Perguntas Frequentes
O que é que o Barracuda Vulnerability Manager analisa?
O Barracuda Vulnerability Manager analisa apenas aplicações web, portanto, irá visar apenas o servidor web para o qual é direcionado. Não analisa a sua rede ou infraestrutura. Por exemplo, o Barracuda Vulnerability Manager não terá como alvo nem analisará firewalls de camada 3, dispositivos VPN, servidores de Email, servidores FTP, sistemas telefónicos ou quaisquer outros dispositivos de rede.
Que tipos de vulnerabilidades o Barracuda Vulnerability Manager deteta?
Referência do Tipo de vulnerabilidade do Barracuda Vulnerability Manager.
O Barracuda Vulnerability Manager deteta muitas vulnerabilidades comuns em aplicações web, incluindo injeção de SQL, XSS, Cross-Site Request Forgery (CSRF) e outras. Para obter uma lista mais detalhada, consulte a “Referência de tipos de vulnerabilidades do Barracuda Vulnerability Manager”.
De onde são realizadas as análises?
As análises do Barracuda Vulnerability Manager são realizadas a partir do centro de dados da Barracuda em Southfield, Michigan. O intervalo de IP é 64.235.153.0/24
Como é realizada a análise?
Para analisar a aplicação web, o Barracuda Vulnerability Manager enviará pedidos especialmente criados para o seu servidor web e analisará as respostas. Os servidores vulneráveis responderão de uma forma que o analisador é capaz de detetar, e nós iremos pô-lo ao corrente disso. Os pedidos enviados pelo Barracuda Vulnerability Manager são especialmente pensados para não causar danos nos seus servidores — apenas detetam vulnerabilidades, sem as explorar de forma alguma.
Que dados o Barracuda Vulnerability Manager recolhe durante a análise?
Durante a análise, o Barracuda Vulnerability Manager recolhe várias informações sobre a sua aplicação; estas informações são utilizadas para aumentar a precisão e encontrar vulnerabilidades na aplicação. Essas informações podem incluir dados sobre as tecnologias e componentes utilizados pela sua aplicação, a estrutura da sua aplicação, bem como listas de páginas, formulários, campos e cookies.
O Barracuda Vulnerability Manager não recolhe qualquer informação pessoal identificável (PII) ou registos da base de dados da sua aplicação, independentemente de esta informação ser ou não acessível ao público. Se o Barracuda Vulnerability Manager encontrar uma vulnerabilidade que possa comprometer a confidencialidade dos dados na sua aplicação web, não recolhe nenhum dos dados que possam estar em risco; em vez disso, apenas alerta para o problema.
O Barracuda Vulnerability Manager também não recolhe o código-fonte (seja do lado do cliente, seja do servidor) da sua aplicação.
Quanto tempo demora uma análise?
A duração da análise varia muito de acordo com o tamanho da sua aplicação, indo desde alguns minutos até vários dias. É possível monitorizar o progresso da verificação no ecrã Análises ativas do Barracuda Vulnerability Manager. Se desejar, também pode limitar a duração da análise; nesse caso, verá apenas as vulnerabilidades encontradas nesse período. Pode sempre cancelar uma análise em execução no momento; novamente, só verá as vulnerabilidades encontradas até que seja cancelada.
Quais são os riscos de executar a análise?
A análise foi especialmente concebida para não causar danos na sua aplicação web, servidor web, base de dados ou infraestrutura de rede. Durante o processo de análise, o analisador submete todos os formulários web encontrados na sua aplicação várias vezes para testar vulnerabilidades. Se tiver formulários desprotegidos que gravem dados numa base de dados ou enviem emails com base em submissões de formulários, poderá constatar um grande número de registos de base de dados ou emails enviados durante a análise. Pode ignorar ou eliminar estes registos e/ou emails em segurança; não causam qualquer dano.
A análise sobrecarregará o meu servidor web?
