{"id":52993,"date":"2019-11-21T00:00:00","date_gmt":"2019-11-20T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10"},"modified":"2020-02-18T14:00:49","modified_gmt":"2020-02-18T11:00:49","slug":"funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","title":{"rendered":"Funktionaliteten i moderne applikationsbeskyttelsessystemer (WAF) b\u00f8r v\u00e6re meget bredere end listen over s\u00e5rbarheder fra OWASP Top 10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Retrospektiv<\/h4>\n

\nOmfanget, sammens\u00e6tningen og strukturen af cybertrusler mod applikationer udvikler sig hurtigt. I mange \u00e5r fik brugerne adgang til webapplikationer via internettet ved hj\u00e6lp af popul\u00e6re webbrowsere. Det var n\u00f8dvendigt at underst\u00f8tte 2-5 webbrowsere p\u00e5 ethvert tidspunkt, og s\u00e6t af standarder for udvikling og testning af webapplikationer var ret begr\u00e6nsede. For eksempel blev n\u00e6sten alle databaser bygget ved hj\u00e6lp af SQL. Desv\u00e6rre, efter kort tid, l\u00e6rte hackere at udnytte webapplikationer til at stj\u00e6le, slette eller \u00e6ndre data. De fik ulovlig adgang og misbrugte applikationernes funktioner ved hj\u00e6lp af forskellige metoder, herunder at narre brugerne af applikationen, injicere og udf\u00f8re kode eksternt. Snart dukkede der kommercielle l\u00f8sninger til beskyttelse af webapplikationer op, kaldet Web Application Firewalls (WAF), og samfundet reagerede ved at skabe et \u00e5bent projekt til sikring af webapplikationer, Open Web Application Security Project (OWASP), med det form\u00e5l at definere og opretholde standarder og metoder til udvikling af sikre applikationer.<\/a><\/noindex><\/p>\n

Basisbeskyttelse af applikationer<\/h4>\n

\nOWASP Top 10<\/a><\/noindex> er et udgangspunkt for beskyttelse af applikationer og indeholder en liste over de mest farlige trusler og fejlkonfigurationer, der kan f\u00f8re til s\u00e5rbarheder i applikationer, samt taktikker til at opdage og afvise angreb. OWASP Top 10 er blevet anerkendt som en standard i cybersikkerhedsindustrien for applikationer over hele verden og definerer en grundl\u00e6ggende liste over funktioner, som et webapplikationsbeskyttelsessystem (WAF) skal have. <\/p>\n

Derudover skal WAF-funktionaliteten tage h\u00f8jde for andre almindelige angreb p\u00e5 webapplikationer, herunder Cross-Site Request Forgery (CSRF), clickjacking, web scraping og filinkludering (RFI\/LFI).<\/p>\n

Trusler og sikkerhedsopgaver for moderne applikationer<\/h4>\n

\nI dag er langt fra alle applikationer udf\u00f8rt i en netv\u00e6rksvariant. Der findes cloud-applikationer, mobile applikationer, API'er, og i nyere arkitekturer selv individuelle softwarefunktioner. Alle disse slags applikationer skal synkroniseres og kontrolleres, da de opretter, \u00e6ndrer og behandler vores data. Med fremkomsten af nye teknologier og paradigmer opst\u00e5r der nye udfordringer og opgaver p\u00e5 alle stadier af applikationernes livscyklus. Dette inkluderer integrationen af udvikling og drift (DevOps), containere, Internet of Things (IoT), v\u00e6rkt\u00f8jer med open source, API'er osv. <\/p>\n

Den distribuerede placering af applikationer og mangfoldigheden af teknologier skaber komplekse og komplicerede opgaver ikke kun for sikkerhedsspecialister, men ogs\u00e5 for producenter af sikkerhedsl\u00f8sninger, som ikke l\u00e6ngere kan stole p\u00e5 en ensartet tilgang. Beskyttelsesmidlerne for applikationer skal tage h\u00f8jde for deres forretningsspecifikke forhold for at forhindre falske positive og sikre kvaliteten af tjenesterne for brugerne. <\/p>\n

Hackernes ultimative m\u00e5l er typisk enten datatyveri eller forstyrrelse af tjenesterne. Kriminelle f\u00e5r ogs\u00e5 fordele i l\u00f8bet af den teknologiske evolution. For det f\u00f8rste skaber udviklingen af nye teknologier flere potentielle brister og s\u00e5rbarheder. For det andet f\u00e5r de tilgang til flere v\u00e6rkt\u00f8jer og viden til at omg\u00e5 traditionelle beskyttelsesmidler. Dette \u00f8ger den s\u00e5kaldte 'angrebsflade' og udsatheden for nye risici for organisationer. Sikkerhedspolitikker skal konstant \u00e6ndres i takt med \u00e6ndringerne i teknologier og applikationer. <\/p>\n

Derfor skal applikationerne beskyttes mod det stadigt voksende mangfoldighed af metoder og kilder til angreb, og afspejlingen af automatiserede angreb skal finde sted i realtid baseret p\u00e5 informerede beslutninger. Dette resulterer i stigende driftsomkostninger og manuel arbejdsindsats p\u00e5 baggrund af sv\u00e6kkede sikkerhedspositioner. <\/p>\n

Opgave nr. 1: H\u00e5ndtering af bots<\/h4>\n

\nOver 60% af internettrafikken genereres af bots, hvoraf halvdelen er relateret til 'd\u00e5rlig' trafik (if\u00f8lge oplysningerne fra Radwares sikkerhedsrapport<\/a><\/noindex>). Organisationer investerer i at \u00f8ge netv\u00e6rkskapaciteten, hvilket i bund og grund underst\u00f8tter falske belastninger. Den pr\u00e6cise skelnen mellem reel brugertrafik og bottrafik, samt mellem 'gode' bots (f.eks. s\u00f8gemaskiner og prissammenligningstjenester) og 'd\u00e5rlige' bots kan f\u00f8re til betydelige besparelser og forbedret kvalitet af tjenesterne for brugerne. <\/p>\n

Bots har ikke til hensigt at g\u00f8re denne opgave lettere, og de kan efterligne adf\u00e6rden hos virkelige brugere, omg\u00e5 CAPTCHA og andre forhindringer. Endda i tilf\u00e6lde af angreb med dynamiske IP-adresser bliver beskyttelse baseret p\u00e5 IP-filtering ineffektiv. Ofte anvendes open source-udviklingsv\u00e6rkt\u00f8jer (for eksempel Phantom JS), der kan k\u00f8re klient-side JavaScript, til at udf\u00f8re brute-force angreb, credential stuffing angreb, DDoS angreb og automatiserede bot-angreb. <\/p>\n

For effektivt at styre bottrafik kr\u00e6ves unik identifikation af dens kilde (som et fingeraftryk). Da der opst\u00e5r mange optegnelser under et bot-angreb, tillader dens fingeraftryk at identificere mist\u00e6nkelig aktivitet og tildele score, som applikationsbeskyttelsessystemet tr\u00e6ffer informerede beslutninger - blokere\/tillade - med et minimalt antal falske positive resultater. <\/p>\n

\"Funktionaliteten<\/a><\/noindex><\/p>\n

Opgave nr. 2: Beskyttelse af API<\/h4>\n

\nMange applikationer indsamler information og data fra de tjenester, de interagerer med via API. Ved transmission af fortrolige data gennem API'er foregiver over 50% af organisationerne ikke at udf\u00f8re hverken kontrol eller beskyttelse af API'er for at opdage cyberangreb. <\/p>\n

Eksempler p\u00e5 API-brug:<\/p>\n