{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"Evolutionen af Web Application Firewall: fra netv\u00e6rksfirewalls til skybaserede beskyttelsessystemer med maskinl\u00e6ring.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I vores tidligere materiale om cloud-emner fortalt<\/a><\/noindex>, hvordan man beskytter it-ressourcer i offentlige skyer, og hvorfor traditionelle antivirusl\u00f8sninger ikke helt er egnet til disse form\u00e5l. I dette indl\u00e6g forts\u00e6tter vi emnet cloud-sikkerhed og taler om udviklingen af WAF og hvad der er bedst at v\u00e6lge: hardware, software eller cloud.\u00a0<\/b><\/p>\n

\"Evolutionen
\n<\/p>\n

Hvad er WAF<\/h3>\n

\nOver 75% af hackerangreb er rettet mod s\u00e5rbarheder i webapplikationer og hjemmesider: s\u00e5danne angreb er som regel usynlige for informationssikkerheds-infrastruktur og -tjenester. S\u00e5rbarheder i webapplikationer b\u00e6rer i sig risici for kompromittering og bedrageri af kontoer og personlige data for brugere, adgangskoder, kreditkortnumre. Desuden fungerer s\u00e5rbarheder p\u00e5 en hjemmeside som en indgang for kriminelle til det corporate netv\u00e6rk.<\/p>\n

Web Application Firewall (WAF) fungerer som en beskyttelsesbarriere, der blokerer angreb p\u00e5 webapplikationer: SQL-injektioner, cross-site scripting, fjernekodeudf\u00f8relse, brute force og omg\u00e5else af autorisation (auth bypass). Dette inkluderer angreb, der bruger zero-day s\u00e5rbarheder. Applikationsfirewalls giver beskyttelse ved at overv\u00e5ge indholdet af websider, inklusive HTML, DHTML og CSS, og filtrere potentielt skadelige anmodninger via HTTP\/HTTPS.
\n<\/a><\/noindex><\/p>\n

Hvordan s\u00e5 de f\u00f8rste l\u00f8sninger ud?<\/h3>\n

\nDe f\u00f8rste fors\u00f8g p\u00e5 at skabe en Web Application Firewall blev gjort allerede i begyndelsen af 90'erne. Der er kendt til mindst tre ingeni\u00f8rer, der arbejdede inden for dette omr\u00e5de. Den f\u00f8rste var professor i datalogi, Gene Spafford fra Purdue University. Han beskrev arkitekturen af en applikationsfirewall med proxy og offentliggjorde den i 1991 i en bog \u00abPraktisk UNIX-sikkerhed\u00bb<\/a><\/noindex>.<\/p>\n

De to andre var informationssikkerhedsspecialisterne William Cheswick og Marcus Ranum fra Bell Labs. De udviklede en af de f\u00f8rste prototyper af applikationsfirewalls. Den blev distribueret af virksomheden DEC - produktet blev lanceret under navnet SEAL (Secure External Access Link). <\/p>\n

Men SEAL var ikke en fuldgyldig WAF-l\u00f8sning. Det var en klassisk netv\u00e6rksfirewall med udvidet funktionalitet - muligheden for at blokere angreb mod FTP og RSH. Af denne grund betragtes virksomhedens Perfecto Technologies produkt (senere Sanctum) som den f\u00f8rste WAF-l\u00f8sning. I 1999 blev det pr\u00e6senterede<\/a><\/noindex> AppShield-systemen. P\u00e5 det tidspunkt arbejdede Perfecto Technologies p\u00e5 udviklingen af sikkerhedsl\u00f8sninger til e-commerce, og m\u00e5lgruppen for deres nye produkt blev onlinebutikker. AppShield kunne analysere HTTP-anmodninger og blokere angreb baseret p\u00e5 dynamiske sikkerhedspolitikker.<\/p>\n

Omkring samme tid som AppShield (i 2002) kom den f\u00f8rste open source WAF. Den blev ModSecurity<\/a><\/noindex>skabt med det form\u00e5l at popularisere WAF-teknologierne og underst\u00f8ttes stadig af IT-samfundet (her er dens repository p\u00e5 GitHub<\/a><\/noindex>). ModSecurity blokerer angreb p\u00e5 applikationer baseret p\u00e5 et standard s\u00e6t af regul\u00e6re udtryk (signaturer) \u2014 v\u00e6rkt\u00f8jer til at kontrollere anmodninger mod m\u00f8nstre \u2014 OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

Som et resultat lykkedes det udviklerne at n\u00e5 deres m\u00e5l \u2014 nye WAF-l\u00f8sninger begyndte at dukke op p\u00e5 markedet, herunder dem der er bygget p\u00e5 ModSecurity.<\/p>\n

Tre generationer \u2014 allerede historie<\/h3>\n

\nDet er almindeligt at opdele WAF-systemer i tre generationer, der har udviklet sig i takt med teknologiens fremdrift.<\/p>\n

