Jak działa wykrywanie podatności w systemie YetiForce?
Opis
Detektor podatności obecnie sprawdza na ogólnoświatowej bazie CVE:
- biblioteki zewnętrzne używane w CRM (biblioteki napisane w PHP)
- podatności dla używanej wersji PHP
- podatności dla serwera WWW (apache, nginx)
- podatności dla bibliotek na serwerze: OpenSSL
- podatności dla silnika SQL (MySql, MariaDB)
Pomimo, że aplikacja potrafi domyślnie weryfikować tylko część bibliotek, to producent przed opublikowaniem stabilnej wersji sprawdza podatności we wszystkich bibliotekach za pomocą takich narzędzi jak https://snyk.io/, https://security.symfony.com/, https://depfu.com/, https://blackducksoftware.com/, https://david-dm.org/, https://sonarcloud.io/ oraz wielu innych aplikacji.
Panel podatności
Wyszukiwanie podatności jest wykonywane automatycznie po wejściu w narzędzie (Konfiguracja systemu > Bezpieczeństwo > Wykrywanie podatności), system wysyła do https://security.yetiforce.com następujące informacje:
- app-id CRM-a - usługa dostępna tylko dla systemów zarejestrowanych
- wersja PHP
- informacje o systemie operacyjnym (https://www.php.net/manual/en/function.php-uname.php)
- informacje o silniku SQL
- nazwy, wersje, czas aktualizacji bibliotek zewnętrznych używanych w CRM
W odpowiedzi otrzymujemy listę wykrytych podatności wraz ze szczególowymi informacjami o nich:
W przypadku braku podatności jest komunikat
YetiForce Security Dependency Check
Mechanizm wykrywania podatności security.yetiforce.com działa na oficjalnej bazie podatności dostępnej na stronie https://github.com/FriendsOfPHP/security-advisories która bazuje na CVE
Ostrzeżenia systemowe
Weryfikacja podatności odbywa się również w panelu „Ostrzeżenia systemowe” dzięki czemu system cyklicznie sprawdza luki w bezpieczeństwie i informuje administratorów systemu o potencjalnym zagrożeniu które należy zweryfikować.
