Инструментальный контроль обязательных защитных заголовков ответа
Веб-сервис отдаёт страницу без заголовков защиты от встраивания в чужой фрейм и подмены типа содержимого, оставляя браузер пользователя уязвимым. Испытатель сверяет набор заголовков ответа с нормативом и выпускает готовую директиву для пограничного шлюза.
Отсутствие защитных заголовков ответа ослабляет защиту клиентской сессии в браузере даже при исправной серверной логике. Без явного запрета на встраивание страницы в сторонние фреймы, принудительного шифрования канала и фиксации типа содержимого интерфейс остаётся подвержен перехвату кликов и подмене сценариев.
1. Наглядная схема работы фильтра и компилятора для HDR-SEC
Схема прохождения проверки по классу HDR-SEC: от формирования проверочной пары и перехвата разрушительных команд правилом SEC-ZD-HDR-01 до фиксации свидетеля 82f5eb1f4842ff2b и выпуска правила IMMUNE-HDR-82F5EB1F.
2. Перехват опасных мутаций и парный контроль обманкой (HDR-SEC)
По правилу SEC-ZD-HDR-01 проверка выполняется безопасным запросом заголовков без изменения состояния узла. Анализатор разбирает точные директивы Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options и Content-Security-Policy.
На четырёх сценариях размеченного стенда, включающих незащищённые и эталонные маршруты, получено два истинно положительных и два истинно отрицательных результата при нулевом уровне ложных тревог.
Код класса: HDR-SEC (missing_security_headers)
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: HEAD /api/v1/vuln/headers/portal
Перехваченная мутация: None (passive response header verification)
Матрица на стенде: TP = 2, FP = 0, TN = 2, FN = 0 (FPR = 0,0%)
Правило фильтра: SEC-ZD-HDR-01
Хэш свидетеля: 82f5eb1f4842ff2b
Скомпилированный фильтр: IMMUNE-HDR-82F5EB1F (время синтеза 20 µs)3. Автоматический выпуск защитного правила IMMUNE-HDR-82F5EB1F
На основании свидетеля 82f5eb1f4842ff2b компилятор за 20 микросекунд формирует правило IMMUNE-HDR-82F5EB1F, добавляющее недостающие защитные заголовки на уровне прокси-фильтра.
4. Соседние классы проверки на стенде INDRA
INJ-SQL: Внедрение кода в запросы реляционного хранилищаINJ-CMD: Внедрение команд операционной системыDIR-TRV: Обход каталога файловой системыAUTH-BOLA: Неправомерный доступ к клиентским записямSSRF-INT: Подделка серверных запросов и обход через перенаправленияSEC-LEAK: Утечка аутентификационных токенов и секретовDOS-RSRC: Истощение вычислительных ресурсов (лабораторный режим)