Bezpečnostní testování webových aplikací

Mgr. Šárka Möstlová

Bachelor's thesis

Security Testing of Web Applications

Abstract:

Práce se zabývá bezpečnostním testováním webových aplikací. Na úvodních stránkách dochází k definování pojmosloví v oblasti testování, IT rizik a bezpečnosti. Co všechno lze do bezpečnostních ověření a testů zařadit, je ukázáno na průchodu bezpečným vývojovým cyklem softwaru. Krátce jsou představena i specifika bezpečnostních testů v agilním vývoji a DevSecOps. Následuje souhrn poznatků ohledně nejčastějších rizik, které hrozí webovým aplikacím, a jak jsou konkrétní slabiny a zranitelnosti evidovány a klasifikovány. Pro provedení testů je dále nutné představit metodologie testování a konkrétně projít jednotlivé kroky při přípravě, provedení testů a reportování. Na základě těchto poznatků je autorkou práce provedeno testování jí vytvořené webové aplikace. Jedná se o testy ve fázi implementace a verifikace v rámci vývojového cyklu softwaru. Identifikované bezpečnostní nálezy jsou opatřeny doporučeními pro odstranění chyb.

Abstract:

This thesis focuses on security testing of web applications. On the introductory pages, the terminology in the field of testing, IT risks, IT security, web security testing is defined. In the description of the secure life cycle development, different kinds of security verifications and tests are described. The specifics of security activities in agile development and DevSecOps are also briefly introduced. Summary of knowledge about the most common web security risks follows and chosen standardized systems of enumerations of vulnerabilities and weaknesses are included as well. In order to perform the tests, it is necessary to define the testing methodology and specifically explain different stages from the test preparation, test execution to bug reporting. Based on the theoretical grounds a web application created by the author of the thesis is being tested according to chosen methodologies. Both tests from the implementation and verification phase of a secure software development lifecycle are included. Identified vulnerabilities are explained and described accompanied by recommendations to eliminate those security bugs.

Keywords

security testing, OWASP, webová aplikace, bezpečnostní riziko, penetrační testování, bezpečnostní slabiny, zranitelnosti IT systému, DevSecOps, Bezpečnostní testování

Keywords

Security Testing, OWASP, Web Application, Security Risk, Penetration Testing, Security Weakness, IT System Vulnerability, DevSecOps

Language used: Czech

Date on which the thesis was submitted / produced: 29. 11. 2020

Thesis defence

• Supervisor: Ing. Jiří Brožek, Ph.D.

Czech University of Life Sciences Prague

Faculty of Economics and Management

Bachelor programme / field:
Systems Engineering and Informatics / Informatics