o la actualización que lo cierra.
- Cuándo se corrige
- El siguiente escaneo completo lo confirma y cierra el hallazgo solo.
Seguro en un sitio en producción
Solo tu sitioEl escaneo se queda en la dirección que indicaste y nunca sigue un enlace a otro sitio. Las direcciones dentro de redes privadas se rechazan.
Con tu permisoUn sitio nuevo, o modificado, solo se escanea después de que nuestro equipo confirma tu permiso por escrito para él.
Sin interrupcionesLas pruebas que podrían ralentizar o modificar el sitio quedan desactivadas, salvo que las actives y lo confirmes.
Cuándo escanear
Antes de un lanzamiento
Encuentra los problemas de un sitio o funcionalidad nuevos antes de que sean públicos.
Después de cada versión
Un cambio en el código puede abrir una falla que no existía la semana pasada.
Con programación
A diario, semanal o mensualmente, para detectar también vulnerabilidades nuevas en versiones antiguas.
Para auditorías y clientes
Demuestra que tus sitios se prueban con regularidad, con el historial para comprobarlo.
Preguntas frecuentes
¿Prueba las páginas que están detrás de un inicio de sesión?
No. Prueba lo que un visitante alcanza sin iniciar sesión, que también es lo que cualquier atacante en internet alcanza primero.
¿Puede romper mi sitio?
Las pruebas que podrían ralentizar o modificar el sitio vienen desactivadas por defecto. Con ellas desactivadas, el escaneo se comporta como un visitante cuidadoso.
¿En qué se diferencia de Network Scan?
Network Scan mira todos los puertos de una dirección y los servicios en ellos. Web Application Scanner mira dentro de un sitio: sus páginas, formularios y la aplicación detrás de ellos.
¿Cómo se cobra?
Por la cantidad de sitios escaneados en el mes. Habla con nuestro equipo para una cotización.
Módulos relacionados
Prueba tu sitio antes de que lo haga otra persona
Indica la dirección del sitio y confirma el permiso. El primer escaneo se ejecuta en cuanto nuestro equipo lo revise.