Encontre a vulnerabilidade de segurança do Node.js e proteja-a corrigindo-a antes que alguém cortar sua aplicação.
Existem algumas ferramentas online para encontrar a vulnerabilidade de segurança comum em PHP, WordPress, Joomla, etc. e eles podem não ser capazes de detectar se seu aplicativo foi construído em Node.js.
Na última descoberta, mais de 80% dos usuários do Snyk acharam seu aplicativo Node.js vulnerável
Pode haver centenas de vulnerabilidades devido a configuração incorreta, pacotes NPM desatualizados etc.
Observação : este artigo se concentra em ferramentas para encontrar uma vulnerabilidade e adicionar proteção de segurança, veja como proteger node.js de ameaças online .
Snyk
Snyk verifica seu repositório node.js GitHub em busca de pontos fracos nas dependências e os corrige continuamente. Você pode instalá-lo usando o NPM. Existem quatro vantagens principais em usar o Snyk
- Teste para dependências vulneráveis
- Seja notificado sobre novas vulnerabilidades
- Mitigar o risco por atualizações e patches necessários
- Impedir a adição de mais dependências
Você pode usar o Snyk gratuitamente em seu repositório público do GitHub do aplicativo Node.js. Junto com seu aplicativo, você também pode realizar um teste em pacotes NPM públicos como express, ionic, etc.
Você pode pegar um veja os resultados da varredura de um dos aplicativos de teste.
Limpar fonte
Examine suas compilações de aplicativos Node.js automaticamente com FonteLimpar e corrija os problemas antes de implantar na produção. Source Clear ajuda você a construir um aplicativo seguro e não apenas Node.js, mas também oferece suporte a projetos Python, Ruby e Java.
Um grande número de bibliotecas e banco de dados de vulnerabilidades é gerenciado pelo Source Clear para detectar todos os tipos de riscos de segurança em seu projeto. Com o Source Clear, você tem a flexibilidade de se integrar com ferramentas de compilação e digitalizar novos commits automaticamente.
Você tem a ideia completa das bibliotecas utilizadas e vê se elas são vulneráveis.
Plataforma de segurança de nós
Plataforma de segurança de nós também é conhecido como nsp é uma das soluções mais populares para monitorar seu aplicativo de nó para segurança.
Você pode adicionar as verificações na própria solicitação pull do GitHub, para que nenhum código vulnerável seja implantado no ambiente de produção.
O NSP é gratuito para código aberto e o primeiro repositório privado.
Acunetix
Acunetix verifica todo o seu site em busca de vulnerabilidades de segurança em aplicativos front-end e do lado do servidor e fornece resultados acionáveis.
O teste Acunetix para mais de 3000 vulnerabilidades inclui OWASP top 10, XSSName SQLi, etc. Você pode se inscrever para um teste de 14 dias para ver se há um buraco no seu balde.
Retire.js
Retire.js verifique seu código em busca de vulnerabilidades públicas conhecidas e informe-o se alguma for detectada. Retire.js é um scanner de linha de comando e está disponível como Chrome e extensão do Firefox.
Verificação de Dependência OWASP
Semelhante ao Retire.js, Verificação de dependência OWASP identifica se há alguma vulnerabilidade divulgada publicamente em Node.js, Python e Ruby.
Você pode usar isso como uma linha de comando, tarefa ant, Maven ou plug-in do Jenkins.
Adicionalmente você pode considerar implementar capacete para proteger seus aplicativos com o necessário Cabeçalhos HTTP . Por padrão, o capacete ajuda você a aplicar os seguintes cabeçalhos.
- Pré-busca de DNS
- Ocultar X-Powered-By
- Segurança de Transporte Estrito HTTP
- NoSniff
- Proteções XSS
Depois de implementado, você pode usar ferramentas online para verificar os cabeçalhos HTTP .
NodeJsScan
Um scanner de código estático. NodeJsScan pode ser integrado com pipelines CI/CD e está pronto para docker. Sua solução auto-hospedada com um belo painel.
Você pode usar o NodeJsScan como uma API baseada na Web, CLI ou Python. Ele verifica a injeção de código remoto, redirecionamento aberto, injeção de SQL, XSS, etc.
Conclusão
As ferramentas acima devem ser capazes de ajudar a escanear seu aplicativo node.js em busca de uma vulnerabilidade de segurança para que você possa protegê-los . Além de proteger os principais aplicativos Node.js, você também deve considerar o uso WAF para proteger contra ameaças online e ataques DDoS.
