আধুনিক অ্যাপ্লিকেশন সিকিউরিটি সিস্টেম (WAF) এর কার্যকারিতা OWASP শীর্ষ 10 থেকে দুর্বলতার তালিকার চেয়ে অনেক বেশি বিস্তৃত হওয়া উচিত

পূর্ববর্তী

অ্যাপ্লিকেশানগুলির সাইবার হুমকির স্কেল, গঠন এবং সংমিশ্রণ দ্রুত বিকশিত হচ্ছে। বহু বছর ধরে, ব্যবহারকারীরা জনপ্রিয় ওয়েব ব্রাউজার ব্যবহার করে ইন্টারনেটের মাধ্যমে ওয়েব অ্যাপ্লিকেশন অ্যাক্সেস করেছেন। যে কোনো সময়ে 2-5টি ওয়েব ব্রাউজার সমর্থন করা প্রয়োজন ছিল, এবং ওয়েব অ্যাপ্লিকেশন তৈরি এবং পরীক্ষা করার জন্য মানগুলির সেটটি বেশ সীমিত ছিল। উদাহরণস্বরূপ, প্রায় সমস্ত ডাটাবেস SQL ব্যবহার করে নির্মিত হয়েছিল। দুর্ভাগ্যবশত, অল্প সময়ের পরে, হ্যাকাররা ডেটা চুরি, মুছে ফেলা বা পরিবর্তন করতে ওয়েব অ্যাপ্লিকেশন ব্যবহার করতে শিখেছে। তারা অ্যাপ্লিকেশন ব্যবহারকারীদের প্রতারণা, ইনজেকশন এবং দূরবর্তী কোড নির্বাহ সহ বিভিন্ন কৌশল ব্যবহার করে অ্যাপ্লিকেশন ক্ষমতাগুলিতে অবৈধ অ্যাক্সেস অর্জন করেছে এবং অপব্যবহার করেছে। শীঘ্রই, ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAFs) নামক বাণিজ্যিক ওয়েব অ্যাপ্লিকেশন নিরাপত্তা সরঞ্জাম বাজারে এসেছে, এবং সম্প্রদায় উন্নয়নের মান এবং পদ্ধতি সংজ্ঞায়িত এবং বজায় রাখার জন্য একটি ওপেন ওয়েব অ্যাপ্লিকেশন নিরাপত্তা প্রকল্প, ওপেন ওয়েব অ্যাপ্লিকেশন সিকিউরিটি প্রজেক্ট (OWASP) তৈরি করে সাড়া দিয়েছে। নিরাপদ অ্যাপ্লিকেশন।

মৌলিক অ্যাপ্লিকেশন সুরক্ষা

OWASP শীর্ষ 10 তালিকা অ্যাপ্লিকেশানগুলি সুরক্ষিত করার সূচনা বিন্দু এবং এতে সবচেয়ে বিপজ্জনক হুমকি এবং ভুল কনফিগারেশনগুলির একটি তালিকা রয়েছে যা অ্যাপ্লিকেশন দুর্বলতার দিকে পরিচালিত করতে পারে, সেইসাথে আক্রমণ সনাক্তকরণ এবং পরাস্ত করার কৌশল। OWASP টপ 10 হল বিশ্বব্যাপী অ্যাপ্লিকেশন সাইবার সিকিউরিটি ইন্ডাস্ট্রির একটি স্বীকৃত বেঞ্চমার্ক এবং একটি ওয়েব অ্যাপ্লিকেশন সিকিউরিটি (WAF) সিস্টেমে থাকা উচিত এমন ক্ষমতাগুলির মূল তালিকাকে সংজ্ঞায়িত করে৷

উপরন্তু, WAF কার্যকারিতা অবশ্যই ক্রস-সাইট অনুরোধ জালিয়াতি (CSRF), ক্লিকজ্যাকিং, ওয়েব স্ক্র্যাপিং এবং ফাইল অন্তর্ভুক্তি (RFI/LFI) সহ ওয়েব অ্যাপ্লিকেশনগুলিতে অন্যান্য সাধারণ আক্রমণকে বিবেচনায় নিতে হবে।

