Tenable One Web App Scanning на 1 год

Tenable One Web App Scanning - масштабируемая платформа для динамического тестирования безопасности веб-приложений методом DAST. Решение анализирует уже работающий сайт или сервис через его пользовательский интерфейс, формирует карту страниц, ссылок и форм, а затем проверяет их на распространённые уязвимости.

Продукт подходит для регулярного контроля корпоративных сайтов, интернет-магазинов, личных кабинетов, публичных и внутренних веб-сервисов, одностраничных приложений и API.

Ключевые возможности

Автоматическое исследование веб-приложения

Перед поиском уязвимостей Tenable One Web App Scanning автоматически исследует структуру приложения. Сканер переходит по доступным страницам и анализирует:

• ссылки и маршруты;
• формы ввода;
• параметры запросов;
• элементы пользовательского интерфейса;
• используемые сторонние компоненты;
• веб-сервисы и API;
• механизмы аутентификации;
• конфигурацию веб-сервера.

На основе полученных данных формируется карта приложения, которая используется для дальнейшей проверки безопасности.

Поиск уязвимостей OWASP Top 10

Платформа помогает выявлять распространённые уязвимости веб-приложений, в том числе проблемы из списка OWASP Top 10:

• межсайтовый скриптинг — XSS;
• SQL-инъекции;
• ошибки аутентификации;
• небезопасную обработку пользовательского ввода;
• неправильную настройку контроля доступа;
• раскрытие конфиденциальной информации;
• небезопасные заголовки;
• ошибки конфигурации;
• уязвимые сторонние библиотеки;
• другие недостатки прикладной безопасности.

Сканирование помогает обнаружить проблемы в собственном коде приложения и известные уязвимости компонентов, используемых при его разработке.

Тестирование API

Tenable One Web App Scanning поддерживает динамическое тестирование программных интерфейсов. Проверка API помогает обнаруживать уязвимости в механизмах обработки запросов, авторизации и передачи данных.

Возможность сканирования API особенно важна для мобильных приложений, микросервисной архитектуры, интеграционных платформ и веб-систем, которые обмениваются данными через программные интерфейсы.

Аутентифицированное сканирование

Для проверки закрытых разделов приложения можно настроить авторизованный доступ. Это позволяет сканировать личные кабинеты, административные панели и другие страницы, доступные только после входа.

Платформа поддерживает различные способы аутентификации, включая OAuth 2.0. Сканирование после авторизации помогает проверить большую часть приложения и обнаружить уязвимости, которые недоступны при анализе только публичных страниц.

Проверка одностраничных приложений

Tenable One Web App Scanning поддерживает современные одностраничные приложения — SPA. Система может анализировать динамически загружаемый контент, формы, ссылки и другие элементы популярных JavaScript-приложений.

Это позволяет использовать решение для проверки современных корпоративных порталов, личных кабинетов, интернет-магазинов и облачных сервисов.

Проверка SSL/TLS и конфигураций

Платформа предоставляет быстрые шаблоны для поиска распространённых проблем кибергигиены. С их помощью можно проверить:

• срок действия SSL/TLS-сертификата;
• корректность выдачи сертификата;
• небезопасные версии протоколов;
• слабые алгоритмы шифрования;
• ошибки конфигурации веб-сервера;
• небезопасные HTTP-заголовки;
• настройки, повышающие риск атак посредника;
• раскрытие технической информации.

Быстрая проверка помогает выявить очевидные проблемы без запуска полного сканирования приложения.

Автоматизация регулярных проверок

Сканирование можно запускать вручную или по расписанию. Например, настроить еженедельную или ежемесячную проверку всех лицензированных веб-приложений.

Автоматизация позволяет:

• регулярно контролировать уровень защищённости;
• обнаруживать новые уязвимости;
• проверять изменения после выпуска обновлений;
• контролировать устранение найденных проблем;
• сокращать объём ручной работы;
• стандартизировать процесс тестирования.

