آشنایی با اسکنر Web Inspect

[ground_master]

معرفی اسکنر Web Inspect
ابزار Web Inspect متعلق به شرکت HP میباشد و به منظور اسکن سامانه های تحت وب طراحی شده است. شما میتوانید نسخه رایگان را پس از ثبت نام در سایت برنامه دانلود نموده و همچنین لایسنس 15 روزه با قابلیت استفاده از تمامی امکانات دریافت نمایید.
Web Inspect در کنار ابزار های QAinspect و HPAMP تشکیل دهنده مجموعه ابزارهای امنیتی است که شرکت HP در پکیج امنیتی خود برای راه اندازی مرکز امنیت نرم افزاری به کاربران، شرکتها و سازمانها ارائه می دهد.
در این بسته Web inspect برای تست و ارزیابی امنیتی برنامه تحت وب، HP QAinspect برای تست امنیت استاندارد های امنیتی و HPAMP برای تست و ارزیابی امنیتی برنامه در چرخه حیات استفاده میشوند.
تجزیه و تحلیل در هنگام طراحی، مدیریت ساده پروژه، اشتراک گذاری در هنگام اسکن، ارتباط با اتوماسیون های امنیتی از امکانات مهم این برنامه است.

قابلیتها و شرح امکانات
نرم افزار web inspect دارای 4 نوع اسکن می باشد که در تصویر زیر نمایش داده شده است.

• Guided Scan: با انتخاب این گزینه چند الگو آماده اسکن به کاربر نمایش داده میشود که در صورت نیاز میتواند از آنها استفاده کند، الگوی استاندارد و الگوی اسکن نسخه موبایل سایت از جمله آنان است.
• Basic Scan: اسکن پایه این امکان را به کاربر می دهد تا تنها با درج URL سایت در بخش مربوطه و تنظیم گزینه های مورد نیاز اقدام به شروع اسکن سایت برای کشف آسیب پذیری نماید.
• Web Service Scan: Web inspect نیز مانند دیگر نرم افزارها قابلیت اسکن وب سرویس را دارا میباشد. با معرفی URL سرویس مورد نظر شروع به اسکن و بررسی آن مینماید. قابل ذکر است که تنها نوع WSDL را پشتیبانی می نماید.
• Enterprise Scan: برای اسکن پیشرفته که کاملترین نوع اسکن میباشد نیز می توان از گزینه Enterprise استفاده نمود. اسکن شبکه برای یافتن دیگر افراد یا سرویس های حاضر و اسکن همزمان چند هدف از امکانات قابل توجه این بخش است.

[ground_master]

آموزش کار با برنامه Web Inspect
پس از انتخاب نوع اسکن مورد نظر اجزا نمایش داده در عکس به شکل زیر باید تنظیم گردد:

در Scan name کاربر باید برای اسکن خود یک نام مناسب انتخاب کند و در زیر آن 4 گزینه برای انتخاب نوع رفتار ابزار معرفی شده است.

انتخاب Crawl Only موجب می شود اسکنر تنها عملیات خزش برای یافتن URL های سایت را انجام دهد، برای انجام همزمان اسکن و خزش می توان Crawl & Audit را انتخاب نمود، گزینه Audit نیز عملیات اسکن بدون خزش را انجام می دهد، در انتها با انتخاب گزینه Manual می توان روش انجام دستی را انتخاب کرد.

Start URL مربوط به آدرس هدف مورد نظر برای اسکن میباشد. در بخش Browser می تواند نوع مرورگر مورد استفاده را نیز مشخص نمود. برای معرفی همزمان چند آدرس به نرم افزار نیز می توان از گزینه List Driven Scan استفاده کرد. بخش Workflow driven scan به منظور اجرای یک ماکرو برای آنالیز اتوماتیک اسکن طراحی شده است.

در مراحل بعدی می توان تنظیماتی مانند استفاده از پروکسی، احراز هویت و تعیین فریم ورک را انجام داد.

از نکات منفی این ابزار می توان به حجم بالای آن و درگیر کردن بیش از حد CPU سیستم اشاره کرد ، به گونه ای که برای راه اندازی باید حتما از سیستم قوی استفاده شود.

در هنگام و پایان اسکن در بخش Site میتوان نقشه فایل و فولدرهای یافت شده سایت را مشاهده و بررسی کرد. این قسمت در یافتن مسیرهای خاص مانند صفحات مدیریت و مسیرهای آپلود میتواند راهگشا باشد.

در قسمت traffic monitor کاربر می تواند ترافیک ارسالی و دریافتی نرم افزار را به خوبی مشاهده کند. البته این بخش به طور پیش فرض غیر فعال میباشد و باید از منو General فعال گردد.

اگر در هنگام اسکن کاربر نیاز به درج توضیحات متنی داشته باشد میتواند از بخش Attachments اضافه کند.

در بخش False positive آدرس آسیب پذیری های کاذب قرار میگیرد، کاربر نیز می تواند به صورت دستی به این لیست اضافه کند.

قسمت Host Info دارای اطلاعاتی از شامل کوکیهای سایت، اسکریپتهای استفاده شده، لینک های ناقص،آدرس ایمیل های یافت شده و غیره است که در طول انجام تست نفوذ می تواند استفاده شود.

Web inspect این امکان را به مشتری میدهد تا منطبق بر نیاز های خود سیاستهای اسکن را تعیین نماید. برای این کار باید در منو اصلی گزینه Policy manager را انتخاب کرد.
برای اشتراک گذاری نتایج و ارتباط با دیگر اتوماسیونهای اداری نیز باید از سیستم HP Enterprise Manager استفاده نمود.

در پایان اسکن برای دریافت نتایج اسکن در قالبهای ارائه شده توسط نرم افزار میتوان از بخش report اقدام کرد. پشتیبانی از انواع گزارش دهی بر اساس استانداردهای روز دنیا از از امتیازات مثبت web inspect است.