আধুনিক অ্যাপ্লিকেশনের নিরাপত্তা নিশ্চিত করার জন্য হুমকি এবং চ্যালেঞ্জ

আজ, সমস্ত অ্যাপ্লিকেশন একটি নেটওয়ার্ক সংস্করণে প্রয়োগ করা হয় না। ক্লাউড অ্যাপস, মোবাইল অ্যাপস, এপিআই এবং লেটেস্ট আর্কিটেকচারে এমনকি কাস্টম সফ্টওয়্যার ফাংশন রয়েছে। এই সমস্ত ধরণের অ্যাপ্লিকেশনগুলিকে সিঙ্ক্রোনাইজ করা এবং নিয়ন্ত্রণ করা দরকার কারণ তারা আমাদের ডেটা তৈরি করে, সংশোধন করে এবং প্রক্রিয়া করে৷ নতুন প্রযুক্তি এবং দৃষ্টান্তের আবির্ভাবের সাথে, অ্যাপ্লিকেশন জীবনচক্রের সমস্ত পর্যায়ে নতুন জটিলতা এবং চ্যালেঞ্জ দেখা দেয়। এর মধ্যে রয়েছে ডেভেলপমেন্ট এবং অপারেশন ইন্টিগ্রেশন (DevOps), কন্টেইনার, ইন্টারনেট অফ থিংস (IoT), ওপেন সোর্স টুলস, API এবং আরও অনেক কিছু।

অ্যাপ্লিকেশনের বিতরণকৃত স্থাপনা এবং প্রযুক্তির বৈচিত্র্য শুধুমাত্র তথ্য নিরাপত্তা পেশাদারদের জন্য নয়, নিরাপত্তা সমাধান বিক্রেতাদের জন্যও জটিল এবং জটিল চ্যালেঞ্জ তৈরি করে যারা আর একীভূত পদ্ধতির উপর নির্ভর করতে পারে না। ব্যবহারকারীদের জন্য মিথ্যা ইতিবাচক এবং পরিষেবার মানের ব্যাঘাত রোধ করতে অ্যাপ্লিকেশন সুরক্ষা ব্যবস্থাগুলিকে অবশ্যই তাদের ব্যবসার বৈশিষ্ট্যগুলিকে বিবেচনায় নিতে হবে৷

হ্যাকারদের চূড়ান্ত লক্ষ্য সাধারণত হয় ডেটা চুরি করা বা পরিষেবার প্রাপ্যতা ব্যাহত করা। আক্রমণকারীরাও প্রযুক্তিগত বিবর্তন থেকে উপকৃত হয়। প্রথমত, নতুন প্রযুক্তির বিকাশ আরও সম্ভাব্য ফাঁক এবং দুর্বলতা তৈরি করে। দ্বিতীয়ত, ঐতিহ্যগত নিরাপত্তা ব্যবস্থাকে বাইপাস করার জন্য তাদের অস্ত্রাগারে আরও সরঞ্জাম এবং জ্ঞান রয়েছে। এটি তথাকথিত "আক্রমণ পৃষ্ঠ" এবং সংস্থাগুলির নতুন ঝুঁকির এক্সপোজারকে ব্যাপকভাবে বৃদ্ধি করে। প্রযুক্তি এবং অ্যাপ্লিকেশনের পরিবর্তনের প্রতিক্রিয়ায় নিরাপত্তা নীতিগুলি ক্রমাগত পরিবর্তন করতে হবে।

এইভাবে, অ্যাপ্লিকেশানগুলিকে আক্রমণের ক্রমবর্ধমান বিভিন্ন পদ্ধতি এবং উত্স থেকে রক্ষা করতে হবে, এবং স্বয়ংক্রিয় আক্রমণগুলিকে অবশ্যই জ্ঞাত সিদ্ধান্তের ভিত্তিতে রিয়েল টাইমে মোকাবেলা করতে হবে। এর ফলাফল হল লেনদেনের খরচ বৃদ্ধি এবং কায়িক শ্রম, দুর্বল নিরাপত্তা ভঙ্গি সহ।

