Функционал на съвременните системи за защита на приложения (WAF) трябва да бъде много по-широк от списъка с уязвимости от OWASP Топ 10

Ретроспектива

Мащабът, съставът и структурата на киберзаплахите за приложения бързо еволюират. Действащите години, потребителите получаваха достъп до уеб приложения чрез интернет с помощта на популярни уеб браузъри. Във всеки момент бе необходимо да се поддържат 2-5 уеб браузъра, а наборът от стандарти за разработка и тестване на уеб приложения беше значително ограничен. Например, почти всички бази данни бяха изградени с използване на SQL. За съжаление, след кратко време хакерите научиха как да използват уеб приложенията за кражба, изтриване или изменение на данни. Те получаваха незаконен достъп и злоупотребяваха с възможностите на приложенията, използвайки различни техники, включително измама на потребителите на приложения, инжектиране и отдалечено изпълнение на код. Скоро на пазара се появиха комерсиални средства за защита на уеб приложения, наречени Web Application Firewalls (WAF), а обществото реагира, създавайки отворен проект за осигуряване на безопасност на уеб приложенията, Open Web Application Security Project (OWASP), с цел да определи и поддържа стандарти и методологии за разработка на сигурни приложения.

Основна защита на приложенията

Списъкът OWASP Топ 10 е отправна точка за осигуряване защитата на приложенията и съдържа списък с най-опасните заплахи и неправилни настройки, които могат да доведат до уязвимости на приложенията, както и тактики за откриване и отразяване на атаки. OWASP Топ 10 е признат ориентир в индустрията на киберсигурността на приложения по целия свят и определя основен списък с възможности, които трябва да притежава система за защита на уеб приложения (WAF).

Освен това, функционалността на WAF трябва да отчита и други разпространени атаки на уеб приложения, включително Cross-Site Request Forgery (CSRF), кликджекинг (Clickjacking), уеб скрейпинг (web scraping) и включване на файлове (RFI/LFI).

Заплахи и предизвикателства за осигуряване безопасността на съвременните приложения

Днес далеч не всички приложения са реализирани в мрежов вариант. Има облачни приложения, мобилни приложения, API и в новите архитектури дори индивидуални софтуерни функции. Всички тези видове приложения трябва да бъдат синхронизирани и контролирани, тъй като те създават, променят и обработват нашите данни. С появата на нови технологии и парадигми възникват нови предизвикателства и задачи на всички етапи от жизнения цикъл на приложенията. Това включва интеграция на разработката и експлоатацията (DevOps), контейнери, Интернет на нещата (IoT), инструменти с отворен код, API и други.

Разпределеното разполагане на приложения и разнообразието от технологии създават сложни и комплексни задачи не само за специалистите по информационна безопасност, но и за производителите на решения за безопасност, които вече не могат да разчитат на унифициран подход. Средствата за защита на приложенията трябва да вземат предвид бизнес спецификата им, за да предотвратят фалшиви сработвания и нарушения на качеството на услугите за потребителите.

Крайната цел на хакерите обикновено е или кражба на данни, или нарушаване на достъпността на услугите. Злоумесниците също получават предимства в хода на технологичната еволюция. Първо, развитието на нови технологии създава повече потенциални уязвимости и пропуски. Второ, в техния арсенал се появяват повече инструменти и знания за заобикаляне на традиционните средства за защита. Това значително увеличава т.нар. "повърхност на атака" и уязвимостите на организациите към нови рискове. Политиките за безопасност трябва постоянно да се променят в синхрон с измененията в технологиите и приложенията.

Така че, приложенията трябва да бъдат защитени от постоянно растящото разнообразие от методи и източници на атака, а отблъскването на автоматизирани атаки трябва да се осъществява в реално време на базата на информирани решения. В резултат на това нарастват оперативните разходи и ръчният труд на фона на отслабените позиции в сигурността.

Задача №1: Управление на ботове

Над 60% от интернет трафика се генерира от ботове, половината от който попада в категорията "лош трафик" (според данни от доклада по безопасността на Radware). Организациите инвестират в увеличаване на капацитета на мрежата, в същността обслужвайки фиктивен трафик. Точното разграничаване между истинския потребителски трафик и трафика на ботове, както и „добрите“ ботове (например, уеб Crawlers и услуги за сравнение на цени) и „лошите“ ботове може да доведе до значителна икономия на средства и подобряване на качеството на услугите за потребителите.

Ботовете не възнамеряват да улеснят тази задача и могат да имитират поведението на истински потребители, да заобикалят CAPTCHA и други пречки. Освен това, при атаки с използване на динамични IP адреси, защитата на базата на филтрация по IP адрес става неефективна. Често, средства за разработка с отворен код (например, Phantom JS), които могат да обработват клиентския JavaScript, се използват за извършване на брутфорс атаки, атаки с натрупване на идентификационни данни (credential stuffing), DDoS атаки и автоматизирани атаки с ботове.

