Dynamicke scannery webovych aplikaci v cloudu
- 1. Dynamické skenery webových aplikací v cloudu Jan Horalík, Zonky
- 2. Princip ● HTTP proxy ● Sledování HTTP zpráv a URL ● Modifikace HTTP požadavků
- 3. Klasika – desktop ● Burp Suite ● ZAProxy
- 4. Budoucnost - SaaS ● Není nutná instalace ● API, integrace s CI nástroji ● Nastavení policy (OWASP, PCI, SAP, …) ● Popis prostoru aplikace – Selenium, Burp log ● Historie a správa skenů a chyb
- 5. Acunetix ● Dynamický, síťový scan ● Plusy – Pěkné UI ● Mínusy – Stabilita – “Tajemné” API – Pomalé
- 6. Qualys ● Dynamický, síťový scan ● Plusy – Stabilita – Možnost zadat více uživatelů pro aplikaci – Zdokumentované API ● Mínusy – Starší UI – API za příplatek
- 7. Veracode ● Statický, dynamický, knihovny ● Plusy – Snaha jít přímo k vývojáři, plugin do IDEA – Korelace statického a dynamického scanu – Databáze zranitelností v knihovnách ● Mínusy – Vyšší cena
- 9. Q&A