Безопасность веб-приложений. Исчерпывающий гид для начинающих разработчиков

Об авторе
О технических редакторах
Благодарности
Предисловие
Введение
Сдвиг влево
О книге
Темы, выходящие за рамки книги
Ответы
ЧАСТЬ I
ВСЕ, ЧТО НУЖНО ЗНАТЬ О КОДЕ, БЕЗОПАСНОМ
ДЛЯ ПУБЛИКАЦИИ В ИНТЕРНЕТЕ
Глава 1. Основы безопасности
Обязательство по обеспечению безопасности:
"CIA"
Конфиденциальность
Целостность
Доступность
"Предполагать взлом"
Внутренние угрозы
Глубокая защита
Принцип наименьших привилегий
Безопасность цепи поставок
Безопасность через неясность
Уменьшение поверхности атаки
Жесткое кодирование
"Никогда не доверяй, всегда проверяй"
Удобство и безопасность
Факторы аутентификации
Упражнения
Глава 2. Требования безопасности
Требования
Шифрование
Никогда нельзя доверять входному потоку
системы
Кодирование и экранирование
Сторонние компоненты
Заголовки безопасности: ремни безопасности
для веб-приложений
Заголовки безопасности на практике
Х-XSS-Protection
Content-Security-Policy (CSP)
X-Frame-Options
X-Content-Type-Options
Referrer-Policy
Strict-Transport-Security (HSTS)
Feature-Policy
X-Permitted-Cross-Domain-Policies
Expect-CT
Public Key Pinning Extension for HTTP (HPKP)
Обеспечение безопасности файлов cookies
Флаг Secure
Флаг HTTPOnly
Для постоянных cookies
Domain
Path
Same-site
Cookie с префиксом
Политика конфиденциальности
Классификация данных
Пароли, хранилище и другие важные решения,
касающиеся обеспечения безопасности
HTTPS повсюду
Настройки TLS
Комментарии
Резервное копирование и восстановление
Элементы безопасности платформы
Технический долг = Долг безопасности
Загрузка файлов
Ошибки и их регистрация
Проверка и санитизация вводимых значений
Авторизация и аутентификация
Параметризированные запросы
Параметры URL
Принцип наименьших привилегий
Чек-лист требований
Упражнения
Глава 3. Безопасность при проектировании ПО
Ошибка проектирования и дефект безопасности
Позднее обнаружение ошибки проектирования
Сдвиг влево
Концепции проектирования безопасного ПО
Защита конфиденциальных данных
"Никогда не доверяй, всегда проверяй"
и "Предполагать взлом"
Резервное копирование и откат
Валидация на стороне сервера
Функции безопасности платформы
Изоляция функций безопасности
Разделение приложения
Управление секретами приложения
Повторная аутентификация при транзакционных
операциях (предотвращение CSRF-атаки)
Разделение производственных данных
Защита исходного кода
Моделирование угроз
Упражнения
Глава 4. Безопасность кода ПО
Выбор используемой платформы и языка
программирования
Пример 1
Пример 2
Пример 3
Языки программирования и платформы: правило
Сомнительные данные
HTTP-глаголы
Идентификация
Управление сессиями
Проверка границ
Аутентификация (AuthN)
Авторизация (AuthZ)
Обработка, регистрация и мониторинг ошибок
Правила работы с ошибками
Регистрация
Мониторинг
Упражнения
Глава 5
Часто встречающиеся подводные камни
OWASP
Ранее не упомянутые средства защиты и
уязвимости ....
