In unserem vorherigen Artikel über Cloud-Themen haben wir , wie man IT-Ressourcen in der öffentlichen Cloud schützt und warum traditionelle Antivirenlösungen dafür nicht vollständig geeignet sind. In diesem Beitrag setzen wir das Thema Cloud-Sicherheit fort und sprechen über die Evolution von WAF und darüber, was man besser wählen sollte: Hardware, Software oder Cloud.
Was ist WAF
Über 75 % der Angriffe von Hackern zielen auf Schwachstellen von Webanwendungen und Webseiten ab: Solche Angriffe sind in der Regel für die Informationssicherheitsinfrastruktur und -dienste unsichtbar. Die Schwachstellen von Webanwendungen bringen Risiken einer Kompromittierung und Betrugsfälle bei Konten, persönlichen Daten, Passwörtern und Kreditkartennummern mit sich. Zudem bieten Schwachstellen auf der Webseite Angreifern einen Einstieg in das Unternehmensnetzwerk.
Eine Web Application Firewall (WAF) ist eine Schutzmauer, die Angriffe auf Webanwendungen wie SQL-Injection, Cross-Site Scripting, Remote Code Execution, Brute-Force-Attacken und den Umgehung von Authentifizierung (auth bypass) blockiert. Dazu gehören auch Angriffe, die Zero-Day-Schwachstellen nutzen. Anwendungsfirewalls bieten Schutz, indem sie den Inhalt von Webseiten, einschließlich HTML, DHTML und CSS, überwachen und potenziell schädliche Anfragen über HTTP/HTTPS filtern.
Wie sahen die ersten Lösungen aus?
Die ersten Versuche, eine Web Application Firewall zu entwickeln, wurden bereits Anfang der 90er Jahre unternommen. Mindestens drei Ingenieure sind bekannt, die in diesem Bereich tätig waren. Der erste ist der Informatikprofessor Gene Spafford von der Purdue University. Er beschrieb die Architektur einer Proxy-basierten Anwendungsfirewall und veröffentlichte diese 1991 in einem Buch. .
Die zweiten und dritten Ingenieure waren die IT-Sicherheitsspezialisten William Cheswick und Marcus Ranum von den Bell Labs. Sie entwickelten einen der ersten Prototypen von Anwendungsfirewalls. Die Verbreitung übernahm das Unternehmen DEC — das Produkt wurde unter dem Namen SEAL (Secure External Access Link) herausgebracht.
Doch SEAL war keine vollwertige WAF-Lösung. Es handelte sich um eine klassische Netz-Firewall mit erweiterten Funktionen – insbesondere der Möglichkeit, Angriffe auf FTP und RSH zu blockieren. Daher gilt das Produkt von Perfecto Technologies (später Sanctum) heute als die erste WAF-Lösung. Im Jahr 1999 wurde das System AppShield eingeführt. Zu der Zeit entwickelte Perfecto Technologies Sicherheitslösungen für den E-Commerce, und die Zielgruppe ihres neuen Produkts waren Online-Shops. AppShield konnte HTTP-Anfragen analysieren und Angriffe auf Basis dynamischer Sicherheitsrichtlinien blockieren.
Etwa zur gleichen Zeit wie AppShield (2002) erschien die erste Open-Source-WAF. Es handelte sich um . Diese wurde mit dem Ziel entwickelt, WAF-Technologien zu verbreiten und wird bis heute von der IT-Community unterstützt (hier ist seine ). ModSecurity blockiert Angriffe auf Anwendungen basierend auf einem standardisierten Set von regulären Ausdrücken (Signaturen) – Werkzeugen zur Überprüfung von Anfragen anhand von Mustern – .
Infolgedessen gelang es den Entwicklern, ihr Ziel zu erreichen – auf dem Markt erschienen immer mehr neue WAF-Lösungen, darunter auch solche, die auf ModSecurity basieren.
Drei Generationen – das ist bereits Geschichte.
Es werden drei Generationen von WAF-Systemen unterschieden, die sich mit der Entwicklung der Technologien weiterentwickelt haben.
