Testowanie bezpieczeństwa Java

Question

Czy istnieje coś takiego jak zautomatyzowane testowanie bezpieczeństwa w Javie? Jeśli tak, w jaki sposób jest realizowany? Czy jest to tylko test JUnit napisany, aby spróbować wykorzystać znane luki w zabezpieczeniach serwerów, czy też są one oparte na bezpieczeństwie?

Jako poseł jestem również zainteresowany tym OWASP Security Testing Framework, ale nie mogę stwierdzić, czy używają one "framework" w klasycznym znaczeniu (co oznacza zestaw wytycznych i procedur do naśladowania), czy też kontekst oprogramowania (gdzie faktycznie dostarczają zautomatyzowane komponenty testujące bezpieczeństwo).

Dziękuję wszystkim, którzy mogą rzucić trochę światła na to dla mnie!

Answer 1

Nie wiem, czy jest to dokładnie to, czego szukasz, ale jest też wpis na blogu autorstwa Stephena Colebourne (autora joda-time i przyszłego nowego standardowego interfejsu API daty i czasu dla java8) o testowaniu uprawnień bezpieczeństwa z junit: Stephen Colebourne's blog: Testing a security permission

Answer 2

Fuzz badanie nie boli: http://www.ibm.com/developerworks/java/library/j-fuzztest/index.html

Fuzz testing pomaga upewnić się, że aplikacja jest zabezpieczony przed każdą okazję do wprowadzania danych przez użytkownika.

Testy Fuzz są nieco niezręczne w testach JUnit, ponieważ są "losowe". Możesz chcieć zapętlić i uruchomić kilka testów fuzz na każdej ścieżce wejściowej w pakiecie testowym.

Answer 3

Narzędzia takie jak Sonar i FindBugs mogą być również automatycznym sposobem na znalezienie przynajmniej niektórych problemów związanych z bezpieczeństwem (FindBugs jest dość skuteczny w wykrywaniu ryzyka wstrzyknięcia SQL itp.).

Answer 4

Istnieją komercyjne narzędzia, takie jak VeraCode, które służą do skanowania zabezpieczeń. Nie pracuję dla nich, ale moja firma to wykorzystuje. Wydaje się dość dokładny.

Answer 5

Zautomatyzowane testy bezpieczeństwa to ciężko, ale to nie znaczy, że nie warto tego robić.

Moja sugestia dotycząca aplikacji internetowych - użyj istniejących testów jednostek i integracji (takich jak Selenium), a następnie przeprowadź ich proxy za pomocą narzędzia zabezpieczającego, takiego jak OWASP ZAP (Zed Attack Proxy). Aby uzyskać więcej informacji, patrz http://code.google.com/p/zaproxy/wiki/SecRegTests.

Simon (kierownik projektu ZAP)