Vorpsel / Plataforma / Exposição
Web Application Scanner
Seus sites e aplicações web estão abertos para qualquer pessoa na internet, inclusive atacantes. O scanner olha para eles como um atacante olharia, de fora, e mostra as vulnerabilidades a corrigir antes que alguém as use.
Em resumo
- Seus sites públicos e as aplicações web por trás deles
- O site inteiro cada página e formulário que ele alcança, mapeados primeiro
- Três camadas o servidor, as plataformas e a aplicação que você construiu
- Achados comprovados relatados só quando a resposta do próprio site os confirma
- Permissão por escrito confirmada pelo nosso time antes da primeira varredura
O seu site é a única porta aberta para todo mundo.
Um firewall consegue fechar quase tudo, menos o site que os seus clientes usam. Qualquer pessoa chega até ele, e é exatamente ali que um atacante começa: lendo as páginas, testando os formulários e procurando a versão de alguma coisa que tenha uma falha conhecida.
Uma varredura de aplicação web faz o mesmo, em seu nome. Ela visita o site pela internet, entende como ele foi construído e o testa contra as vulnerabilidades que os atacantes procuram, para que a lista do que corrigir chegue primeiro ao seu time.
O que ele examina
Um site são três coisas empilhadas, e qualquer uma delas pode ser o ponto fraco. O scanner verifica as três na mesma execução.
O servidor
O servidor web que responde a cada visita e a conexão segura na frente dele.
Versões desatualizadas, configurações fracas de criptografia e problemas de certificado.
As plataformas
Aquilo sobre o que o site é construído: sistemas de conteúdo, frameworks, lojas e painéis de administração.
Versões com vulnerabilidades publicadas e painéis deixados abertos para a internet.
A sua aplicação
As páginas, formulários e funcionalidades que o seu próprio time escreveu, que nenhum fornecedor vai corrigir por você.
Falhas na forma como a aplicação trata o que os visitantes enviam para ela.
Como uma varredura acontece
Você informa o endereço do site. Todo o resto acontece sozinho, nesta ordem, e a varredura nunca sai desse site.
Mapear o site.
A partir da página inicial, o scanner segue os links e reúne as páginas e formulários que consegue alcançar, como um visitante faria.
Reconhecer o que roda.
Ele identifica o servidor, as plataformas e as versões delas, para que cada parte seja verificada contra o que se sabe sobre ela.
Testar.
Cada página e formulário encontrado é testado contra as vulnerabilidades que os atacantes procuram, sem atrapalhar quem está usando o site.
Relatar o que foi provado.
Uma vulnerabilidade só vira achado quando a resposta do próprio site a confirma. Palpites nunca chegam à sua lista.
Um achado com que o seu time consegue agir
Uma lista de problemas só é útil se um desenvolvedor conseguir abri-la e corrigir o primeiro item hoje. Cada achado responde às perguntas que ele faria.
- Quão grave é
- Uma severidade, para o time saber por onde começar.
- Onde está
- A página e o campo onde foi encontrado.
- A prova
- O que o site respondeu, para ninguém precisar acreditar no escuro.
- Por que importa
- O que um atacante poderia fazer com ele, em palavras simples.
- Como corrigir
- A mudança ou a atualização que o fecha.
- Quando é corrigido
- A próxima varredura completa confirma e fecha o achado sozinha.
Seguro em um site no ar
Só o seu siteA varredura fica no endereço que você informou e nunca segue um link para outro site. Endereços dentro de redes privadas são recusados.
Com a sua permissãoUm site novo, ou alterado, só é varrido depois que o nosso time confirma a sua permissão por escrito para ele.
Sem atrapalharTestes que poderiam deixar o site lento ou alterá-lo ficam desligados, a menos que você os ligue e confirme.
Quando fazer a varredura
Antes de um lançamento
Encontre os problemas de um site ou funcionalidade novos antes que fiquem públicos.
Depois de cada versão
Uma mudança no código pode abrir uma falha que não existia na semana passada.
Com agendamento
Diariamente, semanalmente ou mensalmente, para pegar também vulnerabilidades novas em versões antigas.
Para auditorias e clientes
Mostre que os seus sites são testados com regularidade, com o histórico para provar.
Perguntas frequentes
Ele testa as páginas que ficam atrás de um login?
Não. Ele testa o que um visitante alcança sem entrar, que também é o que qualquer atacante na internet alcança primeiro.
Ele pode quebrar o meu site?
Testes que poderiam deixar o site lento ou alterá-lo vêm desligados por padrão. Com eles desligados, a varredura se comporta como um visitante cuidadoso.
Qual a diferença para o Network Scan?
O Network Scan olha todas as portas de um endereço e os serviços nelas. O Web Application Scanner olha dentro de um site: as páginas, os formulários e a aplicação por trás deles.
Como é o preço?
Pelo número de sites varridos no mês. Fale com o nosso time para uma cotação.
Módulos relacionados
Teste o seu site antes que outra pessoa teste
Informe o endereço do site e confirme a permissão. A primeira varredura roda assim que o nosso time conferir.