টাস্ক #1: বট পরিচালনা

60% এরও বেশি ইন্টারনেট ট্র্যাফিক বট দ্বারা উত্পন্ন হয়, যার অর্ধেক "খারাপ" ট্র্যাফিক (এর মতে রেডওয়্যার নিরাপত্তা রিপোর্ট) সংস্থাগুলি নেটওয়ার্ক ক্ষমতা বৃদ্ধিতে বিনিয়োগ করে, মূলত একটি কাল্পনিক লোড পরিবেশন করে। প্রকৃত ব্যবহারকারীর ট্র্যাফিক এবং বট ট্র্যাফিকের মধ্যে সঠিকভাবে পার্থক্য করা, সেইসাথে "ভাল" বট (উদাহরণস্বরূপ, অনুসন্ধান রোবট এবং মূল্য তুলনা পরিষেবা) এবং "খারাপ" বটগুলি ব্যবহারকারীদের জন্য উল্লেখযোগ্য খরচ সঞ্চয় এবং পরিষেবার মান উন্নত করতে পারে৷

বটগুলি এই কাজটিকে সহজ করে তুলবে না, এবং তারা প্রকৃত ব্যবহারকারীদের আচরণ অনুকরণ করতে পারে, ক্যাপচা এবং অন্যান্য বাধাগুলিকে বাইপাস করতে পারে৷ তদুপরি, গতিশীল আইপি ঠিকানা ব্যবহার করে আক্রমণের ক্ষেত্রে, আইপি ঠিকানা ফিল্টারিং ভিত্তিক সুরক্ষা অকার্যকর হয়ে পড়ে। প্রায়শই, ওপেন সোর্স ডেভেলপমেন্ট টুল (উদাহরণস্বরূপ, ফ্যান্টম জেএস) যেগুলি ক্লায়েন্ট-সাইড জাভাস্ক্রিপ্ট পরিচালনা করতে পারে সেগুলি ব্রুট-ফোর্স আক্রমণ, শংসাপত্র স্টাফিং আক্রমণ, DDoS আক্রমণ এবং স্বয়ংক্রিয় বট আক্রমণ চালু করতে ব্যবহৃত হয়।

কার্যকরভাবে বট ট্র্যাফিক পরিচালনা করতে, এর উত্সের একটি অনন্য শনাক্তকরণ (যেমন একটি আঙুলের ছাপের মতো) প্রয়োজন৷ যেহেতু একটি বট আক্রমণ একাধিক রেকর্ড তৈরি করে, তার আঙুলের ছাপ এটিকে সন্দেহজনক কার্যকলাপ সনাক্ত করতে এবং স্কোর বরাদ্দ করতে দেয়, যার ভিত্তিতে অ্যাপ্লিকেশন সুরক্ষা সিস্টেম একটি জ্ঞাত সিদ্ধান্ত নেয় - ব্লক/অনুমতি দেয় - ন্যূনতম মিথ্যা ইতিবাচক হার সহ।

চ্যালেঞ্জ #2: API রক্ষা করা

অনেক অ্যাপ্লিকেশান API-এর মাধ্যমে যোগাযোগ করে এমন পরিষেবাগুলি থেকে তথ্য এবং ডেটা সংগ্রহ করে। API-এর মাধ্যমে সংবেদনশীল ডেটা প্রেরণ করার সময়, 50%-এরও বেশি সংস্থা সাইবার আক্রমণ শনাক্ত করার জন্য APIগুলিকে যাচাই বা সুরক্ষিত করে না।

API ব্যবহার করার উদাহরণ:

• ইন্টারনেট অফ থিংস (IoT) ইন্টিগ্রেশন
• মেশিন থেকে মেশিন যোগাযোগ
• সার্ভারহীন পরিবেশ
• মোবাইল অ্যাপ্লিকেশন
• ইভেন্ট-চালিত অ্যাপ্লিকেশন

