performance - ScanAlert についてどうすればよいですか?

Question

クライアントの 1 つは McAfee ScanAlert (つまり、HackerSafe) を使用しています。基本的に、セキュリティ ホールを探して、1 日約 1500 件の不正なリクエストでサイトにアクセスします。悪意のある動作を示しているため、いくつかの不適切なリクエストの後にブロックしたくなるかもしれませんが、UI を実行させたほうがよいかもしれません。終わらせないと本当の試練なの？

Answer 1

ハッカーが武器庫のすべてをサイトに対して投げることができるのは、サイトのセキュリティ上の欠陥ではありませんか?

そうですね、スキャナーを阻止しようとするよりも、穴を塞ぐことに集中する必要があります (これは無駄な戦いです)。そのようなテストを自分で実行することを検討してください。

Answer 2

セキュリティ侵害を防止するには、攻撃ごとに異なる戦略が必要です。たとえば、サービス拒否攻撃中に特定のソースからのトラフィックをブロックすることは珍しくありません。ユーザーが適切な資格情報の提供に 3 回以上失敗すると、IP アドレスがブロックされるか、アカウントがロックされます。

ScanAlert が SQL インジェクションを含む可能性のある何百ものリクエストを発行すると (1 例を挙げると)、サイト コードが「悪意のある動作」と見なすべきものと確実に一致します。

実際、UrlScan または eEye SecureIIS を配置するだけで、そのような要求の多くが拒否される可能性がありますが、それはサイト コードの真のテストです。悪意のあるユーザー/リクエストを検出して拒否するのは、サイト コードの仕事です。テストはどの層で有効ですか?

ScanAlert は 2 つの異なる方法で提示します。不正な形式のリクエストの数と、テストとしての個々のリクエストの多様性です。出てくる2つのアドバイスは次のようです。

1. サイト コードは、特定の送信元からの悪意のあるトラフィックを検出してそのトラフィックをブロックしようとするべきではありません。
2. そのような無駄な努力を試みる場合は、少なくとも、下位レイヤーをテストするために、ScanAlert からの要求に対して例外を設けてください。

Answer 3

数回試行した後、不正なリクエストをブロックするのは良いことですが、そのままにしておく必要があります。5 回の不正なリクエストの後にブロックすると、6 回目のリクエストでサイトがクラッシュしないかどうかわかりません。

編集: 一部の攻撃者が 1 つのリクエストのみを送信する可能性があることを意味しましたが、ブロックしたためにテストしなかった 1495 の 1 つと同様であり、この 1 つのリクエストがサイトをクラッシュさせる可能性があります。

Answer 4

サイトのパフォーマンスが損なわれないのであれば、それは良いことだと思います。同じサイトに1000人のクライアントがいて、すべてそれを行っている場合は、ブロックしてください.

しかし、そのサイトがそのクライアントのために構築されたものであるなら、彼らがそうするのは十分に公平だと思います.