Еволюция на Web Application Firewall: от мрежови екрани до облачни системи за защита с машинно обучение

В нашето предишно изследване на облачната тематика говорихме за разказваха, как да защитим ИТ ресурсите в публичното облако и защо традиционните антивируси не са напълно подходящи за тези цели. В тази публикация ще продължим темата за облачната сигурност и ще обсъдим еволюцията на WAF и какво е най-добре да изберем: хардуер, софтуер или облак. 

Какво е WAF

Над 75% от хакерските атаки целят уязвимости на уеб приложения и сайтове: такива атаки обикновено остават незабелязани от ИТ инфраструктурата и екипите за киберсигурност. Уязвимостите на уеб приложения носят със себе си рискове от компрометиране и измама на акаунти и лични данни на потребителите, пароли, номера на кредитни карти. Освен това, уязвимостите на сайта служат като входна точка за злоумышленици в корпоративната мрежа.

Web Application Firewall (WAF) е защитен екран, който блокира атаки срещу уеб приложения: SQL инжекции, междусайтово скриптиране, дистанционно изпълнение на код, bruteforce и обход на авторизация (auth bypass). Включително атаки, използващи zero-day уязвимости. Файъруолите на приложения осигуряват защита, като извършват мониторинг на съдържанието на уеб страниците, включително HTML, DHTML и CSS, и филтрират потенциално вредоносни заявки по HTTP/HTTPS.

Какви бяха първите решения?

Първите опити за създаване на Web Application Firewall бяха предприети още в началото на 90-те години. Известно е за поне трима инженери, работещи в тази област. Първият е професорът по компютърни науки Джийн Спафорд от Университета Пердю. Той описа архитектурата на файървола с прокси и я публикува през 1991 г. в книгата си „Сигурността на UNIX на практика“.

Вторият и третият бяха специалисти по киберсигурност Уилиям Чесвик и Маркус Ранум от Bell Labs. Те разработиха един от първите прототипи на приложенията за защитни стени. Техният прототип бе разпространяван от компанията DEC — продуктът беше пуснат под името SEAL (Secure External Access Link).

Но SEAL не беше пълнофункционално WAF решение. Това беше класически мрежов файъруол с разширени функции — възможност за блокиране на атаки срещу FTP и RSH. По тази причина първото WAF решение днес се счита за продукт на компанията Perfecto Technologies (по-късно Sanctum). През 1999 година тя. представи системата AppShield. По същото време Perfecto Technologies разработваше решения за информационна сигурност за електронната търговия, а целевата аудитория на новия им продукт бяха онлайн магазините. AppShield можеше да анализира HTTP заявки и блокираше атаки на база на динамични политики за информационна сигурност.

Приблизително по същото време с AppShield (през 2002 година) се появи и първият WAF с отворен код. Той стана ModSecurity. Той беше създаден с цел да популяризира WAF технологиите и до днешен ден се поддържа от ИТ общността (ето и неговият репозитория в GitHub.). ModSecurity блокира атаките на приложенията, основавайки се на стандартен набор от регулярни изрази (сигнатури) — инструменти за проверка на заявките по шаблон — OWASP Core Rule Set.

В крайна сметка разработчиците успяха да постигнат целта си — на пазара започнаха да се появяват нови WAF решения, включително построени на базата на ModSecurity.

Три поколения — вече история

Прието е да се разграничават три поколения WAF системи, еволюирали с развитието на технологиите.

Първо поколение. Работи с регулярни изрази (или граматики). Към него спада ModSecurity. Доставчикът на системата изследва видовете атаки на приложенията и формира шаблони, които описват легитимни и потенциално вредни заявки. WAF сравнява с тези списъци и решава какво да прави в конкретната ситуация — да блокира трафика или не.

Примерът за откритие на база регулярни изрази е вече споменатият проект Core Rule Set с отворен код. Друг пример е Naxsi, който също е с отворен код. Системите с регулярни изрази имат редица недостатъци, по-специално, когато става въпрос за откритие на нова уязвимост, администраторът трябва да създава допълнителни правила ръчно. В случай на мащабна ИТ инфраструктура правилата могат да бъдат хиляди. Управлението на такова количество регулярни изрази е доста сложно, да не говорим за това, че тяхната проверка може да понижи производителността на мрежата.

