{"id":52993,"date":"2019-11-21T00:00:00","date_gmt":"2019-11-20T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10"},"modified":"2020-02-18T14:00:49","modified_gmt":"2020-02-18T11:00:49","slug":"funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","title":{"rendered":"Kaasaegsete rakenduste kaitses\u00fcsteemide (WAF) funktsionaalsus peab olema palju laiem kui OWASP Top 10 haavatavuste loetelu.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Tagasivaade<\/h4>\n

\nK\u00fcberohtude ulatus, koosseis ja struktuur rakenduste jaoks areneb kiiresti. Aastate jooksul p\u00e4\u00e4sesid kasutajad veebirakendustele ligi interneti kaudu populaarsete veebibrauserite abiga. Iga hetk oli vajalik toetada 2-5 veebibrauserit ning veebirakenduste arendamise ja testimise standardite kogum oli piisavalt piiratud. N\u00e4iteks peaaegu k\u00f5ik andmebaasid ehitati SQLi abil. Kahjuks \u00f5ppisid h\u00e4kkerid varsti veebirakendusi kasutama andmete varastamiseks, kustutamiseks v\u00f5i muutmiseks. Nad said ebaseaduslikult juurde ja kuritarvitasid rakenduste v\u00f5imalusi, kasutades erinevaid tehnikaid, sealhulgas rakenduste kasutajate petmist, koodi s\u00fcstimist ja kaugprotsessimist. Peagi ilmus turule kaubanduslikud veebirakenduste kaitsevahendid, mida nimetatakse veebirakenduste tulem\u00fc\u00fcrideks (WAF), ning \u00fchiskond reageeris avatud projekti loomisega veebirakenduste turvalisuse tagamiseks, Open Web Application Security Project (OWASP), eesm\u00e4rgiga m\u00e4\u00e4ratleda ja s\u00e4ilitada turvaliste rakenduste arendamise standardid ja metodoloogiad.<\/a><\/noindex><\/p>\n

P\u00f5hjalik rakenduste kaitse<\/h4>\n

\nOWASP Top 10 nimekiri<\/a><\/noindex> on rakenduste kaitse tagamise l\u00e4htepunkt ja sisaldab nimekirja k\u00f5ige ohtlikematest ohtudest ja vale seadistustest, mis v\u00f5ivad viia rakenduste haavatavusteni, samuti r\u00fcnnakute tuvastamise ja t\u00f5rje taktikatest. OWASP Top 10 on tunnustatud orientiir k\u00fcberkaitse t\u00f6\u00f6stuses kogu maailmas ja m\u00e4\u00e4ratleb p\u00f5hinimekirja omadustest, millega peab olema varustatud veebirakenduste kaitses\u00fcsteem (WAF). <\/p>\n

Lisaks peab WAF-i funktsionaalsus arvestama ka muid levinud veebirakenduste r\u00fcnnakuid, sealhulgas ristkasutuse p\u00e4ringute vale esitamine (CSRF), klikkide petmine (Clickjacking), veebikr\u00f5bimine (web scraping) ja failide sissetoomine (RFI\/LFI).<\/p>\n

T\u00e4nap\u00e4evaste rakenduste turvaprobleemid ja v\u00e4ljakutsed<\/h4>\n

\nT\u00e4nap\u00e4eval ei ole k\u00f5ik rakendused v\u00f5rguvariantides. On olemas pilverakendused, mobiilirakendused, API-d, ja uusimates arhitektuurides ka individuaalsed tarkvarafunktsioonid. K\u00f5iki neid rakendusi tuleb s\u00fcnkroniseerida ja kontrollida, kuna need loovad, muudavad ja t\u00f6\u00f6tlevad meie andmeid. Uute tehnoloogiate ja paradigmade tekkega on ilmnenud uusi keerukusi ja \u00fclesandeid rakenduste eluts\u00fckli k\u00f5igil etappidel. See h\u00f5lmab arenduse ja operatsioonide (DevOps) integreerimist, konteinerite kasutamist, asjade Internetti (IoT), avatud l\u00e4htekoodiga t\u00f6\u00f6riistu, API-sid jne. <\/p>\n

Rakenduste ja tehnoloogiate jaotatud paigutamine loob keerulisi ja komplekseid \u00fclesandeid mitte ainult teabe turvalisuse spetsialistidele, vaid ka turvalahenduste tootjatele, kes ei saa enam toetuda \u00fchtsele l\u00e4henemisviisile. Rakenduste kaitsevahendid peavad arvesse v\u00f5tma nende \u00e4ritespecificsust valeaktiveerimise ja teenuste kvaliteedih\u00e4irete v\u00e4ltimiseks. <\/p>\n

