Аналіз ефективності використання безкоштовних та комерційних сканерів вразливостей для веб-застосунків електронної комерції

Abstract

Проведено порівняльний аналіз ефективності використання популярних безкоштовних та комерційних сканерів вразливостей останніх версій для веб-застосунків електронної комерції. Актуальність зумовлена стрімким зростанням ринку електронної комерції, що робить його привабливою мішенню для зловмисників та створює нові загрози для користувачів і виклики для власників веб- застосунків. Сканери вразливостей є бюджетним способом пошуку слабких місць у веб-застосунках, проте їх ефективність потребує регулярного переоцінювання в зв’язку з появою нових векторів атак та оновленням сканерів. Метою дослідження було проведення порівняльного аналізу сканерів вразливостей останніх версій для веб-застосунків у сфері електронної комерції. Об’єктом тестування обрано спеціально розроблений прототип веб-застосунку OWASP Juice Shop, який містить актуальні вразливості з OWASP Top 10 та відображає реальні сценарії атак. Для аналізу обрано безкоштовні сканери OpenVAS та Nessus (безкоштовна версія) та комерційні інструменти Acunetix, Intruder, Burp Suite Enterprise Edition. Кількісні результати сканування показали, що комерційний сканер Acunetix виявив найбільшу кількість вразливостей різних рівнів критичності – загалом 22, зокрема 2 високих, 1 середню, 6 низьких та 13 інформаційних. Burp Suite Enterprise Edition знайшов 1 середню, 5 низьких та 87 інформаційних вразливостей. Nessus виявив лише 5 інформаційних вразливостей, Intruder – 2 низькі, а OpenVAS – 1 високу. Водночас, автори наголошують, що найкращим рішенням є одночасне використання кількох сканерів для підвищення ефективності пошуку вразливостей. Разом з тим, сканери не здатні знайти усі вразливості та повноцінно змоделювати роботу користувача у випадку складних за структурою веб-застосунків, які використовують поєднання різних веб-технологій. Отримані результати можуть стати основою для подальших досліджень у цій області та орієнтиром для покращення практик щодо безпеки веб-застосунків

A comparative analysis of the efficiency of the latest versions of popular open source and commercial vulnerability scanners for e-commerce web applications is presented in this paper. A specially developed prototype of web application, OWASP Juice Shop, with embedded relevant vulnerabilities from OWASP Top 10, was chosen as the test object. The quantitative results of using different commercial scanners are described here. Acunetix is pampered to be the scanner that detected the largest number of vulnerabilities of various criticality levels. At the same time, the authors emphasize the need to use several scanners to increase the efficiency of vulnerability detection. The study highlights the importance of regular scanning and monitoring of web application security, especially for e-commerce organizations. However, the authors note that scanners are important but not the only tools for finding vulnerabilities in complex web applications