Erste Generation. Sie arbeitet mit regulären Ausdrücken (oder Grammatiken). Dazu gehört ModSecurity. Der Anbieter des Systems untersucht die Arten von Angriffen auf Anwendungen und erstellt Muster, die legitime sowie potenziell schadhafte Anfragen beschreiben. Die WAF vergleicht diese Listen und entscheidet, wie im konkreten Fall zu verfahren ist – ob der Datenverkehr blockiert werden soll oder nicht.
Ein Beispiel für die Erkennung auf Basis von regulären Ausdrücken ist das bereits erwähnte Projekt mit offenem Quellcode. Ein weiteres Beispiel ist , das ebenfalls Open Source ist. Systeme mit regulären Ausdrücken haben einige Nachteile, insbesondere wenn es darum geht, eine neue Schwachstelle zu entdecken, muss der Administrator manuell zusätzliche Regeln erstellen. Bei einer umfangreichen IT-Infrastruktur kann es mehrere Tausend Regeln geben. Mit so vielen regulären Ausdrücken umzugehen, ist ziemlich schwierig, ganz zu schweigen davon, dass deren Überprüfung die Netzwerkleistung beeinträchtigen kann.
Reguläre Ausdrücke haben auch eine relativ hohe Rate an Fehlalarmen. Der berühmte Linguist Noam Chomsky schlug eine Klassifikation der Grammatiken vor, in der er sie in vier bedingte Schwierigkeitsgrade unterteilte. Laut dieser Klassifikation können reguläre Ausdrücke nur Regeln für Firewalls beschreiben, die keine Abweichungen vom Muster zulassen. Das bedeutet, dass Angreifer WAFs der ersten Generation leicht "überlisten" können. Eine Methode, um dem entgegenzuwirken, besteht darin, spezielle Zeichen in die Anfragen an Anwendungen einzufügen, die die Logik der schädlichen Daten nicht beeinflussen, jedoch die Signaturregel verletzen.
Zweite Generation. Um Probleme mit der Leistung und Genauigkeit von WAFs zu umgehen, wurden zweite Generation von Anwendungs-Firewalls entwickelt. Diese verfügen über Parser, die speziell dafür zuständig sind, bestimmte Angriffsarten (z. B. auf HTML, JS usw.) zu erkennen. Diese Parser arbeiten mit speziellen Tokens, die die Anfragen beschreiben (z. B. variable, string, unknown, number). Potenziell schädliche Token-Sequenzen werden in eine separate Liste aufgenommen, mit der das WAF-System regelmäßig abgeglichen wird. Dieser Ansatz wurde erstmals auf der Black Hat-Konferenz 2012 in Form einer C/C++-Bibliothek präsentiert. , die SQL-Injektionen erkennen kann.
Im Vergleich zu WAFs der ersten Generation können spezialisierte Parser schneller arbeiten. Allerdings haben sie die Herausforderungen der manuellen Systemkonfiguration bei neuen schädlichen Angriffe nicht gelöst.
Dritte Generation. Die Evolution der Logik zur Erkennung der dritten Generation besteht in der Anwendung von Methoden des maschinellen Lernens, die die Erkennungsg grammatik so nah wie möglich an der realen Grammatik von SQL/HTML/JS-Systemen anpassen. Diese Erkennungslogik kann die Turing-Maschine anpassen, um rekursiv aufgelistete Grammatiken abzudecken. Zuvor war die Aufgabe, eine anpassungsfähige Turing-Maschine zu schaffen, unlösbar, bis die ersten Studien zu neuronalen Turing-Maschinen veröffentlicht wurden.
Maschinelles Lernen bietet die einzigartige Möglichkeit, jede Grammatik anzupassen, um jeden Angriffs typ abzudecken, ohne manuell Signaturlisten zu erstellen, was bei der Erkennung der ersten Generation erforderlich war, und ohne neue Tokenizer/Parser für neue Angriffstypen wie Memcached-, Redis-, Cassandra- und SSRF-Injektionen zu entwickeln, was die Methodik der zweiten Generation erforderte.
Durch die Kombination aller drei Generationen von Erkennungstechnologien können wir ein neues Diagramm zeichnen, in dem die dritte Generation der Erkennung (Abb. 3) rot umrandet ist. Zu dieser Generation gehört eine der Lösungen, die wir gemeinsam mit «Onsec», dem Entwickler der Plattform für adaptive Sicherheitslösungen für Webanwendungen und APIs Valarm, in der Cloud implementieren.
