Функционалността на съвременните системи за защита на приложения (WAF) трябва да бъде много по-широка от списъка с уязвимости от OWASP Топ 10

Ретроспектива

Мащабът, съставът и структурата на киберзагрозите за приложенията бързо еволюират. Дълги години потребителите получаваха достъп до уеб приложения чрез интернет с помощта на популярни уеб браузъри. По всяко време трябваше да се поддържат 2-5 уеб браузъра, а наборът от стандарти за разработка и тестване на уеб приложения беше в значителна степен ограничен. Например, почти всички бази данни бяха изградени с помощта на SQL. За съжаление, след кратко време хакерите научиха как да използват уеб приложенията, за да крадат, изтриват или променят данни. Те получаваха незаконен достъп и злоупотребяваха с възможностите на приложенията, използвайки различни трикове, включително измама на потребителите на приложенията, внедряване и дистанционно изпълнение на код. Скоро на пазара се появиха търговски средства за защита на уеб приложения, наречени Web Application Firewalls (WAF), а обществото реагира с основаването на отворен проект за осигуряване на безопасността на уеб приложенията, Open Web Application Security Project (OWASP), с цел определяне и поддържане на стандарти и методологии за разработка на безопасни приложения.

Базова защита на приложения

Списък на OWASP Топ 10 е отправна точка за осигуряване на защита на приложенията и съдържа списък на най-опасните заплахи и неправилни настройки, които могат да доведат до уязвимости на приложенията, както и тактики за откриване и отблъскване на атаки. OWASP Топ 10 е признат за ориентир в индустрията на киберсигурността на приложенията в световен мащаб и определя основния списък от възможности, които трябва да притежава системата за защита на уеб приложения (WAF).

Освен това, функционалността на WAF трябва да вземе предвид и други разпространени атаки върху уеб приложения, включително подправяне на междусайтови заявки (CSRF), кликджекинг (Clickjacking), уеб скрейпинг (web scraping) и включване на файлове (RFI/LFI).

Заплахи и предизвикателства за осигуряване на безопасността на съвременните приложения

В днешно време не всички приложения са достъпни в мрежов вариант. Съществуват облачни приложения, мобилни приложения, API и в новите архитектури дори индивидуални софтуерни функции. Всички тези видове приложения трябва да бъдат синхронизирани и контролирани, тъй като те създават, променят и обработват нашите данни. С появата на нови технологии и парадигми възникват нови предизвикателства и задачи на всички етапи от жизнения цикъл на приложенията. Това включва интеграция на разработка и експлоатация (DevOps), контейнери, Интернет на нещата (IoT), инструменти с отворен код, API и др.

Разпределеното разполагане на приложения и разнообразието от технологии създават сложни и комплексни задачи не само за специалистите по информационна сигурност, но и за производителите на решения за сигурност, които вече не могат да разчитат на унифициран подход. Средствата за защита на приложенията трябва да вземат предвид тяхната бизнесспецифика, за да предотвратят фалшиви сработвания и нарушаване на качеството на услугите за потребителите.

Крайната цел на хакерите обикновено е или кражба на данни, или нарушаване на достъпността на услугите. Злоумышлениците също получават предимство в хода на технологичната еволюция. Първо, развитието на нови технологии създава повече потенциални уязвимости и дупки. Второ, в техния арсенал се появяват повече инструменти и знания за заобикаляне на традиционните средства за защита. Това значително увеличава т.нар. „повърхност на атака“ и уязвимостта на организациите към нови рискове. Политиките за сигурност трябва непрекъснато да се адаптират след промените в технологиите и приложенията.

Следователно, приложенията трябва да бъдат защитени от постоянно растящото многообразие от методи и източници на атаки, а отклоняването на автоматичните атаки трябва да се извършва в реално време на базата на информирано вземане на решения. В резултат на това операционните разходи и ръчният труд нарастват на фона на отслабените позиции в сигурността.

Задача №1: Управление на ботове

Над 60% от интернет трафика се генерира от роботи, половината от който е „лош“ трафик (според данни от доклада за сигурност на Radware). Организациите инвестират в увеличаване на пропускателната способност на мрежата, фактически обслужвайки фиктивно натоварване. Точното разграничаване между реалния потребителски трафик и трафика на ботовете, както и „добрите“ роботи (например, търсачки и услуги за сравнение на цени) и „лошите“ роботи може да доведе до значителна икономия на средства и повишаване на качеството на услугите за потребителите.

Ботовете не възнамеряват да облекчат тази задача и те могат да имитират поведението на реални потребители, да заобикалят CAPTCHA и други препятствия. Освен това, в случай на атаки с динамични IP адреси, защитата, основана на филтриране по IP адрес, става неефективна. Често, средства за разработка с отворен код (например, Phantom JS), които могат да обработват клиентския JavaScript, се използват за извършване на брутфорс атаки, атаки с използване на данни за вход (credential stuffing), DDoS атаки и автоматизирани атаки с ботове.