Межсайтовая подделка запроса (CSRF)
Подделка запросов со стороны сервера (SSRF)
Десериализация
Состояние гонки
Заключительные комментарии
Упражнения
ЧАСТЬ II
КАК НАПИСАТЬ БЕЗУПРЕЧНЫЙ КОД
Глава 6. Тестирование и развертывание
Тестирование кода
Обзор кода
Статическое тестирование безопасности
приложений (SAST)
Анализ состава программного обеспечения (SCA)
Модульное тестирование
Инфраструктура как код (IaC) и безопасность
как код (SaC)
Тестирование приложения
Ручное тестирование
Браузеры
Инструменты разработчика
Веб-прокси
Фаззинг
Динамическое тестирование безопасности
приложений (DAST)
Инфраструктура
Пользовательские приложения
Оценка уязвимости, оценка безопасности,
пентестирование
Гигиена безопасности
Стресс-тестирование и тестирование
производительности
Интеграционное тестирование
Интерактивное тестирование безопасности
приложений
Регрессионное тестирование
Тестирование инфраструктуры
Тестирование базы данных
Тестирование API и веб-серверов
Тестирование интеграций
Тестирование сети
Развертывание
Редактирование кода на сервере в реальном
времени
Публикация из среды IDE
"Самодельные" системы развертывания
Ранбуки
Непрерывная интеграция, непрерывная поставка,
непрерывное развертывание
Упражнения
Глава 7. Программы безопасности приложений
Задачи программы по защите приложения
Создание и поддержка реестра приложения
Техническая возможность обнаружения
уязвимостей
в написанном, выполняемом и стороннем коде
Знания и ресурсы, необходимые для исправления
уязвимостей
Образование и справочные материалы
Предоставление разработчикам инструментов
по обеспечению безопасности приложений
Проведение одного или нескольких мероприятий по
обеспечению безопасности на каждом этапе
жизненного цикла разработки системы
Внедрение полезных и эффективных инструментов
Команда реагирования на инциденты, которая
знает,
когда вам звонить
Постоянное совершенствование программы на
основе показателей, экспериментов
и обратной связи
Метрики
Экспериментирование
Обратная связь от всех и каждой из
заинтересованных сторон
Особое замечание о DevOps и Agile
Деятельность по обеспечению безопасности
приложений
Инструменты по обеспечению безопасности
приложений
Ваша программа безопасности приложения
Упражнения
Глава 8. Обеспечение безопасности современных
систем и приложений
API и микросервисы
Онлайн-хранилище
Контейнеры и оркестровка
Бессерверные приложения
Инфраструктура как код (IaC)
Безопасность как код (SaC)
Платформа как услуга (PaaS)
Инфраструктура как услуга (IaaS)
Непрерывные интеграция, поставка
и развертывание
Dev(Sec)Ops
DevSecOps
Облако
Облачные вычисления
Ориентированность на облако
Безопасность облачно-ориентированной среды
Облачные потоки
Современные инструменты
Интерактивное тестирование безопасности
приложений IAST
Запуск защиты приложений
Контроль целостности файлов
Инструменты контроля приложений (Список
одобренного программного обеспечения)
Инструменты безопасности,
созданные для конвейеров DevOps
Инструменты инвентаризации приложений
Автоматизация политики наименьших привилегий
и других
Современные тактические приемы
В итоге
Упражнения
ЧАСТЬ III
ПОЛЕЗНАЯ ИНФОРМАЦИЯ О ТОМ,
КАК ПОСТОЯННО ПИСАТЬ КОД ОЧЕНЬ ВЫСОКОГО
КАЧЕСТВА
Глава 9. Полезные привычки
Управление паролями
Отмена правил сложности пароля
Использование менеджера паролей
Парольные фразы
Отказ от повторного использования паролей
Отказ от ротации паролей
Многофакторная аутентификация
Реагирование на инциденты
Пожарные учения
Непрерывное сканирование
Технический долг
Инвентаризация
Другие полезные привычки
Политики
Загрузки и устройства
Блокировка рабочей техники
Приватность
Итоги
Упражнения
Глава 10. Непрерывное обучение
Что изучать
Нападение = защита
Не забывайте о "гибких навыках"
Лидерство != менеджмент
Варианты обучения
Действия, которые можно выполнять
самостоятельно
Действия, которые можно выполнять на работе
(или о чем можно попросить начальника)
Действия, которые можно выполнять
в отношении своих сотрудников
Подотчетность
Составление плана
Действуйте
Упражнения
Учебный план
Глава 11. Заключение
Вопросы, оставшиеся без ответа
Когда можно говорить о достаточности
предпринятых мер по обеспечению
безопасности?
Как привлечь руководство к обеспечению
безопасности?
Как привлечь разработчиков
к обеспечению безопасности?
С чего начать?
Откуда брать помощь?
Заключение
Приложение А. Источники
Приложение Б. Ответы
Предметный указатель