Retrospektiiv
Küberohtude ulatus, koostis ja struktuur rakenduste jaoks arenevad kiiresti. Aastate jooksul pääsesid kasutajad veebirakendustele interneti kaudu populaarsete veebibrauserite abil. Igal hetkel oli vajalik toetada 2-5 veebibrauserit ning veebirakenduste arendamise ja testimise standardite hulk oli piisavalt piiratud. Näiteks loodi peaaegu kõik andmebaasid SQL-i kasutades. Kahjuks õppisid häkkerid kiiresti, kuidas veebirakendusi kasutada andmete varastamiseks, kustutamiseks või muutmiseks. Nad said ebaseaduslikku juurdepääsu ja kuritarvitasid rakenduste võimalusi erinevate tehnikate abil, sealhulgas rakenduste kasutajate petmine, koodi süstimine ja kaugjuhitav töötlemine. Peagi ilmusid turule kaubanduslikud veebirakenduste kaitsevahendid, mida nimetatakse veebirakenduste tulemüürideks (WAF), ning ühiskond reageeris veebirakenduste turvalisuse tagamiseks avatud projekti loomisega, Open Web Application Security Project (OWASP), mille eesmärk oli määratleda ja säilitada standardeid ning metoodikaid turvaliste rakenduste arendamiseks.
Rakenduste põhisus
on rakenduste kaitse tagamise alguspunkt ja sisaldab nimekirja kõige ohtlikumatest ähvardustest ja vale konfiguratsioonidest, mis võivad viia rakenduste haavatavuseni, samuti ründetegevuse avastamise ja tõrjumise taktikad. OWASP Top 10 on tunnustatud suunis globaalsetes rakenduste küberturbe valdkondades ja määratleb põhivõimaluste nimekirja, millel peaks olema veebirakenduste kaitsesüsteem (WAF).
Lisaks peab WAF funktsioon arvesse võtma ka teisi levinud rünnakuid veebirakenduste vastu, sealhulgas taotluste valehäälestamist (CSRF), klikkimise häkkimist (Clickjacking), veebikaevandamist (web scraping) ja failide lisamist (RFI/LFI).
Kaasaegsete rakenduste turvaprobleemid ja -väljakutsed
Praeguseks on kaugel kõik rakendused võrgu variandi poole liikuda. On olemas pilverakendused, mobiilirakendused, API-d ning uusimates arhitektuurides isegi individuaalsed tarkvarafunktsioonid. Kõiki neid rakendusi tuleb sünkroonida ja jälgida, kuna need loovad, muudavad ja töötlevad meie andmeid. Uute tehnoloogiate ja paradigmade tekkimisega kaasnevad uued keerukused ja väljakutsed kogu rakenduste elutsükli jooksul. See hõlmab arenduse ja operatiivsete tegevuste (DevOps), konteinerite, asjade interneti (IoT), avatud lähtekoodiga tööriistu, API-sid jne integreerimist.
Rakenduste hajutatud paigutamine ja tehnoloogiate mitmekesisus tekitavad keerulisi ja keerulisi probleeme mitte ainult infoturbe spetsialistidele, vaid ka turvalisuse lahenduste tootjatele, kes ei saa enam toetuda ühtsele lähenemisele. Rakenduste kaitsevahendid peavad arvesse võtma nende äri spetsiifikat, et vältida valehäireid ja kvaliteedi rikkumist kasutajate teenustes.
Häkkerite peamine eesmärk on tavaliselt andmete vargus või teenuste kättesaadavuse rikkumine. Kurjategijad saavad samuti kasu tehnoloogilisest arengust. Esiteks, uute tehnoloogiate arenemine loob rohkem potentsiaalseid auke ja haavatavusi. Teiseks, nende arsenali lisandub rohkem tööriistu ja teadmisi traditsiooniliste turvameetmete ületamiseks. See suurendab oluliselt nii nimetatud "rünnaku pinda" ja organisatsioonide haavatavust uutele riskidele. Turvapoliitikad peavad pidevalt muutuma koos tehnoloogia ja rakenduste arenguga.
