Usalama wa Mtandaoni - Tathmini ya Udhaifu
Tathmini ya udhaifu wa mfumo ni mchakato wa kimfumo wa usalama wa mtandao unaotumika kubainisha, kuainisha, na kupanga kipaumbele udhaifu wa kiusalama katika mazingira ya kidijitali ya shirika.
Tathmini yetu ya udhaifu wa mfumo wako hufuata hatua zifuatazo:
Usafishaji na Uthibitishaji wa Data
Thibitisha data iliyotumwa na mtumiaji kabla ya kuichakata.
Udhibiti wa Ufikiaji Kulingana na Majukumu (RBAC)
Hakikisha kuwa ufikiaji wa taarifa unadhibitiwa kulingana na ruhusa za mtumiaji.
Uhifadhi Salama wa Data na Usimbaji Fiche
Hakikisha kuwa data nyeti iliyo kwenye hifadhidata imesimbwa fiche. Mfumo wa Laravel hutoa vipengele vya usimbaji fiche [6] vinavyoweza kutumika kusimba data.
Masasisho ya Viraka vya Usalama na Matengenezo
Hakikisha kuwa teknolojia zinazotumika katika uundaji zinasasishwa na kuendana na viraka vya hivi karibuni vya usalama.
Udhibiti wa Kiwango cha Maombi (Rate Limiting)
Hakikisha kuwa sehemu za mwisho (endpoints) zinazotumika kwa uthibitishaji au kutafuta taarifa nyeti zinawekewa mipaka ifaayo ya kiwango cha maombi.
Cross-Site Scripting (XSS)
Hakikisha kuwa data inayorejeshwa kwa mtumiaji imeshughulikiwa ipasavyo ili kuzuia utekelezaji wa hati hatari (escaped).
Kusasisha Vitegemezi (Dependencies)
Endesha npm audit au composer audit –locked kila wiki au kila mwezi ili kuangalia udhaifu na kusasisha vitegemezi ipasavyo.
Matumizi ya Vipengele Visivyo Salama
Epuka kutumia md5() kwa ajili ya usimbaji fiche. [3]
Kukosekana kwa Vichwa vya Habari vya Usalama (Security Headers) na Sera ya Usalama wa Maudhui (CSP)
Vichwa vya habari vya usalama na sera ya usalama wa maudhui (CSP) ya programu yako hufanyiwa tathmini.
Kuweka Kumbukumbu (Logging) za Operesheni za CRUD kwenye Hifadhidata
Pale inapowezekana, weka kumbukumbu za operesheni za Kuunda (Create), Kusoma (Read), Kusasisha (Update), na Kufuta (Delete) zinazofanywa kwenye hifadhidata.
Kukosekana kwa Uidhinishaji
Fanya tathmini ya udhaifu wa aina ya Insecure Direct Object Reference (IDOR) kwa kila njia (route) ya programu ya tovuti. Hakikisha uidhinishaji sahihi umewekwa kwa kila njia ya programu ya tovuti.
Epuka Kuweka Funguo za API na Nywila katika Hifadhi (Repositories) Zinazoshirikiwa.
Ikiwa taarifa nyeti (secrets) zinahitaji kuwekwa kwenye hifadhi, faili husika lazima lisimbwe fiche.
Kukosekana kwa Taarifa za Mawasiliano kwa Masuala ya Usalama (hiari)
Faili la security.txt linaweza kuongezwa kwenye programu ya tovuti. Ina taarifa za mawasiliano kwa ajili ya masuala yanayohusu usalama wa programu yako ya wavuti.
Bei
| Huduma | Kiwango cha saa |
|---|---|
| Tathmini ya Udhaifu wa Usalama |