PTER : metodyka testowania bezpieczeństwa aplikacji internetowych

• Autorzy: Antczak M. , Świerczyński Z.

Warianty tytułu

EN

Testing of internet applications security

• Języki publikacji: PL

Abstrakty

PL

Artykuł opisuje główne założenia opracowanej metodyki testów bezpieczeństwa aplikacji internetowych (WWW). Metodyka koncentruje się na opisie sposobu przeprowadzenia testów tzw. „ścieżki technicznej” oraz dokumentowania ich wyników. Dzięki zastosowanemu "zwinnemu" podejściu metodyka pozwala skoncentrować się na rzeczywistych potrzebach odbiorcy testów bezpieczeństwa. Metodyka PTER umożliwia adaptację do postaci uszczegółowienia dziedzinowego dla metodyki szerzej traktującej tematykę testów np. metodyki P-PEN.

EN

Article provides an the main assumptions of the methodology developed web application security testing (WWW) - PTER. The methodology focuses primarily on how to perform the tests the so-called "Technical path" and document their results. Use of "agile" approach of methodology allows to focus on the needs of the recipient of the security tests. PTER methodology allows adaptation to the form of subject-specific supplement for methodology which treats the subject of test more widely (eg. the P-PEN methodology).

Słowa kluczowe

PL

bezpieczeństwo aplikacji internetowych; WWW; testy bezpieczeństwa; błędy bezpieczeństwa; metodyka testów bezpieczeństwa; testy penetracyjne

EN

internet applications security; security testing; security vulnerabilities; methodology of security testing; penetration test; security attributes

• Wydawca: Instytut Teleinformatyki i Automatyki, Wydział Cybernetyki, Wojskowa Akademia Techniczna im. Jarosława Dąbrowskiego
• Czasopismo: Przegląd Teleinformatyczny
• Rocznik: 2014
• Tom: T. 2, Nr 1-2 (37)
• Strony: 35--67
• Opis fizyczny: Bibliogr. 32 poz., tab.

Twórcy

autor

Antczak M.

• Instytut Teleinformatyki i Automatyki WAT, ul. Kaliskiego 2, 00-908 Warszawa

autor

Świerczyński Z.