Seetõttu peavad rakendused olema kaitstud pidevalt kasvava ründemudelite ja allikate mitmekesisuse eest, ning automaatsete rünnakute peegeldamine peab toimuma reaalajas, tuginedes teadlikule otsustamisele. Selle tulemusena suurenevad opereerimise kulud ja käsitöö nõrkade turvapositsioonide tõttu.
Ülesanne nr 1: Robotite haldamine
Rohkem kui 60% interneti liiklusest genereerivad robotid, millest pool kuulub "halbadele" liiklustele (vastavalt) ). Organisatsioonid investeerivad võrgu läbilaskevõime suurendamisse, teenindades põhimõtteliselt vale koormust. Täpne eristamine tegeliku kasutaja liikluse ja botiliikluse, samuti 'head' botid (nt otsingurobotid ja hinnavõrdlus teenused) ja 'halvad' botid võib tähendada märkimisväärset säästu ja kasutajakogemuse kvaliteedi tõusu.
Bote ei kavatse seda ülesannet lihtsustada, nad suudavad matkida tegelike kasutajate käitumist, mööda minna CAPTCHA-st ja muudest takistustest. Veelgi enam, dünaamiliste IP-aadressidega rünnakute korral muutub IP-põhine filtreerimis kaitse ebaefektiivseks. Tihti kasutatakse avatud lähtekoodiga arendustööriistu (näiteks Phantom JS), mis suudavad käitada kliendi JavaScripti, brute-force rünnakute, credential stuffing rünnakute, DDoS rünnakute ja automaatsete botirünnakute läbiviimiseks.
Tõhusaks botiliikluse haldamiseks on vajalik selle allika unikaalne tuvastamine (nagu sõrmejälg). Kuna botirünnaku korral tekib palju registre, võib selle sõrmejälg aidata tuvastada kahtlast tegevust ja määrata punkte, mille põhjal rakenduste kaitsesüsteem teeb teadlikke otsuseid – blokeerida/luua võimalus – madala valepositiivide määra juures.
Ülesanne nr 2: API kaitse
Paljud rakendused koguvad teavet ja andmeid teenustelt, millega nad suhtlevad läbi API. Konfidentsiaalsete andmete edastamisel API kaudu ei tee rohkem kui 50% organisatsioonidest APIde kontrolli ega kaitset küberrünnakute tuvastamiseks.
API kasutamise näited:
- Asjade Interneti (IoT) integreerimine
- Masinatevaheline suhtlus
- Serverita keskkonnad
- Mobiilirakendused
- Sündmustele reageerivad rakendused
API haavatavused sarnanevad rakenduste haavatavustega ning hõlmavad sissejuhatusi, protokollirünnakuid, parameetrite manipuleerimist, ümbersuunamisi ja botirünnakuid. Erilised API väravad tagavad rakenduste teenuste ühilduvuse, mis suhtlevad API kaudu. Siiski ei paku need rakendusele lõplikku turvalisust, nagu seda suudab WAF vajalike turvainstrumentidega, nagu HTTP-pealkirjade analüüs, kebaba nõrga tasandi (ACL) ligipääsureeglid, JSON/XML koormuse analüüs ja kontroll ning kõik OWASP Top 10 haavatavused. See saavutatakse API võtmeväärtuste inspektsiooni teel, kasutades positiivseid ja negatiivseid mudeleid.
