Differenza / Relazione tra analisi di perdita di dati e analisi di vulnerabilità?

Question

Differenza / Relazione tra analisi di perdita di dati e analisi di vulnerabilità?

#1 da (2 voti)
#2 da (0 voti)

4

Qual è la differenza / relazione tra analisi di perdita di dati e analisi di vulnerabilità? Quanto e quale tipo di test di vulnerabilità è richiesto per l'analisi della fuga di dati?

Devo fornire un rapporto sull'analisi delle perdite di dati per alcune applicazioni mobili. In base a quanto so, la perdita di dati si verifica quando un'app stessa invia dati importanti all'esterno, ad es. sul server remoto o su un file di registro (accessibile ad altre app sul SO mobile) o conservandolo in un luogo non sicuro e vulnerabile.

Secondo la mia comprensione, devo solo controllare come comunicare e salvare dati importanti.

Per quanto riguarda le vulnerabilità e lo sfruttamento, è possibile che alcuni malintenzionati possano usare modi sofisticati e intelligenti per hackerare un'app e rubarne i dati. Cioè né hanno hackerato il metodo di comunicazione dei dati della vittima né le possibili posizioni di archiviazione (ad es. log), ma alcuni altri componenti dell'applicazione. Per esempio. chiamare una funzione con un server remoto diverso per inviare dati a ....

Capisco che alcune analisi di vulnerabilità saranno richieste, ad es. i dati inviati al server non dovrebbero essere non crittografati ... ma quanto profonda (e che tipo di) analisi di vulnerabilità è richiesta di solito? Per esempio. lo scenario che ho citato nel precedente paragrafo, sono richieste tali prove?

mobile data-leakage vulnerability

posta blackfyre 26.02.2015 - 11:55

fonte

2 risposte

0

Le vulnerabilità possono variare da "vai a casa, sei pwned" a "pest". Ovviamente, se tu prendi completamente il controllo di un sistema, tutti i suoi dati sono lì per te da raccogliere. La perdita di dati può essere intrinseca alla progettazione di un'applicazione (trasmissione di dati sul filo in testo normale), un errore di programmazione (ehi, l'ID di sessione è disattivato da uno!), Oppure può derivare da vulnerabilità come SQLi, XSS o CSRF .

Quando cerchi fughe di dati, controlla i controlli di accesso / trasporto e assicurati che quei controlli non possano essere aggirati da una vulnerabilità. Fai attenzione anche alle vulnerabilità della varietà da giardino, perché puoi sfruttarle per ottenere il tuo sistema di destinazione in modo da fornirti dati protetti.

La perdita di dati è il tuo obiettivo. Puoi arrivarci in vari modi, che devi elencare al meglio delle tue capacità.

risposta data 02.03.2015 - 16:38

fonte

Leggi altre domande sui tag mobile data-leakage vulnerability

Verifica della vulnerabilità legata all'iniezione SQL Segregazione di una stampante nella mia rete aziendale

score 2 · Accepted Answer

"Perdita di dati" viene in genere definito come dati non autorizzati che diventano disponibili a causa delle azioni del normale funzionamento del programma / utente. Per quanto riguarda il tuo esempio di dati trasmessi non criptati, vedrei che non si tratta di un'analisi di vulnerabilità ma di una parte normale di un'analisi dei dati (qualsiasi luogo che i dati richiedono richiede protezioni appropriate per la classificazione di tali dati).

La relazione, quindi, con le "vulnerabilità" ha a che fare con informazioni che possono essere estratte se un utente sfrutta un punto debole del programma.

La differenza è normale operazione vs operazione inattesa.

Per quanto riguarda la quantità di analisi delle vulnerabilità che potrebbe essere richiesta, dipende dalla portata e dalle aspettative del report. Se si è incaricati di definire l'impatto delle normali operazioni ("focus operativo"), non è necessario eseguire alcun test di vulnerabilità. Se, d'altra parte, il report dovrebbe definire ogni singola minaccia ai dati ("data focus"), allora è necessario eseguire un'analisi molto dettagliata non solo delle potenziali vulnerabilità, ma anche di un'analisi approfondita di un'analisi del codice e dell'architettura stessa.