In der Erkennungslogik wird nun Feedback von der Anwendung zur Selbstoptimierung genutzt. Im Rahmen des maschinellen Lernens wird dieser Feedbackzyklus als „Verstärkung“ bezeichnet. In der Regel gibt es einen oder mehrere Typen dieser Verstärkung:
- Analyse des Verhaltens der Anwendungsantwort (passiv)
- Scanning/Fuzzer (aktiv)
- Berichtdateien/Interception-Prozeduren/Fallen (nachträglich)
- Manuell (bestimmt durch den Supervisor)
Die Logik zur Erkennung der dritten Generation löst auch ein wichtiges Problem der Genauigkeit. Jetzt ist es möglich, nicht nur falsch-positive und falsch-negative Ergebnisse zu vermeiden, sondern auch zulässige echte negative Ergebnisse zu erkennen, wie z.B. die Erkennung der Verwendung von SQL-Befehlen im Control Panel, das Hochladen von Webseitentemplates, AJAX-Anfragen, die mit JavaScript-Fehlern verbunden sind, und weitere.
Im Folgenden betrachten wir die technologischen Möglichkeiten der verschiedenen Implementierungsvarianten von WAF.
Hardware, Software oder Cloud – was wählen?
Eine Möglichkeit zur Implementierung von Anwendungsfirewalls ist die „Hardware“-Lösung. Solche Systeme sind spezialisierte Recheneinheiten, die von einem Unternehmen lokal in seinem Rechenzentrum installiert werden. In diesem Fall muss jedoch eigene Hardware angeschafft und Integratoren für deren Einrichtung und Anpassung bezahlt werden (es sei denn, das Unternehmen hat eine eigene IT-Abteilung). Darüber hinaus veraltet jede Hardware und wird unbrauchbar, weshalb die Kunden ein Budget für die Hardwareaktualisierung einplanen müssen.
Eine weitere Option zur Implementierung eines WAF ist die Softwarelösung. Die Lösung wird als Erweiterung für eine vorhandene Software (zum Beispiel wird ModSecurity über Apache konfiguriert) installiert und arbeitet auf demselben Server wie diese. In der Regel können solche Lösungen sowohl auf physischen Servern als auch in der Cloud bereitgestellt werden. Ihr Nachteil sind die begrenzten Skalierungsmöglichkeiten und der Support des Anbieters.
Die dritte Option ist die Cloud-WAF-Konfiguration. Solche Lösungen werden von Cloud-Anbietern als abonnementbasierter Service bereitgestellt. Unternehmen müssen keine spezialisierten Hardware kaufen oder konfigurieren; diese Aufgaben übernimmt der Dienstleister. Ein wichtiger Punkt ist, dass moderne Cloud-WAF keine Migration der Ressourcen auf die Plattform des Anbieters erfordert. Die Website kann an jedem Ort bereitgestellt werden, sogar lokal.
Warum Unternehmen zunehmend auf Cloud-WAF setzen, erfahren Sie im Folgenden.
Was kann WAF in der Cloud
Aus technologischer Sicht:
- Der Anbieter ist für die Updates verantwortlich.. WAF wird im Abonnement bereitgestellt, sodass der Dienstanbieter für die Aktualität von Updates und Lizenzen verantwortlich ist. Die Updates betreffen sowohl die Software- als auch die Hardwareseite. Der Anbieter aktualisiert die Serverinfrastruktur und kümmert sich um deren Wartung. Er ist außerdem für das Lastbalancing und die Redundanz verantwortlich. Im Falle eines Ausfalls des WAF-Servers wird der Verkehr sofort auf einen anderen Server umgeleitet. Eine effiziente Verkehrsverteilung hilft, Situationen zu vermeiden, in denen die Firewall in den Fail-Open-Modus wechselt – sie kann die Last nicht bewältigen und hört auf, Anfragen zu filtern.
