Sicherheitsaudits für PHP-Applikationen

Chorizo nun auch in einer Intranet-Variante erhältlich

Mit Sicherheitsaudits für PHP-Applikationen will Mayflower die Sicherheit entsprechender Software erhöhen. Zugleich stellt das Münchner Softwarehaus auch eine Intranet-Version seines Security Scanners Chorizo! vor.

Artikel veröffentlicht am 7. November 2006, 11:53 Uhr, Jens Ihlenfeld

Die Sicherheitsaudits bietet Mayflower in drei Varianten an. Die kleinste ist der "Chorizo! PenTest", der Angriffsvektoren nachbilden soll, mit denen auch Angreifer versuchen würden, Applikation anzugreifen. Der Sourcecode wird dabei nicht untersucht, sondern die Sicherheit der Applikation von außen geprüft.

Beim "Chorizo! Standard Audit" soll bei überschaubarem Aufwand auch der Quelltext auf Sicherheitslücken untersucht werden: Dabei nimmt Mayflower gezielte Stichproben direkt aus dem Sourcecode der Applikation und prüft diese auf die klassischen Angriffsvektoren wie beispielsweise Code Inclusions, Code Executions, SQL-Injections und Cross Side Scripting.

An große Unternehmen z.B. aus der Finanzindustrie oder dem Logistik-Bereich richtet sich der "Chorizo! Extended Audit". Neben den Standardtests wird dabei der komplette Quelltext Zeile für Zeile untersucht.

Jeder Test beinhaltet Scans mit dem Sicherheits-Scanner Chorizo, der diverse Sicherheitslücken automatisiert aufspüren kann. Diese wird als festes Programmpaket ausgeliefert, welches der Kunde auf einem eigenen Server installieren kann.

Der Quelltext von Chorizo ist dabei verschlüsselt und die Software führt nur Tests auf Servern aus, auf denen eine Schlüsseldatei im Document-Root-Verzeichnis hinterlegt wurde. So soll sichergestellt werden, dass die Software nicht missbräuchlich genutzt wird.

Die Intranet-Version umfasst neben dem eigentlichen Programm auch die PHP-Erweiterung Morcilla, die sehr tiefreichende Sicherheitstests bietet. Die Auslieferung der Software erfolgt mit einer Lifetime-Lizenz.