За ефективно управление на трафика от ботове е необходимо уникално идентифициране на неговия източник (като пръстов отпечатък). Тъй като при атака с ботове възникват множество записи, нейният отпечатък позволява да се открие подозрителна активност и да се присвоят точки, на база на които системата за защита на приложенията взема информирано решение – блокиране/разрешаване – с минимален процент на фалшиви положителни резултати.

Задача №2: Защита на API

Много приложения събират информация и данни от услуги, с които взаимодействат през API. При предаване на конфиденциални данни през API над 50% от организациите не извършват никаква проверка или защита на API за откриване на кибератаки.

Примери за използване на API:

• Интеграция на Интернет на нещата (IoT)
• Междумашинно взаимодействие
• Бессерверни среди
• Мобилни приложения
• Управлявани от събития приложения

Уязвимостите на API са подобни на уязвимостите на приложенията и включват инжекции, атаки на протоколи, манипулации с параметри, пренасочвания и атаки от ботов. Изолираните API шлюзове осигуряват съвместимост на приложните услуги, които взаимодействат чрез API. Въпреки това, те не предоставят цялостна сигурност на приложението, както това прави WAF с необходимите инструменти за сигурност, като парсиране на HTTP заглавия, списък за управление на достъпа Layer 7 (ACL), парсиране и проверка на полезни данни JSON/XML, както и защита от всички уязвимости от списъка OWASP Топ 10. Това се постига чрез инспекция на ключови стойности на API, използвайки позитивни и негативни модели.

Задача №3: Отказ в обслужването

Старият вектор на атаки — отказ в обслужването (DoS) — продължава да доказва своята ефективност в атаките срещу приложения. Злоумишлениците разполагат с цял набор от успешни техники за нарушаване на работата на приложните услуги, включително HTTP или HTTPS наводнения, слаби и бавни атаки („low-and-slow“, например SlowLoris, LOIC, Torshammer), атаки с използване на динамични IP адреси, препълване на буфера, брутфорс атаки и много други. С развитието на Интернет на нещата и последвалото появяване на IoT ботнети, атаките срещу приложенията станаха основна насока на DDoS атаките. Повечето WAF с проследяване на състоянието на връзките могат да се противопоставят само на ограничен обем натоварване. Въпреки това, те могат да инспектират потоците на HTTP/S трафика и да отстраняват атакуващия трафик и злонамерени връзки. След откритие на атака, няма смисъл да се пропуска отново този трафик. Понеже капацитетът на WAF за отразяване на атаки е ограничен, е необходимо допълнително решение на периметъра на мрежата за автоматично блокиране на следващите „лоши“ пакети. За този сценарий на защита и двете решения трябва да имат способността да взаимодействат помежду си за обмен на информация за атаките.

Рис 1. Организация на комплексна защита на мрежата и приложенията на примера на решенията Radware

Задача №4: Непрекъсната защита

Приложения често претърпяват промени. Методологиите за разработка и внедряване, като непрекъснатите актуализации, означават, че модификациите се извършват без човешко участие и контрол. В такива динамични условия е трудно да се поддържат адекватно работещи политики за сигурност без голямо количество фалшиви положителни резултати. Мобилните приложения се актуализират много по-често от уеб приложенията. Приложенията на трети страни могат да се променят без ваше знание. Някои организации се стремят да получат по-голям контрол и видимост, за да останат в течение на потенциалните рискове. Въпреки това, това не винаги е постижимо, и надеждната защита на приложенията трябва да използва възможностите на машинното обучение, за да отчита и визуализира наличните ресурси, да анализира потенциалните заплахи и да създава и оптимизира политики за сигурност при модификации на приложенията.

Изводи

С увеличаващата се роля на приложенията в ежедневния живот, те стават основна цел за хакери. Потенциалната печалба за злонамерените субекти и възможните загуби за бизнеса са огромни. Сложността на задачата за осигуряване на сигурност на приложенията не може да бъде преувеличавана, имайки предвид количеството и вариациите на приложенията и заплахите.

За щастие, ние сме в момент, в който изкуственият интелект може да ни помогне. Алгоритмите, основани на машинното обучение, предоставят адаптивна защита в реално време срещу най-усъвършенстваните кибер заплахи, насочени към приложения. Те също така автоматично актуализират политиките за сигурност, за да защитят уеб, мобилни и облачни приложения — както и API — без фалшиви положителни резултати.

Трудно е с точност да се предвиди какво ще бъде новото поколение кибер заплахи за приложения (може би също основано на машинното обучение). Но организациите със сигурност могат да предприемат стъпки за защита на данните на клиентите, интелектуалната собственост и осигуряване на достъпността на услугите с голяма полза за бизнеса.

Ефективни подходи и методи за осигуряване на сигурността на приложенията, основните типове и вектори на атака, зоните на риск и пропуските в киберзащитата на уеб приложения, както и световният опит и добрите практики, са представени в проучването и доклада на Radware “Сигурност на уеб приложения в цифрово свързан свят".

Източник: habr.com