Регулярните изрази имат доста висок процент на фалшиви сработвания. Известният лингвист Ноам Хомски предложи класификация на граматики, като ги раздели на четири условни нива на сложност. Според тази класификация, с регулярните изрази могат да се опишат само правилата на защитни стени, които не предвиждат отклонения от шаблона. Това означава, че злонамерени лица могат лесно да "измамят" WAF от първо поколение. Един от методите за справяне с това е добавянето на специални символи в заявките към приложенията, които не оказват влияние върху логиката на злонамерените данни, но нарушават сигнатурното правило.

Второ поколение. За да се преодолеят проблемите, свързани с производителността и точността на WAF, бяха разработени защитни стени от второ поколение. В тях се появиха парсери, които отговарят за откриването на строго определени типове атаки (на HTML, JS и т.н.). Тези парсери работят със специални токени, описващи заявките (например, variable, string, unknown, number). Потенциално злонамерените последователности от токени се изнасят в отделен списък, с който WAF-системата редовно сверява. За първи път този подход беше представен на конференцията Black Hat 2012 под формата на C/C++ библиотеки libinjection, което позволява откриването на SQL инжекции.

В сравнение с WAF от първо поколение, специализираните парсери могат да работят по-бързо. Въпреки това, те не решиха трудностите, свързани с ръчната настройка на системата при появата на нови злонамерени атаки.

Трето поколение. Еволюцията в логиката на откриване на третото поколение се състои в прилагането на методи за машинно обучение, позволяващи максимално да се приближи граматиката на откритията до реалната граматика на SQL/HTML/JS на защитените системи. Тази логика на откритие е способна да адаптира машината на Тюринг, за да обхване рекурсивно изброяваните граматики. Освен това, преди това задачата за създаване на адаптивна машина на Тюринг беше неразрешима, докато не бяха публикувани първите изследвания на невронните машини на Тюринг.

Машинното обучение предоставя уникална възможност за адаптиране на всяка граматика, за да обхване всеки тип атаки без да е необходимо ръчно създаване на списъци с сигнатури, както е било необходимо при откритията от първото поколение, и без разработване на нови токенизатори/парсери за нови типове атаки като Memcached инжекции, Redis, Cassandra, SSRF, които изисква методологията на второто поколение.

Обединявайки всичките три поколения логика за откритие, можем да начертаем нова диаграма, на която червеният контур представлява третото поколение откритие (фиг. 3). Към това поколение принадлежи едно от решенията, които ние реализираме в облака съвместно с „Онсек“, разработчик на платформата за адаптивна защита на уеб приложения и API Валарм.

Сега логиката на откритие използва обратна връзка от приложението за само-настройка. В рамките на машинното обучение този цикъл на обратна връзка се нарича „подкрепление“. Обикновено съществува един или няколко типа такова подкрепление:

• Анализ на поведението на отговора на приложението (пасивно)
• Сканиране/фаззер (активно)
• Файлове с отчети/процедури-перехватчици/капани (пост фактум)
• Ръчно (определя се от супервизора)

В резултат на това логиката на третото поколение откритие също решава важен проблем с точността. Сега е възможно не само да се избегнат фалшиви сработвания и фалшиви отрицания, но и да се открият допустими истински отрицателни резултати като откритие на използването на SQL команден елемент в контролния панел, зареждане на шаблони за уеб страници, AJAX заявки, свързани с JavaScript грешки и други.

Далее ще разгледаме технологичните възможности на различните варианти за реализация на WAF.

Хардуер, софтуер или облак — какво да изберем?

Един от вариантите за реализиране на защитни стени за приложения е „хардуерно“ решение. Тези системи представляват специализирани изчислителни устройства, които компанията инсталира локално в своята дата-център. Но в този случай е необходимо да се закупи собствено оборудване и да се платят пари на интеграторите за настройка и отстраняване на проблеми (ако фирмата няма собствен ИТ отдел). В същото време всяко оборудване остарява и става неизползваемо, така че клиентите често трябва да предвидят бюджет за обновление на хардуера.

Алтернативен вариант за внедряване на WAF е софтуерната реализация. Решението се инсталира като допълнение за някакъв софтуер (например, ModSecurity се конфигурира върху Apache) и работи на един сървър с него. Обикновено подобни решения могат да бъдат внедрени както на физически сървър, така и в облака. Негативната страна е ограничената мащабируемост и поддръжката от страна на доставчика.

Третият вариант е конфигурирането на WAF от облака. Подобни решения се предлагат от облачни доставчици под формата на абонаментна услуга. Компаниите не трябва да закупуват и настройват специализирано оборудване, тези задачи поемат доставчиците на услугата. Важен момент е, че съвременният облачен WAF не предполага мигриране на ресурсите към платформата на доставчика. Уебсайтът може да бъде внедрен навсякъде, дори on-premise.

