Tagasivaade
Küberohtude ulatus, koosseis ja struktuur rakenduste jaoks areneb kiiresti. Aastate jooksul pääsesid kasutajad veebirakendustele ligi interneti kaudu populaarsete veebibrauserite abiga. Iga hetk oli vajalik toetada 2-5 veebibrauserit ning veebirakenduste arendamise ja testimise standardite kogum oli piisavalt piiratud. Näiteks peaaegu kõik andmebaasid ehitati SQLi abil. Kahjuks õppisid häkkerid varsti veebirakendusi kasutama andmete varastamiseks, kustutamiseks või muutmiseks. Nad said ebaseaduslikult juurde ja kuritarvitasid rakenduste võimalusi, kasutades erinevaid tehnikaid, sealhulgas rakenduste kasutajate petmist, koodi süstimist ja kaugprotsessimist. Peagi ilmus turule kaubanduslikud veebirakenduste kaitsevahendid, mida nimetatakse veebirakenduste tulemüürideks (WAF), ning ühiskond reageeris avatud projekti loomisega veebirakenduste turvalisuse tagamiseks, Open Web Application Security Project (OWASP), eesmärgiga määratleda ja säilitada turvaliste rakenduste arendamise standardid ja metodoloogiad.
Põhjalik rakenduste kaitse
on rakenduste kaitse tagamise lähtepunkt ja sisaldab nimekirja kõige ohtlikematest ohtudest ja vale seadistustest, mis võivad viia rakenduste haavatavusteni, samuti rünnakute tuvastamise ja tõrje taktikatest. OWASP Top 10 on tunnustatud orientiir küberkaitse tööstuses kogu maailmas ja määratleb põhinimekirja omadustest, millega peab olema varustatud veebirakenduste kaitsesüsteem (WAF).
Lisaks peab WAF-i funktsionaalsus arvestama ka muid levinud veebirakenduste rünnakuid, sealhulgas ristkasutuse päringute vale esitamine (CSRF), klikkide petmine (Clickjacking), veebikrõbimine (web scraping) ja failide sissetoomine (RFI/LFI).
Tänapäevaste rakenduste turvaprobleemid ja väljakutsed
Tänapäeval ei ole kõik rakendused võrguvariantides. On olemas pilverakendused, mobiilirakendused, API-d, ja uusimates arhitektuurides ka individuaalsed tarkvarafunktsioonid. Kõiki neid rakendusi tuleb sünkroniseerida ja kontrollida, kuna need loovad, muudavad ja töötlevad meie andmeid. Uute tehnoloogiate ja paradigmade tekkega on ilmnenud uusi keerukusi ja ülesandeid rakenduste elutsükli kõigil etappidel. See hõlmab arenduse ja operatsioonide (DevOps) integreerimist, konteinerite kasutamist, asjade Internetti (IoT), avatud lähtekoodiga tööriistu, API-sid jne.
Rakenduste ja tehnoloogiate jaotatud paigutamine loob keerulisi ja komplekseid ülesandeid mitte ainult teabe turvalisuse spetsialistidele, vaid ka turvalahenduste tootjatele, kes ei saa enam toetuda ühtsele lähenemisviisile. Rakenduste kaitsevahendid peavad arvesse võtma nende äritespecificsust valeaktiveerimise ja teenuste kvaliteedihäirete vältimiseks.
Häkkerite lõppeesmärk on tavaliselt kas andmete vargus või teenuste kättesaadavuse rikkumine. Kurjategijatel on samuti tehnoloogilise evolutsiooni käigus eelised. Esiteks loob uute tehnoloogiate areng rohkem potentsiaalseid auke ja haavatavusi. Teiseks on neil rohkem tööriistu ja teadmisi traditsiooniliste kaitsemeetmete ületamiseks. See suurendab märgatavalt nn "ründe pinda" ja organisatsioonide alti tõenäosust uutele riskidele. Turvapoliitikad peavad pidevalt muutuma koos tehnoloogia ja rakenduste muutustega.
Seega peab rakendusi kaitsma pidevalt kasvav mitmekesisus ründemeetoditest ja -allikatest, ning automaatsete rünnakute peegeldamine peab toimuma reaalajas informeeritud otsuste alusel. Sellest tulenevalt suurenevad tegevuskulud ja käsitsi töö, taustal nõrgenenud positsioonide tõttu turvalisuses.
Ülesanne nr 1: Botide haldamine
Rohkem kui 60% veebiliiklusest genereerivad botid, millest poole moodustavad "halvad" liiklus (vastavalt ). Organisatsioonid investeerivad võrgu läbilaskevõime suurendamisse, teenindades põhimõtteliselt valekoormust. Täpne eristamine tegeliku kasutaja liikluse ja robotiliiklusest, samuti „headest” robotitest (nt otsingumootorid ja hindade võrdlemise teenused) ning „halbadest” robotitest võib tuua märkimisväärse kokkuhoiu ja tõsta teenuste kvaliteeti kasutajatele.
Robotid ei plaani seda ülesannet lihtsustada ning nad võivad jäljendada tõeliste kasutajate käitumist, ületades CAPTCHA-d ja muid tõkkeid. Veelgi enam, dünaamiliste IP-aadresside kasutamise rünnakute korral muutub IP-aadressi filtreerimisega kaitse ebaefektiivseks. Sageli kasutatakse avatud lähtekoodiga arendustööriistu (näiteks Phantom JS), mis suudavad töötada kliendi JavaScriptiga, brute-force rünnakute, credentials stuffing rünnakute, DDoS rünnakute ja automaatsete robotrünnakute käivitamiseks.
