🕵️♂️
Шеф нас вскрыли, что будем делать? #ПилюСтартап #Безопасность
Когда ты относительно небольшой сервис, то ты можешь позволить себе делать сервис абы как, чтобы проверить теории, найти целевую аудиторию и т.д. Но как только сервис становится востребованным и поток клиентов стабилен, жизненно необходимо сразу же вкладываться в безопасность, хотя бы в автоматические инструменты тестирования.
Как только сервис начнёт хайпить все ваши силы будут тратиться на поддержание и оптимизации, но никак не на безопасность, а с любым ажиотажем, как известно приходят те, кто хочет на нем заработать и часто это не самые честные люди. Текущая
история с Zoom является очень показательной в этом плане. Сначала им наверняка начали присылать отчеты по безопасности, но в связи с возрастающей каждый час нагрузкой (у меня даже знакомые бабушки начали спрашивать про Zoom) они просто не успевали их закрывать, как следствие вся эта информация выплеснулась в открытый доступ. Теперь ребят вероятно будут ждать суды, так как американское общество/правительство любит погреться на таких штуках (последние скандалы с facebook и google тому пример), особенно учитывая современную экономическую ситуацию.
Конечно, автоматическое тестирование пока не способно заменить полностью людей, так как они не способны найти сложные кейсы с использование контекста, поэтому существуют специальные площадки, где можно заказать тестирование
Вообще есть много способов отловить процентов 40 злоумышленников aka мамкиных хакеров еще на входе и об этом я напишу более развернутый пост, а пока...
Вот несколько инструментов для тестирования:
-
Nessus - даже бесплатная версия даст вам много информации по проекту
-
Vega - мощный и бесплатный инструмент, но возможно придется помучиться с установкой
-
Kali - не просто инструмент, а полноценная ось для пентестеров включающая в себя кучу уже предустановленных инструментов
-
Nikto - самые простые вещи поможет выявить
-
nmap - сканер сетей
-
JMeter - поможет проверить какую нагрузку сервис сможет держать
-
Siege и
AB - похожи на JMeter но послабее, хотя для базового тестирования производительности вполне пригодятся
Инструментов, конечно, гораздо больше и каждый может себе подобрать именно те, что ему больше по душе, а может просто начать штудировать
OWASP и искать все самому руками. Главное это подбирать и не откладывать в очень уж долгий ящик.