Политики тестирования FAST: обзор

В своей работе FAST использует политики тестирования, которые позволяют задать поведение FAST-ноды при тестировании целевого приложения на уязвимости. Набор документов в этом разделе содержит все необходимые сведения по работе с политиками тестирования.

Соглашение о терминах

Далее во всех документах в этом разделе будет использоваться термин «политика» в качестве сокращенного варианта термина «политика тестирования FAST», если не указано иное.

Принципы работы политик

FAST использует представление элементов запроса в виде point’ов, и работает только с теми базовыми запросами, которые содержат в себе один или несколько разрешенных для обработки point’ов. Перечень таких point’ов задается при помощи политики, и если в запросе отсутствуют разрешенные point’ы, то он будет отброшен и на его основе не будет создано тестовых запросов.

Политика определяет:

  • Каким образом должно проводиться тестирование.

    В процессе тестирования FAST может использовать один или несколько из следующих методов:

    • поиск уязвимостей с помощью встроенных расширений FAST (также известны как детекты);
    • поиск уязвимостей с помощью пользовательских расширений;
    • поиск аномалий с помощью фаззера FAST.
  • С какими элементами базового запроса может работать FAST-нода при тестировании приложения на уязвимости.

    Разрешенные для обработки point’ы задаются в разделе «Insertion points» мастера создания политики (секция «Where in the request to include»).

  • С какими элементами базового запроса не может работать FAST-нода при тестировании приложения на уязвимости.

    Запрещенные для обработки point’ы задаются в разделе «Insertion points» мастера создания политики (секция «Where in the request to exclude»).

    Механизм запрета обработки point’ов может быть полезен, если point’ы в секции «Where in the request to include» охватывают большое множество разрешенных для обработки элементов запроса (например, все GET-параметры: GET_.*), и при этом надо запретить обработку отдельных элементов запроса, также входящих в это множество (например, отдельный GET-параметр uid: GET_uid_value).

Область действия политики

FAST-нода работает только с теми point’ами, которые разрешены политикой (с учетом явно запрещенных point’ов).

Обработка любых других point’ов в запросе не производится.

Пример политики.

Пример политики

Иллюстрация выше демонстрирует политику, используемую FAST-нодой в процессе тестирования на уязвимости. Эта политика разрешает работу со всеми GET-параметрами базового запроса, кроме GET-параметра token, который всегда должен передаваться целевому приложению в неизменном виде.

Также политика позволяет использовать расширения FAST и пользовательские расширения, при этом фаззер неактивен.

Таким образом, поиск уязвимостей с помощью детектов и расширений будет выполнен только для базового запроса A (/app.php?uid=1234).

Для базового запроса B (/app.php?token=qwe1234) не будет выполнен поиск уязвимостей, поскольку он не содержит GET-параметра, который можно обрабатывать (несмотря на то, что разрешена обработка всех GET-параметров, обработка конкретно этого параметра явно запрещена политикой).

results matching ""

    No results matching ""