Scan Web authentifié

Ce guide fournit une procédure pas à pas sur l'exécution d'un scan Web authentifié à l'aide d'Ostorlab.

1. Cliquez sur "New Scan"

Cliquez sur l'icône "New Scan" dans la barre supérieure.

2. Cliquez sur "Web App"

Choisissez l'option "Web App" parmi les types d'actifs disponibles.

3. Spécifiez les URL ou les domaines cibles

Saisissez les URL ou les domaines à scanner, chacun sur une ligne distincte, puis cliquez sur "Continue". L'étape "Extra Context" qui suit est optionnelle : cliquez à nouveau sur "Continue" pour la passer.

4. Sélectionnez l'option "Full Web Scan"

Sélectionnez le profil "Full Web Scan", puis cliquez sur "Continue". Un profil affichant un cadenas et un bouton "Unlock Profile" n'est pas inclus dans le plan de votre organisation ; "Unlock Profile" ouvre la page des plans.

5. Sélectionnez ou ajoutez des identifiants de test

L'étape "Test Credentials" vous permet de sélectionner un ou plusieurs identifiants de test (test credentials) prédéfinis ou d'en ajouter de nouveaux. Les identifiants de test augmentent la couverture de l'analyse dynamique. Pour en ajouter un nouveau, cliquez sur "+ Test Credentials".

6. Ajoutez un identifiant de test

Les types pris en charge sont :

• Login & Password : une combinaison nom d'utilisateur et mot de passe.
• Custom Credentials : des paires clé-valeur personnalisées, associées sémantiquement pendant les tests, pour les champs de formulaire personnalisés tels que le nom d'utilisateur, le mot de passe et le nom de domaine.
• 2FA SMS, 2FA Email, 2FA TOTP et 2FA Manual : l'authentification à deux facteurs. Voir 2FA pour les scans authentifiés.
• Basic Authentication : le schéma d'authentification HTTP Basic.
• Script : Vous permet de télécharger un script puppeteer. Cela peut être très utile pour activer des flux d'authentification complexes ou des interactions complexes comme le paiement (checkout).
• Certificate : un certificat client TLS.
• HTTP Headers : Vous permet de fournir des en-têtes (headers) tels que Authorization, User-Agent, etc.

Par exemple, pour ajouter un "Login & Password", sélectionnez l'option "Login & Password" dans le menu des identifiants de test.

Entrez le nom d'utilisateur, le mot de passe et l'URL

Saisissez le nom d'utilisateur, le mot de passe et l'URL de la page de connexion. Le libellé et le rôle sont optionnels. L'identifiant de test est enregistré et ajouté au scan une fois que vous cliquez sur Start scan.

7. Fournir un User-Agent personnalisé

L'en-tête de requête HTTP User-Agent permet aux serveurs d'identifier l'application, le fournisseur et/ou la version de l'agent utilisateur qui effectue la requête.

Ostorlab utilise un agent utilisateur lors du scan des applications web. Cependant, les utilisateurs peuvent parfois souhaiter fournir leur propre agent utilisateur pour qu'il soit utilisé pendant le scan. Pour ce faire, il suffit d'ajouter une information d'identification de test de type En-tête HTTP.

1. Saisissez facultativement une étiquette pour identifier facilement cette information d'identification de test, par exemple "Agent Utilisateur Personnalisé".
2. Dans le champ name, saisissez User-Agent.
3. Dans le champ value, saisissez l'agent utilisateur de votre choix, par exemple Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36.

Lors de l'exécution d'un scan web authentifié, vous pouvez sélectionner cette information d'identification de test à l'étape "Set scan credentials" et l'application web sera scannée en utilisant l'agent utilisateur personnalisé.

8. Configurez éventuellement les autres étapes

Les étapes "SBOM Files", "Advanced Settings", "Custom Checks" et "Tags" sont optionnelles. Les paramètres avancés incluent le QPS (nombre maximum de requêtes par seconde), un proxy et une expression régulière (regex) de filtrage d'URL.

9. Cliquez sur "Start scan"

Cliquez sur le bouton "Start scan" pour créer le scan.

10. Ouvrez vos scans

La page du scan s'ouvre avec le message "Scan created". Pour suivre le scan, cliquez sur l'icône "Scans" dans la barre supérieure. Le scan apparaît dans le tableau des scans : il est d'abord mis en file d'attente, puis s'exécute.

Dans ce guide, vous avez appris comment exécuter un scan Web authentifié à l'aide d'Ostorlab. Les instructions couvraient la configuration des paramètres de scan, l'ajout d'URL et de domaines, ainsi que l'authentification avec des identifiants de connexion. En suivant ces étapes, vous pouvez vous assurer d'un scan Web approfondi et sécurisé pour vos applications.