Повторные проверки помогают убедиться, что исправления действительно устранили обнаруженную уязвимость.

Приоритизация результатов

После завершения сканирования система группирует обнаруженные проблемы по уровню риска. Для каждой уязвимости предоставляются технические сведения и рекомендации по устранению.

В результатах указываются:

• уровень критичности;
• описание проблемы;
• затронутые страницы и параметры;
• подтверждающие данные;
• возможные последствия;
• рекомендации для разработчиков;
• ссылки на дополнительные материалы.

Это помогает специалистам по безопасности и разработчикам сосредоточиться на наиболее опасных недостатках.

Информационные панели и отчёты

Tenable One Web App Scanning предоставляет настраиваемые панели мониторинга и отчёты. С их помощью можно анализировать состояние отдельных приложений и всего лицензированного портфеля.

Платформа позволяет отслеживать:

• количество найденных уязвимостей;
• распределение проблем по критичности;
• приложения с наибольшим риском;
• динамику устранения;
• повторно обнаруженные проблемы;
• результаты регулярных сканирований;
• прогресс команд разработки.

Отчёты можно использовать для передачи техническим специалистам, руководителям, аудиторам и заказчикам.

Разграничение доступа

Встроенная ролевая модель позволяет создавать группы пользователей и управлять их правами. Администратор может определить, кто имеет доступ к результатам конкретного приложения и кто может запускать сканирование.

Разграничение прав удобно для организаций с несколькими командами разработки, подразделениями или внешними подрядчиками.

Интеграция в процессы разработки

Tenable One Web App Scanning можно включить в процессы DevSecOps и CI/CD, чтобы регулярно проверять приложения после развертывания новых версий. Такой подход помогает раньше обнаруживать проблемы и сокращать время между выпуском обновления и исправлением уязвимости.

Важно учитывать, что продукт выполняет динамическое тестирование работающего приложения и не анализирует исходный код. Для статического анализа кода необходимы отдельные инструменты класса SAST.

Какие задачи решает продукт

Tenable One Web App Scanning подходит для:

• поиска уязвимостей на сайтах;
• проверки корпоративных веб-приложений;
• тестирования интернет-магазинов;
• анализа личных кабинетов;
• сканирования API;
• проверки одностраничных приложений;
• контроля SSL/TLS-сертификатов;
• автоматизации регулярных проверок;
• подготовки к аудиту;
• подтверждения устранения уязвимостей.

Для кого предназначен продукт

Решение будет полезно:

• специалистам по информационной безопасности;
• разработчикам;
• специалистам DevSecOps;
• пентестерам;
• ИТ-аудиторам;
• владельцам веб-сервисов;
• компаниям с несколькими сайтами и приложениями;
• поставщикам услуг информационной безопасности.

Платформа особенно удобна организациям, которым необходимо регулярно проверять портфель веб-приложений и централизованно контролировать результаты.

Лицензирование

Tenable One Web App Scanning лицензируется по годовой подписке с учётом количества уникальных веб-приложений. Единицей лицензирования является полное доменное имя — FQDN. Если сканирование выполняется только по IP-адресу, он также может учитываться как отдельный актив.

Веб-приложение считается лицензируемым, если его FQDN сканировался на уязвимости в течение последних 90 дней. Разные пути одного доменного имени относятся к одному активу, но различные поддомены учитываются отдельно.

Лицензия рассчитана на сканирование пяти FQDN в течение одного года. При необходимости можно приобрести лицензии на дополнительное количество веб-приложений.

После окончания годового периода подписку необходимо продлить, чтобы продолжить сканирование и пользоваться облачной платформой.

Tenable One Web App Scanning на 1 год - решение для автоматизированного DAST-тестирования веб-приложений и API, которое помогает выявлять уязвимости, контролировать исправления и снижать риски атак на публичные интернет-сервисы.