Tietoturvan testaussofta?

[teme1206]

Olen opiskellut harrastusmielessä tietokantapohjaisen www-serverin pystyttämistä (MacOS X:ssä pyörivä Joomla!-järjestelmä, johon on pääsy netistä DynDNS-osoitteen avulla).

Serveri on jotenkuten pystyssä ja toiminnassa, mutta tietoturva-asioissa olen yhtä urpo kuin serveriasioissakin. Kysymys kuuluu, onko OS X:lle olemassa simppeliä (ja mieluusti ilmaista) sovellusta, jolla voisi testata ja raportoida verkon ja serverin tietoturva-aukot?

[terosa]

Ei ole noin yksiselitteistä tuo tietoturva, että ajat jonkun ohjelman joka kertoo onko turvallinen vai ei. Kunhan softat esim. apache ja php ovat päivityksiltään kunnossa niin se on jo paljon. Toinen homma on viilata ylimääräiset ominaisuudet noista pois päältä, sekin auttaa osaltaan. En ole varma tuosta Joomlasta kuinka hyvää/huonoa koodia on, mutta esim. phpBB-foorumisofta jota tuli joskus pyöriteltyä oli kyllä melkoinen reikäjuusto. Usein suurin ongelma on juurikin, että ajetaan sellaista ohjelmaa www-palvelimella joka itsessään sallii erilaiset hyökkäykset ja haitallisten koodirivien ajon sitä kautta.

Eli pidä softat päivitettyinä, seuraa tietoturvauutisia sivustoilta ja katsele logeja säännöllisesti.

[teme1206]

Juu, tuo on selvä että päivitykset pitää olla kohdallaan. Tarkoitinkin lähinnä sitä että onko olemassa softia joilla voi simuloida tunnettuja tapoja hyökätä palvelimelle ja jotka raportoivat onko tietoturvassa aukkoja.

[Aaaron]

Joomla!ssa on järjetön määrä tietoturva-aukkoja. Kannattaa ehdottomasti asentaa kaikki päivitykset heti niiden ilmestyttyä ja selailla alan foorumeita, jotta osaa välttää ongelmia.

[securapple]

tärkeimmät www-palvelimen turvahommissa :

tekninen tietoturva

1. Päivitä sivustonpa teossa käytetyt varusohjelmistot viimeisimpään versioon (julkaisujärjestelmät, php, python, jne...).
2. Päivitä www-serveri uusimpaan versioon mukaanlukien lisäosat (apache moduulit, jne...)
3. Päivitä Käyttöjärjestelmä.

Lisäboostina jos osaat
4. käytä apachen mod_securityä jos osaat konffata
5. lähetä lokit erilliselle lokipalvelimelle (syslog-daemoni) jota tarkkailet vaikkapa swatchilla.

www-sovellusten koodaamisesta onkin sitten paljon tavaraa, OWASP liene se yleisesti viitattu standardi.

Testaukseen voit käyttää mm. nessusta tekniseen puoleen. Sovelluspuolelle on mm. owaspin webscrab ja nikto.

kaupallisella puolella on ilmainen n-stalker -rajoitettu versio joka testaa vain cross site scripting -aukot.

tuolla on jotain työkaluja : http://sectools.org/

-Securapple

[Suentassu]

Joomla!ssa on järjetön määrä tietoturva-aukkoja.

Perustelet miten? Linkit aukkoihin? Versio?