F\u00f8rste generation<\/b>. Arbejder med regul\u00e6re udtryk (eller grammatikker). ModSecurity h\u00f8rer til denne kategori. Leverand\u00f8ren af systemet studerer typer af angreb p\u00e5 applikationer og danner m\u00f8nstre, der beskriver legitime og potentielt skadelige anmodninger. WAF sammenligner med disse lister og beslutter, hvad der skal g\u00f8res i den specifikke situation \u2014 om der skal blokeres for trafikken eller ej.<\/p>\n

Et eksempel p\u00e5 opdagelse baseret p\u00e5 regul\u00e6re udtryk er det allerede n\u00e6vnte projekt Core Rule Set<\/a><\/noindex> med open source. Et andet eksempel er Naxsi<\/a><\/noindex>, som ogs\u00e5 er open source. Systemer med regul\u00e6re udtryk har en r\u00e6kke ulemper, is\u00e6r n\u00e5r det g\u00e6lder opdagelsen af nye s\u00e5rbarheder, da administratoren skal oprette ekstra regler manuelt. I tilf\u00e6ldet med en stor IT-infrastruktur kan der v\u00e6re flere tusinde regler. At h\u00e5ndtere s\u00e5 mange regul\u00e6re udtryk er ret udfordrende, for ikke at n\u00e6vne at deres kontrol kan reducere netv\u00e6rkets ydeevne.<\/p>\n

Regul\u00e6re udtryk har ogs\u00e5 et ret h\u00f8jt niveau af falske positiver. Den ber\u00f8mte lingvist Noam Chomsky foreslog en klassifikation af grammatikker, hvor han delte dem op i fire betingede niveauer af kompleksitet. If\u00f8lge denne klassifikation kan regul\u00e6re udtryk kun beskrive firewall-regler, der ikke foruds\u00e6tter afvigelser fra skabelonen. Det betyder, at angribere nemt kan \"narre\" WAF i f\u00f8rste generation. En af metoderne til at bek\u00e6mpe dette er at tilf\u00f8je specielle tegn i anmodninger til applikationer, der ikke p\u00e5virker logikken af de ondsindede data, men som bryder signaturreglen.<\/p>\n

\"Evolutionen
\n
\nAnden generation<\/b>. For at overvinde problemerne med ydeevne og n\u00f8jagtighed i WAF blev der udviklet applikationsfirewalls i anden generation. De omfatter parsere, der er ansvarlige for at identificere bestemte typer angreb (p\u00e5 HTML, JS osv.). Disse parsere arbejder med s\u00e6rlige tokens, der beskriver anmodninger (f.eks. variable, string, unknown, number). Potentielt ondsindede sekvenser af tokens f\u00f8res til en separat liste, som WAF-systemet regelm\u00e6ssigt krydstjekker. For f\u00f8rste gang blev denne tilgang vist p\u00e5 Black Hat konferencen i 2012 i form af C\/C++\u00a0biblioteket libinjection<\/a><\/noindex>, som g\u00f8r det muligt at opdage SQL-injektioner.<\/p>\n

Sammenlignet med WAF i f\u00f8rste generation kan specialiserede parsere arbejde hurtigere. Dog har de ikke l\u00f8st problemerne relateret til manuel konfiguration af systemet, n\u00e5r nye ondsindede angreb opst\u00e5r. <\/p>\n

\"Evolutionen
\n
\nTredje generation<\/b>. Evolutionen i detektionslogik i tredje generation best\u00e5r i anvendelsen af metoder til maskinl\u00e6ring, der g\u00f8r det muligt at n\u00e6rme sig detektorens grammatik til den faktiske grammatik for SQL\/HTML\/JS de beskyttede systemer. Denne detektionslogik er i stand til at tilpasse Turing-maskinen til at d\u00e6kke rekursivt opregnede grammatikker. Tidligere var opgaven med at skabe en tilpasningsdygtig Turing-maskine uoverkommelig, indtil de f\u00f8rste unders\u00f8gelser af neurale Turing-maskiner blev offentliggjort.<\/p>\n

Maskinl\u00e6ring giver en unik mulighed for at tilpasse enhver grammatik til at d\u00e6kke enhver type angreb uden at skulle oprette signaturlister manuelt, som det var n\u00f8dvendigt ved det f\u00f8rste generations detektion, og uden at udvikle nye tokenizere\/parsers til nye typer angreb s\u00e5som Memcached, Redis, Cassandra, SSRF, som kr\u00e6vet af anden generations metodologi. <\/p>\n

Ved at samle alle tre generationer af detektionslogik kan vi lave et nyt diagram, hvor den r\u00f8de omrids repr\u00e6senterer tredje generation af detektion (figur 3). Denne generation omfatter en af de l\u00f8sninger, vi implementerer i skyen i samarbejde med \"Onsec\", udvikleren af Valarms adaptive beskyttelsesplatform for webapplikationer og API'er. <\/p>\n

Nu anvendes feedback fra applikationen i detektionslogikken til selvjustering. Inden for maskinl\u00e6ring kaldes denne feedbacksl\u00f8kke \"forst\u00e6rkning\". Generelt findes der \u00e9n eller flere typer forst\u00e6rkning:<\/p>\n