O Barracuda Vulnerability Manager possui uma funcionalidade automática de proteção contra sobrecarga: se detetar uma carga elevada no seu servidor web, reduzirá automaticamente a velocidade de análise até deixar de ser detetada uma carga elevada. Independentemente da proteção contra sobrecarga, o Barracuda Vulnerability Manager envia um máximo de 15 pedidos por segundo para o seu servidor. Se desejar, pode ajustar este número no separador Rastreamento da caixa de diálogo de configuração da análise. Por exemplo, pode querer aumentar este número se estiver a analisar um servidor que não seja de produção e quiser que a análise seja concluída mais rapidamente.
Posso analisar aplicações alojadas em servidores de cloud públicos, no local, alocados, etc.?
O Barracuda Vulnerability Manager pode analisar qualquer aplicação web acessível ao público, independentemente de onde estiver hospedada. Se algum utilizador na internet puder introduzir o URL da sua aplicação e aceder à mesma, é porque pode ser analisada.
Posso analisar aplicações que estão atrás de um equilibrador de carga ou firewall?
Sim. O Barracuda Vulnerability Manager pode realizar a verificação independentemente de quaisquer equilibradores de carga ou firewalls à frente da aplicação, desde que a aplicação esteja acessível publicamente.
O Barracuda Vulnerability Manager irá "hackear" a minha aplicação para detetar vulnerabilidades?
Não. O Barracuda Vulnerability Manager determinará se a sua aplicação pode ser invadida por um atacante malicioso, mas não irá invadir a sua aplicação. Em particular, o Barracuda Vulnerability Manager não fará com que a sua aplicação execute qualquer código prejudicial, roube dados da sua aplicação ou cause a sua falha.
Os colaboradores da Barracuda terão acesso aos dados da minha aplicação?
Não. Embora o Barracuda Vulnerability Manager possa armazenar dados de pedidos e respostas para auxiliar na localização de vulnerabilidades, os dados da sua aplicação não serão armazenados nos servidores da Barracuda nem estarão acessíveis aos funcionários da Barracuda.
Os relatórios da análise são armazenados na cloud da Barracuda? Como podem garantir a confidencialidade dos relatórios?
Os relatórios da análise são armazenados em servidores especialmente designados no centro de dados dedicado da Barracuda. Só você pode aceder aos seus relatórios utilizando as credenciais do Barracuda Cloud Control. Caso tenha requisitos regulamentares que exijam que os seus dados sejam mantidos em servidores fisicamente separados ou nas suas instalações, entre em contacto connosco para saber as opções disponíveis.
Alguém com acesso ao Barracuda Vulnerability Manager poderia analisar a minha aplicação?
Não. Por motivos de segurança e para evitar abusos, os utilizadores têm de verificar todos os domínios que pretendem analisar, seja através do processo de verificação de domínios do Cloud Control ou através do próprio Barracuda Vulnerability Manager. Os utilizadores serão solicitados a realizar este processo de verificação, que é fácil e apenas requer clicar numa ligação num email.
O Barracuda Vulnerability Manager identificou uma vulnerabilidade na minha aplicação. O que devo fazer?
É necessário tomar medidas imediatas para corrigir as vulnerabilidades encontradas pelo Barracuda Vulnerability Manager, especialmente aquelas com níveis de gravidade Elevado ou Crítico.
A maneira mais fácil de corrigir vulnerabilidades em aplicações web é utilizar um Barracuda Web Application Firewall (WAF). O WAF da Barracuda pode importar os resultados de uma análise do Barracuda Vulnerability Manager e corrigir automaticamente todas as vulnerabilidades encontradas pela análise. Para mais informações, consulte o Resumo da Solução, "Vulnerabilidades de Aplicação Web: da Deteção à Correção".
As informações fornecidas no relatório do Barracuda Vulnerability Manager também podem ser utilizadas pelos programadores da sua aplicação web para localizar e corrigir o problema manualmente no código-fonte da aplicação.
Como posso entrar em contacto com o suporte?
Envie um email para BVM_Support@barracuda.com para obter suporte.
Para obter respostas a perguntas adicionais, entre em contacto com a Barracuda Networks pelo número +1 888 268 4772.
