webinar acunetix · interagit avec le code source analyse comment le code source est exécuté...

Webinar ACUNETIX

21 Avril 2020

Julien CAYSSOL

www.certilience.fr - 04 28 29 72 50 2

Sommaire

1- Présentation de la société Acunetix

2 - Présentation de la solution Acunetix

3 - Présentation du Logiciel

4 - Questions réponses


Contexte de sécurité

• 65 vols de données par seconde

• 201 jours pour découvrir une cyberattaque

• Une entreprise subit 29 cyberattaques par an


Pourquoi la sécurité des applications web?

• Les pirates se concentrent sur les applications web

• Les applications Web sont accessibles au public 24 h sur 24 et 7 jours / 7,

• Les applications Web sont souvent moins testées.

• Le Firewall protège votre réseau mais pas vos sites Web.

• Le Certificat SSL ne protège pas votre serveur maisl’Utilisateur


Pourquoi attaquent-il les sites?

• Pour accéder à des données sensibles (cartes de credit, des emails, des mots de passe, …)

• Pour utiliser la machine : botnets, minage

• Pour diffuser des contenus illégaux

• Pour améliorer artificiellement votre classement, ce qui peut générer des sanctions de la part des moteurs de recherches

➔ Il est donc important de mesurer l’exposition des sites régulièrement.


Présentationde la sociétéAcunetix

Made by Alan B. Consultant Avant-vente 6


L’histoire d’Acunetix

• Fondé en 2004

• Pionnier en Application de Sécurité Web

• Technologie Propriétaire AcuSensor

• Membre de l’OWASP

• A remporté de nombreux Prix Informatiques

• Titulaire de licence de brevets


8

Mad

e b

y A

lan

B. C

on

sult

ant

Ava

nt-

ven

te


Présentationde la Solution Acunetix

9


La solution Acunetix

• Acunetix est le leader technologique des tests Automatisés de sécurité des applications Web.

• Il explore et analyse automatiquement les sites Web et les applications Web standard et personnalisées pour plus de 6 500 vulnérabilités Web afin d'aider les entreprises à renforcer leur sécurité Web.

• 98% des vulnerabilités trouvées grace aux technologies Acunetix

• AcuSensor : module intégré côté serveur. Inspecte le code source d’un site web. Meilleure technologie actuelle en matière de détection


Architecture type de scans

Réseau Entreprise

Scan sur site ou en mode Cloud

Zone 1


Une TARGET?

• Une Target est un site Web, une application Web, un serveur ou un périphérique réseau que vous souhaitez analyser pour détecter les vulnérabilités de sécurité en utilisant Acunetix.

• Un nom de domaine entièrement qualifié

• Un site Web, une application Web, un serveur ou un périphérique réseau que vous souhaitez analyser pour détecter les vulnérabilités de sécurité

• Différentes URL dans le même nombre de domaines que 1 cible. Par ex. www.domain.com et www.domain.com/blog

• Les sous-domaines sont des cibles différentes. Par ex. www.domain.com et www2.domain.com consomment 2 cibles

http://www.domain.com/blog


Les Fonctionnalités

Detect 6,500+ web vulnerabilities

Acunetix DeepScan Crawler

Scan for 50,000+ network vulnerabilities

Acunetix AcuSensor Compliance Reports

Acunetix AcuMonitor

Assign Target Management to Users

Proof-of-ExploitAcunetix SmartScan Incremental Scanning

Malware Detection


Les différents tests :

DAST SAST IAST

Interagit avec les applicatifs web

on front

Interagit avec le code source Analyse comment le code source

est exécuté Grâce à un fichier

installé dans le code source, il va

testé .NET, le PHP et le Java

Acunetix Deepscan - Acunetix Acusensor

Qualys, Rapid 7, Netsparker Analyse uniquement du code, hors

contexte d’exécution

-

Made by Alan B. Consultant Avant-vente 14


3 Technologies différenciantes

Deepscan

• Peut crawler et scanner des sites web complexes et identifier toustypes de vulnérabilités(même dans CMS Joomla, Wordpress…)

AcuSensor

• Module intégré côtéserveur. Inspecte le code source d’un site web. Meilleuretechnologieactuelle enmatière de détection

AcuMonitor

• Service intermédiairede détectiondes scripts malicieux (out-of-band, XSS)


« Login Sequence Recorder »

• Le « login sequence recorder » consiste à enregistrer un log afin d’automatiser une connexion pour permettre le scan des Urls.

Permet de scanner les urls qui se trouvent derrières une authentification


Les autres fonctions

• Possibilité de mettre en pause en scan,

• Définir des horaires d’exclusions

• Exclure des Urls


Génération de reporting très élaborés

• Pour les développeurs et les responsables de la conformité

• Format PDF, XML ou synchronise API avec les logiciels d’issue tracker (Github, Gitlab, …)

• Rapports juridiques respectant la conformité

– PCI

– HIPAA

– Sarbanes Oxley

• Normes de Sécurité

– OWASP top 10

– CWE / Sans top 25

– DISA

– NIST

– Web Application Security Consortium

• Outil de suivi des vulnérabilités


Génération de reporting très élaborés

• Virtual patching

– Export des résultats pour un import dans Imperva/F5/Fortinet

• Gestion des profils

– Définition des équipes

– Définition des permissions

– Définition des visions

www.certilience.fr - 04 28 29 72 50 20Made by Alan B. Consultant Avant-vente

Principe de fonctionnement


Démonstration


accueil


Définition Target


Définition Type de scan

Scan Type : Complet ou

focus sur un type de

vulnérabilité

Report : OWASP, rapide,

comparaison

Schedule : Date du scan et

prochain scan


Résultats


Résultats – Rapport complet

Intégration possible

avec un outil interne.

Issue tracker ou par

email


Résultats – Rapport complet


L’offred’Acunetix

29


Vue d’ensemble

Acunetix v13 Standard

Acunetix v13 Premium

Acunetix 360


Overview

Standard Premium 360

Detect 6500+ web vulnerabilities ✔ ✔ ✔

Acunetix AcuSensor (IAST) ✔ ✔

Acunetix AcuMonitor ✔ ✔ ✔

Scan for 50,000+ network vulnerabilities ✔

Multiple Scan Engines ✔ ✔

Web Application Discovery ✔

Customizable Workflows ✔

Multi-user & User Roles ✔ ✔

Single Sign On ✔

Compliance Reports ✔ ✔

CI/CD Integration ✔


Les plus de la solution :

• Scan en profondeur de vos sites

• Possibilité de dérouler un scan régulier de vos site ( Pas de licence au scan)

• Possibilité d’automatiser le traitement des vulnérabilités dans un outil de tickets

• Possibilité d’intégrer les vulnérabilités identifiées dans un Firewall Web

• Possibilité de faire un scan différentiel

• Scalabilité de l’infrastructure

• Il est possible de dérouler un POC


Des questions ?

webinar acunetix · interagit avec le code source analyse comment le code source est exécuté...

Documents