Ich habe kostenlose Schwachstellen-Scanner auf meiner Seite ausprobiert — Dutzende Schwachstellen kamen raus, welche muss ich wirklich beheben?

Kostenlose Scanner schauen nur von außen auf die HTTP-Antworten. Wenn zum Beispiel in der Antwort, die euer Server zurückgibt, die PHP- oder Serverversion sichtbar ist, schreiben sie das sofort als mittelriskante Schwachstelle hin. Das ist keine Schwachstelle, sondern nur ein Informationsleck. Wenn es in dieser Version keine tatsächlich bestätigte Schwachstelle gibt, lohnt es sich nicht, Geld auszugeben.

Letztes Jahr haben wir in ähnlicher Panik für einen Bericht mit 35 Warnungen 1.600 AED nach draußen gezahlt. Als die Arbeit fertig war, haben wir gesehen, dass 28 der behobenen Dinge nur drei Zeilen Sicherheitsheader waren, die man dem Server hinzugefügt hat. Es gab genau eine Plugin-Schwachstelle mit echtem Risiko, und die hätten wir sowieso kostenlos schließen können, indem wir das Plugin aktualisieren.

Öffnen Sie den Bericht und suchen Sie nach folgenden Begriffen: 'Injection', 'XSS', 'Bypass', 'Arbitrary File'. Markieren Sie die Zeilen, die diese Wörter enthalten – am Ende bleiben vielleicht 3-4 Punkte übrig. Bitten Sie Ihren Experten, nur diese Punkte zu verifizieren und zu beheben. Den Rest können Sie vorerst ignorieren.

Solche kostenlosen Scanner wollen einem meistens nur Angst einjagen, um ihre eigenen kostenpflichtigen Deep-Scans oder Beratungspakete zu verkaufen. Wenn man nach unten scrollt, steht neben dem Report meistens direkt das Angebot 'Lösen Sie das mit einem Klick professionell'. Man darf nicht alles glauben, was da rot markiert ist.

Läuft die Seite auf einem fertigen CMS wie WordPress oder ist das ein komplett selbst entwickeltes System? Und wie sieht es bei den Zahlungen aus: Werden die Kreditkartendaten auf dem eigenen Server gespeichert oder leiten Sie auf das Hosted Payment Gateway des Zahlungsanbieters weiter? Je nachdem sieht die Risikoanalyse völlig anders aus.

Keine Panik, solange die Seite nicht gerade aktiv angegriffen wird, muss man nicht überstürzt handeln. Automatisierte Tools ziehen schon für jeden fehlenden Header Punkte ab. Im Web gibt es praktisch keine Seite, die zu 100 % warnungsfrei ist. Oberste Priorität sollten immer die Kundendatenbank, die Verschlüsselung für Admins und die Formularfelder haben.

Neben den Punkten im Bericht stehen meistens 'CVE'- oder 'CWE'-Codes. Wenn Sie etwas nicht verstehen, suchen Sie einfach direkt nach diesem Code im Netz. Wenn Sie in ein paar Forenbeiträgen auf Türkisch oder Englisch nachlesen was die Lücke in der Praxis überhaupt bedeutet, können Sie dem Entwickler gegenüber viel fundierter auftreten.

Ich probiere es aus.

Richtig. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Wenn ich dich richtig verstehe, meinst du Folgendes: Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. An deiner Stelle würde ich so vorgehen.

Ich fasse kurz zusammen, was bisher gesagt wurde. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

wer bei Schwachstellen-Scanner-Website hetzt, stolpert alle an derselben Stelle. das wars entschuldige wenn ich zu lang war.

Ich stimme zu. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Das war's, entschuldige, wenn ich zu lang war.

Wenn ich dich richtig verstehe, meinst du Folgendes: Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Ja, die Situation bei Schwachstellen-Scanner-Website ist genau so. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Ich habe mich lange damit beschäftigt. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Ich hoffe das hilft dir weiter.

Das wusste ich nicht. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich habe keinerlei Erfahrung mit Schwachstellen-Scanner-Website, deshalb frage ich. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

An deiner Stelle würde ich so vorgehen.