Tõhusaks robotiliikluse haldamiseks on vajalik unikaalne identifitseerimine allikast (nagu sõrmejälg). Kuna robotirünnaku korral tekib palju registreid, siis selle sõrmejälg võimaldab tuvastada kahtlast aktiivsust ja määrata punkte, mille alusel rakenduste kaitsesüsteem teeb teadliku otsuse - blokeerida/luua - minimaalse valepositiivsete tulemuste määraga.
Ülesanne nr 2: API kaitse
Paljud rakendused koguvad teavet ja andmeid teenustelt, millega nad suhtlevad API kaudu. Konfidentsiaalsete andmete edastamisel API kaudu ei teosta üle 50% organisatsioonidest mitte mingit kontrolli ega kaitset küberrünnakute tuvastamiseks.
API kasutuse näited:
- Asjade Interneti (IoT) integreerimine
- Masinatevaheline suhtlemine
- Serverivabad keskkonnad
- Mobiilirakendused
- Sündmustele reageerivad rakendused
API haavatavad on sarnased rakenduste haavatavustega ning nendesse kuuluvad sissetungid, protokolli rünnakud, parameetrite manipuleerimine, ümbersuunamised ja robotirünnakud. Eraldised API väravad tagavad rakenduste teenuste ühilduvuse, mis suhtlevad API kaudu. Kuid need ei paku rakendusele täielikku turvalisust, nagu suudab teha WAF koos vajalike turvavahenditega, nagu HTTP-peade analüüs, Layer 7 (ACL) juurdepääsuhaldusloend, JSON/XML koormuse analüüs ja kontrollimine ning kaitse kõigi OWASP Top 10 nimekirjas olevate haavatavuste vastu. See saavutatakse API võtme väärtuste inspekteerimise teel, kasutades positiivseid ja negatiivseid mudelit.
Ülesanne Nr 3: Teenuse katkestamine
Vana rünnakute vektor - teenuse katkestamine (DoS) - tõendab endiselt oma efektiivsust rakenduste rünnakutes. Küberkurjategijatel on terve hulk edukaid tehnikaid rakenduste teenuste töö katkemiseks, sealhulgas HTTP või HTTPS voolud, nõrkade ja aeglaste rünnakute (nt SlowLoris, LOIC, Torshammer) kasutamine, rünnakud dünaamiliste IP-aadresside abil, puhverdamise ületamine, brute force rünnakud ja paljud teised. Asjade Interneti arenguga ja sellele järgnenud IoT botivõrkude tekkega on rakenduste rünnakud muutunud DDoS rünnakute peamiseks suunaks. Enamik WAF-e, mis jälgivad ühenduste olekut, suudavad taluda vaid piiratud koormust. Siiski saavad nad inspekteerida HTTP/S liiklusvooge ning eemaldada rünnakuliiklust ja pahatahtlikke ühendusi. Pärast rünnaku tuvastamist pole mõtet selle liikluse uuesti lubamiseks. Kuna WAF kaudu rünnakute peegeldamiseks mõeldud läbilaskevõime on piiratud, on vajalik lisalahendus võrgu perimeetril, et automaatselt blokeerida järgmised
Joon 1. Võrgu ja rakenduste tervikliku kaitse korraldus Radware lahenduste näitel
Ülesanne Nr 4: Jätkuv kaitse
Rakendused muutuvad sageli. Arendus- ja rakendamismeetodid, näiteks pidev uuendamine, tähendab, et muudatused tehakse ilma inimsekkumiseta ja kontrollita. Nendes dünaamilistes tingimustes on keeruline säilitada piisavalt töötavaid turvapoliitikaid, ilma et see tooks kaasa palju valepositiivseid tulemusi. Mobiilirakendusi uuendatakse oluliselt sagedamini kui veebirakendusi. Kolmandate osapoolte rakendused võivad muutuda teie teadmata. Mõned organisatsioonid püüdlevad suurema kontrolli ja visualiseerimise poole, et teadlikud olla võimalike riskide kohta. Kuid see ei ole alati saavutatav, ja rakenduste usaldusväärne kaitse peaks kasutama masinõppe võimalusi olemasolevate ressursside arvesse võtmiseks ja visualiseerimiseks, potentsiaalsete ohtude analüüsimiseks, turvapoliitikate loomiseks ja optimeerimiseks rakenduste muutumisel.
Järeldused
Kuna rakendused mängivad üha tähtsamat rolli igapäevaelus, saavad nad häkkerite peamiseks sihtmärgiks. Potentsiaalne saak kurjategijatele ja potentsiaalsed ärikaotused on tohutud. Rakenduste turvalisuse tagamise keerukust ei saa üle hinnata, arvestades rakenduste arvu ja variatsioone ning ohte.
Õnneks oleme jõudnud aega, kus kunstlik intelligentsus võib meid aidata. Masinõppel põhinevad algoritmid tagavad reaalajas kaitse kõige arenenumate küberohtude eest, mis on suunatud rakendustele. Need uuendavad automaatselt turvapoliitikaid veeb-, mobiil- ja pilverakenduste — samuti API — kaitsmiseks ilma valepositiivsete tulemusteta.
On keeruline täpselt ennustada, milliseks kujunevad uue põlvkonna küberohud rakendustele (võib-olla samuti masinõppel põhinevad). Kuid organisatsioonid saavad kindlasti astuda samme klientide andmete, intellektuaalse omandi kaitsmiseks ja teenuste kättesaadavuse tagamiseks, mida on äri jaoks suur kasu.
Tõhusad lähenemisviisid ja meetodid rakenduste turvalisuse tagamiseks, peamised rünnakutüübid ja -vektorid, riskitsoonid ja lüngad veebirakenduste küberturvalisuses, samuti globaalne kogemus ja parimad praktikaid on esitatud Radware’i uuringus ja aruandes”.
Allikas: habr.com
