Trustwave DbProtect for Web Apps

前回の監査でステージング環境で奇妙な SQL パターンが見つかった後、私はこれについて調査し始めました。結局、誰かがデバッグ エンドポイントのワイド オープン クラシック ルーキー ムーブを残したことが判明しました。そこで見つけたのが Trustwave DbProtect for Web Apps でした。派手ではありませんでしたが、5秒ごとに私に怒鳴ることもなく、仕事をしてくれました。

良いもの

リアルタイム監視は、私たちが見逃していたもの、つまり脆弱なエンドポイントをスキャンするボットによる異常なクエリのスパイクを実際に捕らえました。異常を知らせるのがとても早くて驚きました。そしてコンプライアンス報告は？悪夢ではありません。 PCI DSS および GDPR 要件への明確なマッピングを含む PDF が生成されたため、次の内部レビューで時間を節約できました。 Burp Suite や OWASP ZAP などの古いツールと比較すると、実践的ではありませんが、継続的な子守は必要ありません。設定すれば、それだけで動作します。

また、脆弱性評価スキャンは驚くほど正確でした。あるとき、数か月も更新していないサードパーティのフォーム ライブラリに保存されている XSS が指摘されました。それだけでも購読料を払う価値がありました。

あまり良くないこと

まったく初心者向けではありません。 Web アプリのセキュリティを初めて使用する場合、ダッシュボードは少し複雑に感じます。アラート履歴が「レポート」のどこに埋め込まれているかを把握するのに数日かかりました。モバイルアプリもウェブのみです。そのため、週末の消防訓練中に携帯電話でアラートをチェックしている場合、ブラウザ ウィンドウを目を細めることになります。

正直に言うと、無料枠やトライアルがないのは残念です。ブラックボックスにお金を放り込んで、それが役立つことを期待しているだけです。コミットする前にテストする方法はありません。さらに、開発者情報は基本的にゴースト化されており、ウェブサイトも連絡先も何もありません。リスクを嫌う人にとっては危険信号です。

結論

顧客データを処理し、コンプライアンスを証明する必要があるビジネスを運営している場合、Trustwave DbProtect for Web Apps は信頼できる選択肢です。派手さはありませんが、ドラマチックにならずに仕事を終えることができます。サイド プロジェクトをテストしているソロ開発者、または単に無料のものが必要な場合はスキップしてください。しかし、規制された業界にいて、何が安全かを推測するのにうんざりしている場合は、試してみてください。これは、トラブルから静かに守ってくれるツールの 1 つです。