• Instytut Teleinformatyki i Automatyki WAT, ul. Kaliskiego 2, 00-908 Warszawa

Bibliografia

• [1] ANTCZAK M., ŚWIERCZYŃSKI Z., Metodyki testowania bezpieczeństwa aplikacji internetowych, Przegląd Teleinformatyczny Nr 2 (20), 2003.
• [2] BIAŁAS A., Bezpieczeństwo informacji i usług w nowoczesnej instytucji i firmie, Wydawnictwa Naukowo-Techniczne, 2007.
• [3] DHANJANI N., CLARKE J. Bezpieczeństwo sieci. narzędzia. Tworzenie i stosowanie narzędzi do testowania zabezpieczeń, Helion, 2006.
• [4] H P., WALTER B., Testowanie bezpieczeństwa aplikacji internetowych. Receptury, Helion, 2010.
• [5] LIDERMAN K., Podręcznik administratora bezpieczeństwa teleinformatycznego, Mikom, 2003.
• [6] PATKOWSKI A. E., Metodyka P-PEN przeprowadzania testów penetracyjnych systemów teleinformatycznych, „Biuletyn Instytutu Automatyki i Robotyki nr 24/2007”, Wojskowa Akademia Techniczna, 2007.
• [7] SILLITTI A., WANG X, MARTIN A, WHITWORTH E, Agile Processes in Software Engineering and Extreme Programming, 11th International Conference, XP 2010, Trondheim, Norway, June 1-4, 2010, Proceedings, str.14-26, Springer, 2010.
• [8] SUBIETA K., Wprowadzenie do inżynierii oprogramowania, PJWSTK, 2002. ŹRÓDŁA INNE
• [9] ANTCZAK M., Metodyka oraz dedykowany system służący do wykonywania testów bezpieczeństwa aplikacji internetowych (WWW), Praca magisterska, Wojskowa Akademia Techniczna, 2012.
• [10] Standard BS 7000-1:2008, Design management systems. Guide to managing innovation, wyd. BSI, Wielka Brytania 2008,
• [11] Norma ISO 15408, Common Criteria.
• [12] Polska Norma PN-ISO/IEC 11799:2007.
• [13] Polska Norma PN-ISO/IEC 27001:2007.
• [14] Polska Norma PN-ISO/IEC 27001:2014.
• [15] Portal Wikipedia [online]. „Red team - Wikipedia, the free encyclopedia”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://en.wikipedia.org/wiki/Red_team
• [16] Portal Wikipedia [online]. „Tiger team - Wikipedia, the free encyclopedia”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://en.wikipedia.org/wiki/Tiger_team
• [17] Portal Wikipedia [online]. „Webmail - Wikipedia, wolna encyklopedia”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://pl.wikipedia.org/wiki/Webmail
• [18] Strona Agile Methodology [online]. „Development Methodologies | What Is Agile Methodology”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://agilemethodology.org/
• [19] Strona CERT.GOV.PL [online]. „Raport z działalności zespołu CERT.GOV.PL za II kwartał 2012 roku”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://www.cert.gov.pl/portal/cer/56/561/Raport_z_dzialalnosci_zespolu_CERTG OVPL_za_II_kwartal_2012.html
• [20] Strona Common Weakness Enumeration [online]. „2011 CWE/SANS Top 25 Most Dangerous Software Errors. Appendix D: Comparison to OWASP Top Ten 2010”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://cwe.mitre.org/top25/#AppendixD
• [21] Strona Common Weakness Enumeration [online]. „2011 CWE/SANS Top 25 Most Dangerous Software Errors” – wersja z 13 września 2011 roku, [dostęp: 21-06-2015]. Dostępny w Internecie: http://cwe.mitre.org/top25/
• [22] Strona ISECOM [online], Pete Herzog, „OSSTMM 3. The Open Source Security Testing Methodology manual”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://www.isecom.org/mirror/OSSTMM.3.pdf
• [23] Strona National Institute of Standards and Technology [offline]. „NIST 800-115 Appendix F- Glossary”. [dostęp: 21-06-2015]. Dostępny w Internecie: http://csrc.nist.gov/publications/nistpubs/800-115/SP800-115.pdf
• [24] Strona National Vulnerability Database (NVD) Search Vulnerabilities [online]. "CVE and CCE Vulnerability Database", [dostęp: 21-06-2015]. Dostępny w Internecie: http://web.nvd.nist.gov/view/vuln/search
• [25] Strona Norwegian University of Science and Technology [online]. „Computer and Information Science, Department of Computer and Information Science”, 2002 [dostęp: 21-06-2015]. Dostępny w Internecie: http://www.idi.ntnu.no/grupper/su/publ/ese/ieee-se-glossary-610.12-1990.pdf, str. 62
• [26] Strona OWASP Foundation © 2011 [online]. „Category: OWASP Testing Project”, [dostęp: 21-06-2015]. Dostępny w Internecie: https://www.owasp.org/index.php/OWASP_Testing_Project
• [27] Strona OWASP Foundation © 2011 [online]. „Category: OWASP Project-OWASP”, [dostęp: 21-06-2015]. Dostępny w Internecie: https://www.owasp.org/index.php/Category:OWASP_Project
• [28] Strona OWASP Foundation © 2011 [online]. „Category: OWASP Top Ten Project”, [dostęp: 21-06-2015]. Dostępny w Internecie: https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
• [29] Strona Scrum Methodology [online]. „Scrum Phases overview”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://www.scrummethodology.org/scrumphases.html
• [30] Schwaber K., Sutherland J., „The Scrum Guide”, wersja polska. [dostęp: 21-06-2015]. Dostępna w Internecie: http://www.scrum.org/Scrum-Guides,
• [31] Strona The Web Application Security Consortium / Threat Classification [online]. „WASC Threat Classification online”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://projects.webappsec.org/w/page/13246978/Threat%20Classification
• [32] Strona University of Calgary [online], „Electrical Engineering”. A. Tappenden, P. Beatty, J. Miller , A. Geras, M. Smith „Agile Security Testing of Web-Based Systems via HTTPUnit”, [dostęp: 21-06-2015]. Dostępny w Internecie: http://enel.ucalgary.ca/People/Smith/2008webs/encm515_08/08ReferenceMaterial/Agile%20Security%20Testing%20Miller%20Smith.pdf