доклад с SQA Days 9 (Kazan)

1. Security Testing: SQL Injection Сергей Полаженко, SQALab

2. Тестирование безопасности

3. Этапы тестирования безопасности

4. Уровни тестирования безопасности Нормативно-правовой Организационный Технический Физический

5. Основная проблема безопасности

6. Что такое SQL Injection

7. Что такое SQL Injection? (1/2)

8. Что такое SQL Injection? (2/2)

9. Почему SQL Injection (1/3) SQL Positive Technologies, 2009

10. Почему SQL Injection (2/3) SQL Positive Technologies, 2009

11. Почему SQL Injection (3/3)

12. Не обязательно web!

13. Как бороться?

14. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

15. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

16. Способы борьбы: обучение

17. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

18. Способы борьбы: дизайн приложения не хранить секреты в открытом виде принцип минимальных привилегий использовать параметрезированные запросы использовать хранимые процедуры сообщения об ошибках не должны содержать служебной информации

19. Способы борьбы: Фильтры данных

20. Способы борьбы: Application Firewall

21. Способы борьбы: Application Firewall

22. Способы борьбы: Application Firewall www.owasp.org/index.php/Web_Application_Firewall Open Source: AQTronix- WebKnight TrustwaveSpiderLabs - ModSecurity

23. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

24. Способы борьбы: code review Экспертиза исходных текстов, как метод тестирования безопасности и защищённости программных продуктов http://software-testing.ru/library/testing/security/109 http://securitywiki.ru/PraktikaJekspertizaIsxodnyxTekstov?v=oqu

25. Способы борьбы: code review Patterns && Practices: Code Review http://msdn.microsoft.com/en-us/library/ff648637.aspx

26. Способы борьбы: code review Проверка входных данных Не использовать динамический sql (использовать хранимые процедуры и параметризированные запросы) Минимальные привилегии Секретные данные (поток данных)

27. Способы борьбы: code review Java EE– использовать PreparedStatement() .NET– использовать параметризованные запросы при помощи SqlCommand() or OleDbCommand() PHP– использоватьPDOс строго типизированными парамтризованными запросами (использованиеbindParam()) SQLite– использовать sqlite3_prepare() и т.п. https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

28. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

29. Способы борьбы: input validation Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты Проверяйте входные параметры

30. Способы борьбы: input validation Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты Портрет типичного пользователя Dr. User Evil

31. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

32. Способы борьбы: Continues integration checks Microsoft FxCop "CA2100: Review SQL queries for security vulnerabilities“ Microsoft Source Code Analyzer for SQL Injection Microsoft Code Analysis Tool for .Net (CAT.NET)

33. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

34. Тестирование: метод «черного ящика»

35. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

36. Способы борьбы Профилактика Обучение Дизайн приложения Code review Input validation Continues integration checks Тестирование Черным ящиком Белым ящиком Серым ящиком Fuzzy Автоматизированные инструменты

37. Способы борьбы http://sqlmap.sourceforge.net/ http://www.owasp.org/index.php/Category:OWASP_SQLiX_Project Scrawlr(HP) absinthe

38. Чтиво http://www.ptsecurity.ru/download/PT-devteev-Advanced-SQL-Injection.pdf https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet http://msdn.microsoft.com/en-us/library/ff648637.aspx

39. Контакты polazhenko@gmail.com www.securitywiki.ru Polazhenko.moikrug.ru