API দুর্বলতাগুলি অ্যাপ্লিকেশন দুর্বলতার মতো এবং এতে ইনজেকশন, প্রোটোকল আক্রমণ, প্যারামিটার ম্যানিপুলেশন, পুনঃনির্দেশ এবং বট আক্রমণ অন্তর্ভুক্ত রয়েছে। ডেডিকেটেড API গেটওয়েগুলি API-এর মাধ্যমে ইন্টারঅ্যাক্ট করে এমন অ্যাপ্লিকেশন পরিষেবাগুলির মধ্যে সামঞ্জস্যতা নিশ্চিত করতে সহায়তা করে। যাইহোক, তারা এন্ড-টু-এন্ড অ্যাপ্লিকেশন নিরাপত্তা প্রদান করে না যেমন একটি WAF প্রয়োজনীয় নিরাপত্তা সরঞ্জাম যেমন HTTP হেডার পার্সিং, লেয়ার 7 অ্যাক্সেস কন্ট্রোল লিস্ট (ACL), JSON/XML পেলোড পার্সিং এবং পরিদর্শন এবং সমস্ত দুর্বলতার বিরুদ্ধে সুরক্ষা প্রদান করে। OWASP শীর্ষ 10 তালিকা। ইতিবাচক এবং নেতিবাচক মডেল ব্যবহার করে মূল API মানগুলি পরিদর্শন করে এটি অর্জন করা হয়।

চ্যালেঞ্জ #3: পরিষেবা অস্বীকার করা

একটি পুরানো অ্যাটাক ভেক্টর, ডিনায়াল অফ সার্ভিস (DoS), অ্যাটাকিং অ্যাপ্লিকেশানগুলিতে এর কার্যকারিতা প্রমাণ করে চলেছে। আক্রমণকারীদের অ্যাপ্লিকেশন পরিষেবাগুলিকে ব্যাহত করার বিভিন্ন সফল কৌশল রয়েছে, যার মধ্যে রয়েছে HTTP বা HTTPS বন্যা, কম এবং ধীর আক্রমণ (যেমন স্লোলোরিস, LOIC, Torshammer), গতিশীল IP ঠিকানাগুলি ব্যবহার করে আক্রমণ, বাফার ওভারফ্লো, ব্রুট ফোর্স-আক্রমণ এবং আরও অনেকগুলি . ইন্টারনেট অফ থিংসের বিকাশ এবং পরবর্তীকালে IoT বটনেটের উত্থানের সাথে, অ্যাপ্লিকেশনগুলিতে আক্রমণগুলি DDoS আক্রমণের প্রধান কেন্দ্রবিন্দু হয়ে উঠেছে। বেশিরভাগ রাষ্ট্রীয় WAF শুধুমাত্র সীমিত পরিমাণ লোড পরিচালনা করতে পারে। যাইহোক, তারা HTTP/S ট্রাফিক প্রবাহ পরিদর্শন করতে পারে এবং আক্রমণের ট্র্যাফিক এবং দূষিত সংযোগগুলি সরাতে পারে। একবার আক্রমণ শনাক্ত হয়ে গেলে, এই যানবাহনকে পুনরায় পারাপার করার কোন মানে হয় না। যেহেতু আক্রমণ প্রতিহত করার জন্য WAF এর ক্ষমতা সীমিত, তাই পরবর্তী "খারাপ" প্যাকেটগুলি স্বয়ংক্রিয়ভাবে ব্লক করার জন্য নেটওয়ার্ক পরিধিতে একটি অতিরিক্ত সমাধান প্রয়োজন। এই নিরাপত্তা পরিস্থিতির জন্য, উভয় সমাধানকে অবশ্যই আক্রমণ সম্পর্কে তথ্য বিনিময় করতে একে অপরের সাথে যোগাযোগ করতে সক্ষম হতে হবে।

চিত্র 1. Radware সমাধানের উদাহরণ ব্যবহার করে ব্যাপক নেটওয়ার্ক এবং অ্যাপ্লিকেশন সুরক্ষার সংগঠন

