freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

解码|网藤ARS智能应用漏洞扫描引擎
2019-06-14 09:27:25
所属地 上海

近年来,随着国家政策导向方面的推动以及各类安全漏洞、威胁事件的爆发,使得企业愈发重视安全体系的建设与升级。而随着“互联网+”的推进,Web 2.0等新技术的广泛应用,应用安全漏洞扫描的效果,成为企业关注的重中之重。

应用漏洞通用检测逻辑

以漏洞检测的视角出发,Web漏洞安全扫描主要分为以下几个阶段,如下图所示:

微信图片_20190614165142.jpg

01 信息采集阶段

对待测试目标站点进行全面的解析和爬取分析,如:网站域名/子域名信息,网站结构目录,动态JS代码加载和渲染,表单自动填充,登录认证等,并对信息进行格式解析与智能去重处理工作。

02 特征加载阶段

依据配置策略与检测目标信息特征,加载漏洞检测特征库,并向服务端发起测试请求。

03 漏洞验证阶段

检测服务端返回的结果与预期结果进行比对,识别是否存在漏洞。

04 展示与应用

对漏洞详情进行展示,如:漏洞等级、漏洞地址、出发条件、响应信息、漏洞修复建议等;对产生信息进行二次应用,如:漏洞管理、报表分析等。

传统漏扫的局限性

应用级漏洞扫描器在能力上的优劣主要取决于探索信息的完整性、漏洞规则储备的全面性与漏洞验证的准确性。

目前,国内外主流Web应用漏洞检测工具都在比拼各自规则的强大与准确,往往忽视在对信息探取的全面性。于Web 2.0时代,Web前端技术发生翻天覆地的变化,网页不再只是承载单一文字与图片,富媒体等技术让网页更加生动,使用更加便捷,各类前端的动态框架、库、插件的应用使得传统应用安全扫描工具在信息探索阶段就遇到巨大阻力。

面对动态技术的深入使用、业务场景的复杂以及安全防护设备的普及,传统主动扫描已经逐渐落后于技术发展,Web应用扫描需要更好的方案来解决信息探取不全的尴尬问题。

因此,网藤智能安全ARS产品推出以“智能动态爬虫”+“旁路流量解析”结合的新一代Web应用安全扫描引擎。

ARS特性解析

网藤智能安全ARS采用主被结合模式,实现对静态资源、动态页面、域名/子域、服务应用等信息的全面覆盖。

主动方式:动态爬虫技术(支持React、AngularJS、VueJS等主流框架、单页面应用、伪静态Web应用等)、域名猜解、端口服务识别、鱼鹰Osprey PoC框架

被动方式:旁路部署产品配套的网藤高性能流量镜像传感器,可实时解析数十种网络协议,从网络流量中提取ARS扫描引擎所需要的关键数据。ARS结合斗象科技旗下漏洞盒子平台漏洞数据库与智能扫描引擎,深度识别与检出web通用漏洞、流行应用漏洞信息、逻辑业务漏洞等风险信息。

网藤操作简易、流程完善,部署方便,助力企业构建全自动化应用安全扫描体系。

微信图片_20190614165345.jpg

ARS优势:

1、全面信息发现

采用“主+被”形式探知系统资产信息,不仅可以覆盖静态资源、动态页面等信息,还能够解决主动扫描无法探知的资源。如:隐藏资源、带有token认证的资源、POST表单请求、业务逻辑触发的资源等。

2、高覆盖,高检出

网藤智能安全ARS集成斗象漏洞盒子平台,具备国内最大漏洞规则库,“主+被”结合形式,不断提升传统扫描检出率;自研Osprey PoC框架,精准捕捉定位应用漏洞;被动检测增强对业务逻辑漏洞的检测能力,如水平越权漏洞;漏洞管理,漏洞快速复测。

3、支持API漏洞检测

通过流量解析识别系统API接口,支持对JSON、XML等格式,自定义测试策略,突破传统,实现对API接口安全检测能力全覆盖。

4、贴合真实业务场景,低误报

流量检测可实时监测分析生产环境数据,对真实原始数据进行过滤、解析与智能去重,自动在测试环境中进行漏洞验证,有效提升检测准确性,降低产品误报率。

5、分布式架构部署便利,自动化集成

采用分布式架构,支持单机、集群、容器式、软件化多种方式部署;B/S系统架构,操作简单;支持WebService能力,与企业CI/CD自动化集成。

微信图片_20190614165341.jpg

了解网藤智能安全

伴随全球经济数字化转型速率的不断提升,IT资产多元化趋势愈加明显,加之传统数据中心与云端业务的增长齐头并进,企业网络安全的防控难度和复杂度正急速上升。


如何在诸多不确定中做出高瞻远瞩的行动,建立清晰智能的全链条解决方案,满足您多元的风险防控需求,同时兼顾安全合规要求。

微信图片_20190614165702.jpg网藤全息智能安全中心

斗象科技旗下产品网藤智能安全,以数据分析为核心,结合机器学习技术,为企业构建云端安全监测、海量安全数据存储、多源威胁分析,未知威胁响应的全息安全体系。网藤产品凭借先进创新的技术和产品服务质量,已拥有过百家覆盖金融、互联网、制造业和政府等领域的行业龙头客户。


关于斗象科技

斗象科技创立于2014年,是国内领先的创新型互联网安全服务和解决方案提供商,旗下品牌包括互联网安全新媒体——FreeBuf,互联网安全测试服务平台——漏洞盒子,全息智能安全监测与调查分析产品——网藤智能安全

作为以技术创新驱动的网络安全提供商,斗象科技的产品及服务已被全球领先企业和顶级投资者认可,拥有近500家核心客户,在金融、互联网、物联网、政府、教育等行业推出了优质服务和创新产品解决方案,是国家互联网应急中心(CNCERT)“省级支撑单位”、国家信息安全漏洞共享平台(CNVD)“漏洞报送突出贡献单位”、国家测评中心“二级支撑单位”、2018年度上海市网络安全工作 “先进支持单位”,也是国家信息技术安全研究中心、公安部第三研究所等国家级行业机构的关键技术支撑单位与重要合作伙伴,曾荣获2016年红鲱鱼全球科技创新100强,亚洲地区唯一上榜的安全企业。

斗象科技目前已在上海、北京、深圳、南京等多地设立分支机构。斗象科技团队中,超过70%的成员是网络安全、大数据、人工智能等领域的资深专家。

斗象科技官网:www.tophant.com

FreeBuf官网:www.freebuf.com

漏洞盒子官网:www.vulbox.com

网藤智能安全官网:www.riskivy.com

联系电话:400-156-9866

Email:mkt@tophant.com

# 漏洞扫描 # 网藤ARS # 网藤风险感知
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者