如何处理ScanAlert？

Question

我的一个客户使用McAfee ScanAlert（即HackerSafe）。它基本上每天都有大约1500个不良请求在寻找安全漏洞。由于它表现出恶意行为，因此在几次不良请求之后阻止它是很诱人的，但也许我应该让它运用UI。如果我不让它完成，这是真正的考验吗？

Answer 1

  

这个网站的安全漏洞是不是让黑客把所有东西扔进他们的网站？

那么，你应该专注于关闭洞，而不是试图阻止扫描仪（这是徒劳的战斗）。考虑自己运行这样的测试。

Answer 2

在几次试验后阻止不良请求是件好事，但你应该让它继续下去。 如果您在5次不良请求后阻止它，您将不知道第6次请求是否会导致您的网站崩溃。

编辑： 我的意思是，一些攻击者可能只发送一个请求，但类似于您未阻止的那些1495中的一个请求，并且这一个请求可能会使您的网站崩溃。

Answer 3

防止安全漏洞需要针对​​不同攻击的不同策略。例如，在拒绝服务攻击期间阻止某些来源的流量并不罕见。如果用户未能提供超过3次的正确凭据，则IP地址被阻止或帐户被锁定。

当ScanAlert发出数百个可能包含SQL注入的请求时 - 命名一个 - 它肯定与网站代码应该考虑的“恶意行为”相匹配。

事实上，只是将UrlScan或eEye SecureIIS放在适当位置可能会拒绝许多此类请求，但这是对网站代码的真正测试。站点代码的工作是检测恶意用户/请求并拒绝它们。测试的哪一层有效？

ScanAlert以两种不同的方式呈现：不正确的请求数量以及作为测试的每个单独请求的种类。似乎出现的两条建议如下：

1. 网站代码不应该尝试检测来自特定来源的恶意流量并阻止该流量，因为这是徒劳的。
2. 如果您确实尝试了这样的徒劳，至少要对ScanAlert的请求进行例外处理以测试较低层。

Answer 4

如果它没有损害网站的性能，我认为这是一件好事。如果你有1000个客户到同一个网站都这样做，是的，阻止它。

但如果该网站是为该客户构建的，我认为他们这样做是公平的。