Ülesanne nr 3: Teenuse tagasilükkamine
Vana rünnakute vektor — teenuse keeldumine (DoS) — jääb endiselt tõhusaks rakenduste rünnakutes. Kahjustajad omavad mitmeid edukaid tehnikaid rakenduste teenuste töö katkestamiseks, sealhulgas HTTP või HTTPS voogud, madalate ja aeglaste rünnakute ('low-and-slow', näiteks SlowLoris, LOIC, Torshammer), dünaamiliste IP-aadresside kasutamine, puhverülekande ületamine, brute-force rünnakud ja palju muud. Asjade Interneti arenguga ja sellele järgneva IoT botnetide teke on rakenduste rünnakud saanud DDoS-rünnakute põhisuunaks. Enamik VAF-e, mis jälgivad ühenduste olekut, saavad vastu seista ainult piiratud mahule. Siiski võivad nad kontrollida HTTP/S liiklust ja kõrvaldada rünnaku liikluse ning pahatahtlikud ühendused. Pärast rünnaku tuvastamist pole mõtet seda liiklust uuesti lubada. Kuna VAF-i läbilaskevõime rünnakute peegeldamiseks on piiratud, on vajalik täiendav lahendus võrgu perimeetril, et automaatselt blokeerida järgmised 'halvad' paketid. Antud kaitseskenaaris peavad mõlemad lahendused suutma omavahel suhelda rünnakute teabe vahetamiseks.
Kujundamine võrgu ja rakenduste kompleksseks kaitseks, kasutades Radware lahendusi
Ülesanne nr 4: Katkestusteta kaitse
Rakendused muutuvad sageli. Arenduse ja rakendamise metoodikad, nagu pidev värskendamine, tähendavad, et muudatusi tehakse ilma inimsekkumiseta ja kontrollita. Sellistes dünaamilistes tingimustes on keeruline säilitada tõhusad turvapoliitikad ilma paljude valepositiivsete häirete arvuta. Mobiilirakenduste uuendamine toimub palju sagedamini kui veebirakenduste puhul. Kolmandate osapoolte rakendused võivad muutuda ilma teie teadmiseta. Mõned organisatsioonid püüavad saavutada suuremat kontrolli ja nähtavust, et olla kursis võimalike riskidega. Siiski ei ole see alati saavutatav, ning rakenduste usaldusväärne kaitse peab kasutama masinõppe võimalusi olemasolevate ressursside arvestamiseks ja visuaalseks esitlemiseks, potentsiaalsete ohtude analüüsimiseks, ning turvapoliitikate koostamiseks ja optimeerimiseks rakenduste muutumise korral.
Järeldused
Kuna rakendused mängivad üha olulisemat rolli igapäevaelus, on nad muutunud peamiseks sihtmärgiks häkkerite jaoks. Potentsiaalne saak kurjategijatele ja võimalikud kahjud ettevõtetele on tohutud. Rakenduste turvalisuse tagamise keerukust ei saa üle tähtsustada, arvestades rakenduste ja ohtude hulka ja varieeruvust.
Õnneks elame ajal, mil tehisintellekt saab meile appi tulla. Masinõppel põhinevad algoritmid pakuvad reaalajas kohanduvat kaitset kõige arenenumate küberohtude vastu, mis suunatud rakendustele. Need uuendavad automaatselt turvapoliitikaid, et kaitsta veebipõhiseid, mobiilseid ja pilvepõhiseid rakendusi — samuti API-sid — valepositiivsete signaalideta.
On keeruline täpselt ennustada, milline saab olema uus küberohtude generatsioon rakendustele (võimalik, et samuti masinõppel põhinev). Kuid organisatsioonid saavad kindlasti astuda samme, et kaitsta klientide andmeid, intellektuaalset omandit ja tagada teenuste kättesaadavus, saavutades samas suurt kasu äri jaoks.
Tõhusad lähenemisviisid ja meetodid rakenduste turvalisuse tagamiseks, peamised ründetüübid ja rünnakusuunad, riskitsoonid ja nõrkused veebirakenduste küberkaitses, samuti globaalne kogemus ja parimad praktikud on esitatud Radware uuringus ja aruandes "”.
Allikas: habr.com