Защо все по-често се обръща внимание на облачния WAF, ще разкажем по-нататък.

Какво може WAF в облака

От гледна точка на технологичните възможности:

• Доставчикът отговаря за актуализациите. WAF се предоставя по абонамент, затова за актуалността на актуализациите и лицензиите следи доставчикът на услугата. Актуализациите се отнасят не само за софтуер, но и за хардуер. Доставчикът обновява сървърния парк и се грижи за неговото поддържане. Той също отговаря за балансиране на натоварването и резервиране. Ако настъпи отказ в работата на WAF сървъра, трафикът незабавно се пренасочва към друга машина. Рационалното разпределение на трафика позволява да се избегнат ситуации, в които защитната стена влиза в режим fail open — не справя се с натоварването и спира да филтрира заявките.
• Виртуално пачване. Виртуалните патчи ограничават достъпа до компрометирани части на приложението до затварянето на уязвимостта от разработчика. В резултат клиентът на облачния доставчик получава възможността спокойно да изчака, докато доставчикът на софтуера публикува официалните „пачове“. Постоянното бързо извършване на това е приоритет за доставчика на софтуер. Например, в платформата „Валарм“ за виртуалното патчиране отговаря отделен софтуерен модул. Администраторът може да добавя персонализирани регулярни изрази за блокиране на злонамерени заявки. Системата позволява маркирането на някои заявки с флага „Конфиденциални данни“. Тогава техните параметри се маскират, а самите те не се предават извън работната зона на защитната стена.
• Вграден скенер на периметъра и уязвимостите. Това позволява самостоятелно да се определят мрежовите граници на ИТ инфраструктурата, използвайки данни от DNS запитвания и протокола WHOIS. След това WAF автоматично анализира работещите услуги и сервизи вътре в периметъра (извършва сканиране на портове). Защитната стена е способна да открива всички разпространени типове уязвимости – SQLi, XSS, XXE и др. – и да идентифицира грешки в конфигурацията на софтуера, например, неконтролирания достъп до хранилища Git и BitBucket и анонимни запитвания към Elasticsearch, Redis, MongoDB.
• Атаките се наблюдават от ресурсите на облака. Обикновено облачните доставчици разполагат с големи обеми изчислителни мощности. Това позволява извършването на анализ на заплахите с висока точност и скорост. В облака се разгръща клъстер от филтриращи възли, през които преминава целият трафик. Тези възли блокират атаките върху уеб приложенията и изпращат статистика в Центъра за анализи. Той използва алгоритми на машинно обучение, за да обнови правилата за блокиране за всички защитавани приложения. Реализацията на подобна схема е показана на рис. 4. Подобни адаптирани правила за сигурност минимизират броя на фалшивите сработвания на защитната стена.

Сега малко за особеностите на облачните WAF от гледна точка на организационните аспекти и управлението:

• Преход към OpEx. В случая с облачните WAF разходите за внедряване ще бъдат нулеви, тъй като всичкото оборудване и лицензи вече са платени от доставчика, а заплащането на услугата се извършва по абонамент.
• Различни тарифни планове. Потребителят на облачната услуга може бързо да активира или деактивира допълнителни опции. Управлението на функциите се осъществява от единна управляваща табло, което е защитено. Достъпът до него се осъществява чрез HTTPS, плюс че има механизъм за двуфакторна автентикация, основан на протокол TOTP (Алгоритъм за еднократни пароли с времево базирани стойности).
• Свързване чрез DNS. Може самостоятелно да промените DNS и да настроите маршрутизацията в мрежата. За решаване на тези задачи не е нужно да назначавате и обучавате отделни специалисти. Обикновено техническата поддръжка на доставчика може да помогне с настройката.

WAF-технологиите преминаха еволюция от прости мрежови екрани с емпирични правила до комплексни защитни системи с алгоритми за машинно обучение. В момента приложните защитни стени притежават широк спектър от функции, които бяха труднореализуеми през 90-те години. В значителна степен появата на новата функционалност стана възможна благодарение на облачните технологии. WAF-решенията и техните компоненти продължават да се развиват. Както и в други области на ИБ.

Текстът е подготвен от Александър Карпузиков, мениджър по развитие на продукти за ИБ на облачния доставчик #CloudMTS.

Източник: habr.com