Vanliga frågor | FAQ om sårbarhetsskanning och säkerhet för hemsidor

Sårbarhetsskanning

Vad det är, hur man gör, och hur ofta.

Vad är sårbarhetsskanning?

Alla hemsidor, bloggar och webbservrar servas av olika program/mjukvaror.
Då och då upptäcks det sårbarheter i dessa mjukvaror och informationen publiceras på Internet (t ex på nvd.nist.gov).
De kan vara mer eller mindre kritiska och de kan ha olika påverkan beroende på hur mjukvaran används.

En sårbarhetsskanning letar bland annat efter sådana sårbarheter och kanske uppmanar till uppdatering av mjukvaran för att åtgärda buggen.
Men även efter osäkra konfigurationer i mjukvarorna. Eller säkerhets-funktioner som inte är aktiverade, och kanske sätter användare i risk.

Vad är sårbarhetsskanning som tjänst?

Sårbarhetsskanning som tjänst är ett enkelt sätt att regelbundet utföra sårbarhetsskanningar där leverantören utvecklar och underhåller infrastrukturen och mjukvaran som krävs för detta.
Illustration av en person som ligger i soffan

Illustration av en person som ligger i soffan

Vad är skillnaden på penetrationstest och sårbarhetsskanning?

Penetrationstestning och sårbarhetsskanning är två olika metoder för att identifiera säkerhetsbrister i system.

Här är de viktigaste skillnaderna:

Sårbarhetsskanning är en automatiserad process som använder olika verktyg för att söka efter kända sårbarheter i system. Skanningen genererar en rapport om riskerna som hittades.
Penetrationstestning är en manuell process som innebär att en riktig person försöker utnyttja svagheter i ett system. Testet går utöver att endast identifiera sårbarheter, till att aktivt försöka bryta igenom systemets försvar.
Sårbarhetsskanning är ett högnivåtest som fokuserar på att hitta, prioritera och rapportera sårbarheter med hjälp av automatiserade verktyg.
Penetrationstestning är mer ingående och kan t ex innebära simuleringar av hotmodeller för att identifiera möjliga ingångspunkter för attacker.
Sårbarhetsskanning kan automatiseras, medan en stor del av penetrationstestningen görs manuellt av testaren.
Sårbarhetsskanning avslöjar bara svagheter i ett system, medan penetrationstestning upptäcker svagheter och försöker utnyttja dem.
Sårbarhetsskanning kan utföras billigare än penetrationstestning, men penetrationstestning ger mer detaljerad information.

Hur ofta ska en sårbarhetsskanning göras?

Det finns många parameterar som påverkar hur ofta man väljer att skanna efter sårbarheter.

Regulatoriska krav t ex inom banksektorn kan definiera ett minsta intervall.
Läs mer på www.msb.se (Myndigheten för samhällsskydd och beredskap) om du tror att det påverkar dig.

Ett sätt att tänka är:
- "Om min tjänst/hemsida blir hackad, hur påverkar det uppfattningen/tilliten/ryktet om mitt företag?"
- "Vad händer om den data jag har sparad om mina affärer eller kunder raderas eller laddas upp på Internet?"

Det enklaste svaret är så ofta som möjligt.
Vi rekommenderar åtminstonde varje månad, men varför inte varje vecka eller till och med dagligen?

Vilka verktyg används vid en sårbarhetsskanning?

Olika verktyg som fokuserar på olika uppgifter och det viktiga är att hitta en bra kombination av dessa.

Några som vi rekommenderar - och använder i vår tjänst - är följande:

Nmap som används för att upptäcka tjänster, portar och IP-adresser i ett nätverk.

Wapiti som fokuserar på att hitta kända sårbarheter på hemsidor.

TestSSL för att verifiera en korrekt konfiguration av TLS (även känt som SSL, eller HTTPS), det som krypterar trafiken mellan tjänsten och användaren när den går över Internet.

Istället för att alla ska lära sig dessa verktyg rekommenderar vi de flesta att köpa sårbarhetsskanning som tjänst istället.
Alla kan inte vara experter på allt.

Säkerhet på webben

Det är viktigt att se till att din hemsida eller webb-applikation är säker.
Även enkla buggar eller sårbarheter kan resultera i att privat information läcker ut, att någon annan tar kontroll över sidan, eller att dina besökare drabbas av virus, malware eller visas opassande innehåll.

Vad är ett SSL-certifikat?

Ett SSL/TLS-certifikat möjliggör kryptering mellan server och besökare och förhindrar att någon annan kan se eller ändra det som överförst (t ex innehållet på hemsidan, användarnamn och lösenord, cookies).
Om adressfältet i webbläsaren börjar med https är anslutningen krypterad med TLS/SSL.

SSL är numera ersatt av det modernare och säkrare protokollet TLS, men de syftar på samma sak och fungerar på samma sätt.
Om du vill djupdyka i ämnet rekommenderas läsningen Web security > Transport Layer Security på Mozillas hemsida för utvecklare.

Hur skaffar jag ett SSL-certifikat?

Det är enklare än nånsin att skaffa ett SSL/TLS-certifikat idag och det finns ingen anledning att inte ha ett.

Tjänsten Let's Encrypt erbjuder gratis och automatiserad certifikat-hantering. Allt som behövs är att installera och följa instruktionerna till valfri klient som stödjer deras protokoll.