H\u00e4kkerite l\u00f5ppeesm\u00e4rk on tavaliselt kas andmete vargus v\u00f5i teenuste k\u00e4ttesaadavuse rikkumine. Kurjategijatel on samuti tehnoloogilise evolutsiooni k\u00e4igus eelised. Esiteks loob uute tehnoloogiate areng rohkem potentsiaalseid auke ja haavatavusi. Teiseks on neil rohkem t\u00f6\u00f6riistu ja teadmisi traditsiooniliste kaitsemeetmete \u00fcletamiseks. See suurendab m\u00e4rgatavalt nn \"r\u00fcnde pinda\" ja organisatsioonide alti t\u00f5en\u00e4osust uutele riskidele. Turvapoliitikad peavad pidevalt muutuma koos tehnoloogia ja rakenduste muutustega. <\/p>\n

Seega peab rakendusi kaitsma pidevalt kasvav mitmekesisus r\u00fcndemeetoditest ja -allikatest, ning automaatsete r\u00fcnnakute peegeldamine peab toimuma reaalajas informeeritud otsuste alusel. Sellest tulenevalt suurenevad tegevuskulud ja k\u00e4sitsi t\u00f6\u00f6, taustal n\u00f5rgenenud positsioonide t\u00f5ttu turvalisuses. <\/p>\n

\u00dclesanne nr 1: Botide haldamine<\/h4>\n

\nRohkem kui 60% veebiliiklusest genereerivad botid, millest poole moodustavad \"halvad\" liiklus (vastavalt Radware'i turvaaruandele<\/a><\/noindex>). Organisatsioonid investeerivad v\u00f5rgu l\u00e4bilaskev\u00f5ime suurendamisse, teenindades p\u00f5him\u00f5tteliselt valekoormust. T\u00e4pne eristamine tegeliku kasutaja liikluse ja robotiliiklusest, samuti \u201eheadest\u201d robotitest (nt otsingumootorid ja hindade v\u00f5rdlemise teenused) ning \u201ehalbadest\u201d robotitest v\u00f5ib tuua m\u00e4rkimisv\u00e4\u00e4rse kokkuhoiu ja t\u00f5sta teenuste kvaliteeti kasutajatele. <\/p>\n

Robotid ei plaani seda \u00fclesannet lihtsustada ning nad v\u00f5ivad j\u00e4ljendada t\u00f5eliste kasutajate k\u00e4itumist, \u00fcletades CAPTCHA-d ja muid t\u00f5kkeid. Veelgi enam, d\u00fcnaamiliste IP-aadresside kasutamise r\u00fcnnakute korral muutub IP-aadressi filtreerimisega kaitse ebaefektiivseks. Sageli kasutatakse avatud l\u00e4htekoodiga arendust\u00f6\u00f6riistu (n\u00e4iteks Phantom JS), mis suudavad t\u00f6\u00f6tada kliendi JavaScriptiga, brute-force r\u00fcnnakute, credentials stuffing r\u00fcnnakute, DDoS r\u00fcnnakute ja automaatsete robotr\u00fcnnakute k\u00e4ivitamiseks. <\/p>\n

T\u00f5husaks robotiliikluse haldamiseks on vajalik unikaalne identifitseerimine allikast (nagu s\u00f5rmej\u00e4lg). Kuna robotir\u00fcnnaku korral tekib palju registreid, siis selle s\u00f5rmej\u00e4lg v\u00f5imaldab tuvastada kahtlast aktiivsust ja m\u00e4\u00e4rata punkte, mille alusel rakenduste kaitses\u00fcsteem teeb teadliku otsuse - blokeerida\/luua - minimaalse valepositiivsete tulemuste m\u00e4\u00e4raga. <\/p>\n

\"Kaasaegsete<\/a><\/noindex><\/p>\n

\u00dclesanne nr 2: API kaitse<\/h4>\n

\nPaljud rakendused koguvad teavet ja andmeid teenustelt, millega nad suhtlevad API kaudu. Konfidentsiaalsete andmete edastamisel API kaudu ei teosta \u00fcle 50% organisatsioonidest mitte mingit kontrolli ega kaitset k\u00fcberr\u00fcnnakute tuvastamiseks. <\/p>\n

API kasutuse n\u00e4ited:<\/p>\n