- Virtuelles Patchen. Virtuelle Patches beschränken den Zugriff auf kompromittierte Teile der Anwendung, bis der Entwickler die Sicherheitslücke schließt. Dies ermöglicht es dem Kunden des Cloud-Anbieters, entspannt zu warten, bis der Softwareanbieter offizielle „Patches“ veröffentlicht. Eine zügige Umsetzung hat für den Softwareanbieter oberste Priorität. Zum Beispiel verantwortet ein separates Softwaremodul in der Plattform „Valarm“ das virtuelle Patchen. Der Administrator kann benutzerdefinierte reguläre Ausdrücke hinzufügen, um schädliche Anfragen zu blockieren. Das System ermöglicht es, bestimmte Anfragen mit dem Flag „Vertrauliche Daten“ zu kennzeichnen. Dann werden deren Parameter maskiert und sie werden unter keinen Umständen über die Firewall-Zone hinaus übertragen.
- Integrierter Perimeter- und Schwachstellenscanner. Dies ermöglicht es, die Netzgrenzen der IT-Infrastruktur selbst zu definieren, indem DNS-Anfragedaten und das WHOIS-Protokoll genutzt werden. Anschließend analysiert die WAF automatisch die innerhalb des Perimeters laufenden Dienste und Services (führt Portscans durch). Die Firewall kann alle gängigen Arten von Schwachstellen erkennen — SQLi, XSS, XXE usw. — und konfigurationsbedingte Fehler in Software aufspüren, wie z.B. unbefugter Zugriff auf Git- und BitBucket-Repositories sowie anonyme Zugriffe auf Elasticsearch, Redis und MongoDB.
- Angriffe werden von den Ressourcen der Cloud überwacht. Cloud-Anbieter verfügen in der Regel über umfangreiche Rechenressourcen. Dies ermöglicht eine hochpräzise und schnelle Bedrohungsanalyse. In der Cloud wird ein Cluster von Filterknoten bereitgestellt, durch die der gesamte Datenverkehr geleitet wird. Diese Knoten blockieren Angriffe auf Webanwendungen und senden Statistiken an das Analysezentrum. Dort werden maschinelles Lernen-Algorithmen verwendet, um die Sperrregeln für alle geschützten Anwendungen zu aktualisieren. Die Implementierung eines solchen Schemas ist in Abb. 4 dargestellt. Solche angepassten Sicherheitsregeln minimieren die Anzahl von Fehlalarmen der Firewall.
Jetzt einige Details zu den Besonderheiten von Cloud-WAF aus organisatorischer Sicht und für die Verwaltung:
- Übergang zu OpEx. Bei Cloud-WAF fallen keine Implementierungskosten an, da der Anbieter bereits die gesamte Hardware und Lizenzen bezahlt hat; die Zahlung für den Service erfolgt im Abonnement.
- Verschiedene Tarife. Benutzer des Cloud-Dienstes kann zusätzliche Optionen schnell ein- oder ausschalten. Die Verwaltung der Funktionen erfolgt über ein zentrales, ebenfalls gesichertes Kontrollpanel. Der Zugriff darauf erfolgt über HTTPS, und es gibt einen Zwei-Faktor-Authentifizierungsmechanismus basierend auf dem TOTP-Protokoll (Time-based One-Time Password Algorithm).
- DNS-Anbindung. Sie können die DNS-Einstellungen selbst ändern und die Netzwerkrouting konfigurieren. Für diese Aufgaben müssen keine spezialisierten Fachkräfte eingestellt oder geschult werden. In der Regel kann der technische Support des Anbieters bei der Konfiguration helfen.
WAF-Technologien haben sich von einfachen Firewalls mit empirischen Regeln zu komplexen Schutzsystemen mit maschinellen Lernalgorithmen entwickelt. Heutzutage bieten Anwendungs-Firewalls ein breites Spektrum an Funktionen, die in den 90er Jahren schwer umsetzbar waren. Vieles von der neuen Funktionalität wurde durch Cloud-Technologien möglich. WAF-Lösungen und deren Komponenten entwickeln sich kontinuierlich weiter, ebenso wie andere Bereiche der IT-Sicherheit.
Text erstellt von Alexander Karpuzikov, Produktentwicklungsmanager für IT-Sicherheit beim Cloud-Anbieter #CloudMTS.
Quelle: habr.com