За ефективно управление на трафика на ботове е необходима уникална идентификация на източника му (като пръстов отпечатък). Тъй като при атака с ботове възникват множество записи, нейният отпечатък помага за откриване на подозрителна активност и присвояване на точки, на база на които системата за защита на приложенията взема информирано решение – блокиране/разрешаване – с минимален процент на фалшиво положителни резултати.

Задача №2: Защита на API

Много приложения събират информация и данни от услуги, с които взаимодействат чрез API. При предаване на конфиденциални данни чрез API над 50% от организациите не извършват нито проверка, нито защита на API за откриване на кибератаки.

Примери за използване на API:

• Интеграция на Интернет на нещата (IoT)
• Междинно взаимодействие между машини
• Безсървърни среди
• Мобилни приложения
• Управляеми от събития приложения

Уязвимостите на API са подобни на уязвимостите на приложения и включват инжекции, атаки на протоколи, манипулации с параметри, пренасочвания и атаки от ботов. Изолирани API шлюзове предлагат гаранция за съвместимост на услугите на приложенията, които взаимодействат през API. Въпреки това, те не осигуряват крайна сигурност на приложението, каквато предлага WAF с необходимите инструменти за сигурност, като парсинг на HTTP заглавия, списък за управление на достъпа Layer 7 (ACL), парсинг и проверка на полезни товари JSON/XML, както и защита от всички уязвимости от списъка OWASP Top 10. Това се постига чрез инспекция на ключовите стойности на API с помощта на положителни и отрицателни модели.

Задача №3: Отказ в обслужването

Старият вектор на атаки — отказ в обслужването (DoS) — продължава да доказва своята ефективност в атаки на приложения. Киберпрестъпниците разполагат с цял набор от успешни техники за нарушаване на работата на услугите на приложенията, включително HTTP или HTTPS наводнявания, маломощни и бавни атаки (например SlowLoris, LOIC, Torshammer), атаки с динамични IP адреси, препълване на буфера, брутфорс атаки и много други. С развитието на Интернет на нещата и последвалото появяване на IoT ботнети, атаките на приложения станаха основна насока на DDoS атаките. Повечето WAF с проследяване на състоянието на връзките могат да устоят само на ограничен обем натоварване. Въпреки това, те могат да инспектират потоци от HTTP/S трафик и да премахват трафика на атаки и злонамерени свързвания. След установяване на атака, няма смисъл да пропускате отново този трафик. Понеже пропускната способност на WAF за отблъскване на атаки е ограничена, е необходимо допълнително решение на периметъра на мрежата за автоматично блокиране на следващите "лоши" пакети. За този сценарий на защита, и двете решения трябва да имат възможност да взаимодействат помежду си за обмен на информация относно атаките.

Рис 1. Организация на комплексна защита на мрежата и приложенията на примера на решенията Radware

Задача №4: Непрекъсната защита

Приложения често преминават през промени. Методологии за разработка и внедряване, като непрекъснатите актуализации, означават, че модификациите се извършват без човешка намеса и контрол. В такива динамични условия е трудно да се поддържат адекватни политики за сигурност без високо ниво на фалшиви положителни срабатывания. Мобилните приложения се актуализират много по-често от уеб приложенията. Приложенията на трети страни могат да се променят без ваше знание. Някои организации се стремят да придобият по-голям контрол и визуализация, за да останат в крак с потенциалните рискове. Въпреки това, това не винаги е постижимо, а надеждната защита на приложенията трябва да използва възможностите на машинното обучение за отчитане и визуално представяне на наличните ресурси, анализа на потенциални заплахи, създаване и оптимизация на политики за сигурност при модификация на приложения.

Изводи

С увеличаването на значението на приложенията в ежедневието, те стават основна цел за хакери. Потенциалната печалба за злоумышленици и потенциалните загуби за бизнеса са огромни. Сложността на задачата за осигуряване на сигурността на приложенията не може да бъде преувеличена, предвид количеството и вариациите на приложенията и заплахите.

За щастие, ние сме в такъв момент от времето, когато изкуственият интелект може да дойде на помощ. Алгоритмите, базирани на машинно обучение, осигуряват адаптивна защита в реално време от най-напредналите киберзаплахи, насочени към приложения. Те автоматично актуализират политиките за сигурност за защита на уеб, мобилни и облачни приложения — както и API — без фалшиви положителни срабатывания.

Трудно е точно да се предвиди какво ще бъде новото поколение киберзаплахи за приложенията (възможно е също да бъде основано на машинно обучение). Но организациите определено могат да предприемат стъпки за защита на клиентските данни, интелектуалната собственост и гарантиране на наличността на услугите с голямо предимство за бизнеса.

Ефективни подходи и методи за осигуряване на сигурност на приложенията, основни типове и вектори на атака, зони на риск и пропуски в киберзащитата на уеб приложения, както и световният опит и най-добри практики са представени в изследването и доклада на Radware.Сигурност на уеб приложения в цифрово свързан свят”.

Източник: habr.com