Audyt bezpieczeństwa, po którym zostają poprawki, a nie PDF.

• Wysoka

  Domyślne hasło administratora w kodzie źródłowymKod

  Co widzimy

  Zapasowe konto administratora powstaje z hasła zapisanego w kodzie: każdy, kto widział repozytorium, loguje się do świeżej instalacji.

  Jak naprawiamy

  Pierwszy administrator powstaje z sekretu ustawionego przy wdrożeniu i tylko wtedy, gdy nie ma innego.

  Zasada

  Żadnych danych logowania w kodzie, nawet domyślnych.

• Wysoka

  Zastrzeżone pozycje dostępne przez publiczne APIKod

  Co widzimy

  API ufa liście przysłanej przez przeglądarkę i nie sprawdza, który katalog użytkownik może widzieć.

  Jak naprawiamy

  Serwer sprawdza uprawnienie przy każdym żądaniu; zamknięte strony wydają podpisany token.

  Zasada

  Serwer ponownie sprawdza każde uprawnienie; przycisk na stronie niczego nie dowodzi.

• Wysoka

  Środowisko uruchomieniowe bez wsparciaPakiety i wersje

  Co widzimy

  Produkcja działa na środowisku i frameworku, dla których skończyły się aktualizacje bezpieczeństwa: znane CVE mają zastosowanie, a łatki nie będzie.

  Jak naprawiamy

  Plan aktualizacji według ekspozycji: test na kopii, wdrożenie usługa po usłudze.

  Zasada

  Każde środowisko w inwentaryzacji ma obok datę końca wsparcia.

• Wysoka

  Pliki repozytorium czytelne przez HTTPInfrastruktura

  Co widzimy

  Katalog główny strony odwzorowuje repozytorium, więc notatki z kodami dostępu, skrypty i konfiguracje narzędzi są o jeden URL od odwiedzającego.

  Jak naprawiamy

  Reguła na proxy odpowiada 404 na pliki repozytorium; sekrety wyjeżdżają z katalogu strony.

  Zasada

  Jeśli folder serwuje serwer www, wszystko w nim jest publiczne, dopóki reguła nie powie inaczej.

• Wysoka

  Panel administracyjny otwarty na cały internetDostęp

  Co widzimy

  Strona zarządzania bazą lub magazynem danych jest dostępna z każdego miejsca, a przed nią stoi tylko jej własny formularz logowania.

  Jak naprawiamy

  Przed stroną logowania staje VPN albo bramka zero trust z jednorazowym kodem.

  Zasada

  Panel admina to nie strona publiczna, nawet za hasłem.

• Wysoka

  Foldery z danymi poza kopią zapasowąDane i utrzymanie

  Co widzimy

  Przesłane pliki, baza danych i ustawienia usług nie są nigdzie kopiowane: kopia obejmuje tylko to, co istniało w dniu jej ustawienia.

  Jak naprawiamy

  Każdy folder z danymi trafia do nocnego archiwum poza serwerem, a odtworzenie jest próbowane według harmonogramu.

  Zasada

  Usługa nie jest gotowa, dopóki jej dane nie są w kopii zapasowej.

• Średnia

  Eksport do arkusza uruchamia formuły z danych użytkownikaKod

  Co widzimy

  Imię zaczynające się od = trafia do eksportu CSV administratora jako działająca formuła (CSV injection).

  Jak naprawiamy

  Komórki zaczynające się od = + − @ są neutralizowane przed eksportem.

  Zasada

  Dane wyjściowe koduje się pod miejsce docelowe: HTML, CSV, e-mail.

• Średnia

  Jedno zepsute ciasteczko zatrzymuje usługę dla wszystkichKod

  Co widzimy

  Ciasteczko, którego parser się nie spodziewa, rzuca błąd poza obsługą i proces się kończy.

  Jak naprawiamy

  Ostrożne parsowanie i ostatnia obsługa błędów: żądanie dostaje błąd, proces działa dalej.

  Zasada

  Każde wejście jest wrogie, nagłówki i ciasteczka też.

• Średnia

  Zależności z opublikowanymi podatnościamiPakiety i wersje

  Co widzimy

  Pliki lock przypinają biblioteki ze znanymi CVE i nic nie informuje zespołu o nowych.

  Jak naprawiamy

  Kontrola zależności w CI zatrzymuje build przy wysokiej wadze; reszta trafia do cotygodniowego raportu.

  Zasada

  Zależność to kod, którego nikt w zespole nie czytał: śledź ją jak własny.

• Średnia

  Łatki bezpieczeństwa zainstalowane, ale nie działająPakiety i wersje

  Co widzimy

  Jądro i biblioteki systemowe są zaktualizowane na dysku, ale serwer nie był restartowany od miesięcy, a dziesiątki pakietów czekają w kolejce.

  Jak naprawiamy

  Comiesięczna runda aktualizacji z restartem i wpisem do dziennika.

  Zasada

  Łatka się liczy, gdy proces, który jej potrzebuje, został zrestartowany.

• Średnia

  Stare pliki, których wdrożenie nie usuwaInfrastruktura

  Co widzimy

  Wdrożenie kopiuje, ale nie usuwa: przemianowane foldery, stara kopia pliku środowiska i prywatne dokumenty leżą na serwerze latami.

  Jak naprawiamy

  Raport porównuje serwer z repozytorium; pozostałości znikają po zrobieniu kopii.

  Zasada

  Sprawdzaj, co leży na serwerze, a nie to, co powinno według repozytorium.

• Średnia

  Formularze logowania pozwalają zgadywać hasło bez limituDostęp

  Co widzimy

  Nieudane próby nie są liczone, hasło jest porównywane w zmiennym czasie, a ciasteczka sesji idą bez flagi Secure.

  Jak naprawiamy

  Tymczasowa blokada po kilku błędnych hasłach, porównanie w stałym czasie, ciasteczka z Secure.

  Zasada

  Wszystko, co sprawdza hasło, liczy też porażki.

• Średnia

  Wspólny limit, który może wyczerpać jeden odwiedzającyDostęp

  Co widzimy

  Śmieciowe żądania liczą się do wspólnego limitu, więc jeden adres może zablokować formularz prawdziwym użytkownikom.

  Jak naprawiamy

  Najpierw działa limit na adres; limit wspólny liczy tylko żądania, które przeszły walidację.

  Zasada

  Limit chroni użytkowników; sprawdzaj, kogo odcina.

• Średnia

  Ochrona włączona, ale nigdy nie ruszyłaDane i utrzymanie

  Co widzimy

  Timer banujący skanery jest włączony przy instalacji, ale nigdy nie ruszył: tygodniami na drodze stoi tylko limit żądań.

  Jak naprawiamy

  Próbny przebieg na żywym logu, potem start; kontrola stanu pokazuje wszystkie timery.

  Zasada

  Włączone to nie znaczy działa: sprawdzaj stan, nie konfigurację.

• Niska

  Strona błędu w cache dla wszystkich odwiedzającychInfrastruktura

  Co widzimy

  Odpowiedź limitu żądań przejmuje długi nagłówek cache obrazków i CDN serwuje ten błąd wszystkim.

  Jak naprawiamy

  Odpowiedzi z błędem nigdy nie trafiają do cache.

  Zasada

  Ochrona nie może zamienić się w odmowę usługi.

Nic nie pasuje do obu filtrów.