চ্যালেঞ্জ #4: ক্রমাগত সুরক্ষা

অ্যাপ্লিকেশন ঘন ঘন পরিবর্তন. উন্নয়ন এবং বাস্তবায়নের পদ্ধতি যেমন রোলিং আপডেট মানে মানুষের হস্তক্ষেপ বা নিয়ন্ত্রণ ছাড়াই পরিবর্তনগুলি ঘটে। এই ধরনের গতিশীল পরিবেশে, প্রচুর পরিমাণে মিথ্যা ইতিবাচকতা ছাড়া পর্যাপ্তভাবে কার্যকরী নিরাপত্তা নীতি বজায় রাখা কঠিন। মোবাইল অ্যাপ্লিকেশনগুলি ওয়েব অ্যাপ্লিকেশনগুলির তুলনায় অনেক বেশি ঘন ঘন আপডেট করা হয়। তৃতীয় পক্ষের অ্যাপ্লিকেশনগুলি আপনার অজান্তেই পরিবর্তিত হতে পারে। কিছু সংস্থা সম্ভাব্য ঝুঁকির উপরে থাকার জন্য আরও বেশি নিয়ন্ত্রণ এবং দৃশ্যমানতা চাইছে। যাইহোক, এটি সর্বদা অর্জনযোগ্য নয়, এবং নির্ভরযোগ্য অ্যাপ্লিকেশন সুরক্ষাকে অবশ্যই মেশিন লার্নিংয়ের শক্তি ব্যবহার করতে হবে এবং উপলব্ধ সংস্থানগুলিকে কল্পনা করতে, সম্ভাব্য হুমকিগুলি বিশ্লেষণ করতে এবং অ্যাপ্লিকেশন পরিবর্তনের ক্ষেত্রে সুরক্ষা নীতিগুলি তৈরি এবং অপ্টিমাইজ করতে হবে৷

তথ্যও

যেহেতু অ্যাপগুলি দৈনন্দিন জীবনে ক্রমবর্ধমান গুরুত্বপূর্ণ ভূমিকা পালন করে, তাই তারা হ্যাকারদের প্রধান লক্ষ্য হয়ে ওঠে। অপরাধীদের জন্য সম্ভাব্য পুরষ্কার এবং ব্যবসার জন্য সম্ভাব্য ক্ষতি প্রচুর। অ্যাপ্লিকেশন এবং হুমকির সংখ্যা এবং তারতম্যের কারণে অ্যাপ্লিকেশন সুরক্ষা টাস্কের জটিলতাকে অতিরিক্ত বলা যাবে না।

সৌভাগ্যবশত, আমরা এমন এক সময়ে আছি যেখানে কৃত্রিম বুদ্ধিমত্তা আমাদের সাহায্যে আসতে পারে। মেশিন লার্নিং-ভিত্তিক অ্যালগরিদমগুলি অ্যাপ্লিকেশনগুলিকে লক্ষ্য করে সবচেয়ে উন্নত সাইবার হুমকির বিরুদ্ধে রিয়েল-টাইম, অভিযোজিত সুরক্ষা প্রদান করে। তারা ওয়েব, মোবাইল এবং ক্লাউড অ্যাপ্লিকেশান-এবং API-গুলিকে মিথ্যা ইতিবাচক ছাড়াই সুরক্ষিত করতে স্বয়ংক্রিয়ভাবে নিরাপত্তা নীতিগুলি আপডেট করে।

পরবর্তী প্রজন্মের অ্যাপ্লিকেশন সাইবার থ্রেট (সম্ভবত মেশিন লার্নিংয়ের উপর ভিত্তি করে) কী হবে তা নিশ্চিতভাবে ভবিষ্যদ্বাণী করা কঠিন। তবে সংস্থাগুলি অবশ্যই গ্রাহকের ডেটা সুরক্ষা, মেধা সম্পত্তি রক্ষা এবং দুর্দান্ত ব্যবসায়িক সুবিধা সহ পরিষেবার প্রাপ্যতা নিশ্চিত করতে পদক্ষেপ নিতে পারে।

অ্যাপ্লিকেশন নিরাপত্তা নিশ্চিত করার জন্য কার্যকর পন্থা এবং পদ্ধতি, আক্রমণের প্রধান ধরন এবং ভেক্টর, ঝুঁকির ক্ষেত্র এবং ওয়েব অ্যাপ্লিকেশনগুলির সাইবার সুরক্ষার ফাঁক, সেইসাথে বিশ্বব্যাপী অভিজ্ঞতা এবং সর্বোত্তম অনুশীলনগুলি রেডওয়্যার অধ্যয়ন এবং প্রতিবেদনে উপস্থাপন করা হয়েছে "ডিজিটালভাবে সংযুক্ত বিশ্বে ওয়েব অ্যাপ্লিকেশন নিরাপত্তা".

উত্স: www.habr.com