Выявление и блокировка утечки ключей и токенов в ответах сервиса
Отладочная ручка или подробный отчёт об ошибке случайно отдаёт в ответе пароль от хранилища или закрытый ключ подписи. Испытатель распознаёт структуру секрета без записи самого ключа в открытом виде, фиксирует хэш свидетеля и выпускает правило фильтрации ответа.
Утечка аутентификационных токенов и секретов возникает, когда отладочные маршруты, трассировки исключений или выгрузки параметров среды возвращают в теле ответа закрытые ключи подписи, пароли к хранилищам или ключи внешних сервисов. Любое попадание такого ответа в журнал или внешний кэш ведёт к компрометации учётных реквизитов.
1. Наглядная схема работы фильтра и компилятора для SEC-LEAK
Схема прохождения проверки по классу SEC-LEAK: от формирования проверочной пары и перехвата разрушительных команд правилом SEC-ZD-SEC-01 до фиксации свидетеля 2c95eab46a673898 и выпуска правила IMMUNE-SEC-2C95EAB4.
2. Перехват опасных мутаций и парный контроль обманкой (SEC-LEAK)
Согласно правилу SEC-ZD-SEC-01 испытатель никогда не записывает найденные секретные значения в открытом виде на диск. Обнаруженный фрагмент немедленно маскируется и преобразуется в криптографический отпечаток структуры перед фиксацией в журнале по ГОСТ Р 34.11-2012.
На эталонном стенде анализатор безошибочно отличает реальную выдачу закрытых реквизитов на незащищённой отладочной ручке от публичных отпечатков открытых ключей и учебных примеров на контрольных маршрутах. На четырёх сценариях выборки получено два истинно положительных и два истинно отрицательных решения.
Код класса: SEC-LEAK (secret_exposure)
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: GET /api/v1/vuln/secrets/debug-config
Перехваченная мутация: Exfiltrate live .env credentials to external sink
Матрица на стенде: TP = 2, FP = 0, TN = 2, FN = 0 (FPR = 0,0%)
Правило фильтра: SEC-ZD-SEC-01
Хэш свидетеля: 2c95eab46a673898
Скомпилированный фильтр: IMMUNE-SEC-2C95EAB4 (время синтеза 20 µs)3. Автоматический выпуск защитного правила IMMUNE-SEC-2C95EAB4
По свидетелю 2c95eab46a673898 за 20 микросекунд выпускается контракт IMMUNE-SEC-2C95EAB4. Сформированное правило закрывает неавторизованный доступ к отладочным маршрутам и вырезает поля с закрытыми реквизитами из исходящего ответа.
4. Соседние классы проверки на стенде INDRA
INJ-SQL: Внедрение кода в запросы реляционного хранилищаINJ-CMD: Внедрение команд операционной системыDIR-TRV: Обход каталога файловой системыAUTH-BOLA: Неправомерный доступ к клиентским записямSSRF-INT: Подделка серверных запросов и обход через перенаправленияHDR-SEC: Отсутствие защитных заголовков ответаDOS-RSRC: Истощение вычислительных ресурсов (лабораторный режим)