{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"Veebirakenduse tulem\u00fc\u00fcri evolutsioon: v\u00f5rgu tulekindlatest s\u00fcsteemidest pilves\u00fcsteemide kaitsemasin\u00f5ppimisega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Meie eelmisel materjalis pilveteemal r\u00e4\u00e4kisime r\u00e4\u00e4kinud<\/a><\/noindex>, kuidas kaitsta IT-ressursse avalikus pilves ja miks traditsioonilised viiruset\u00f5rjes\u00fcsteemid ei sobi nende eesm\u00e4rkide saavutamiseks. K\u00e4esolevas postituses j\u00e4tkame pilvekaitse teemat ning arutame WAF-i arengut ja milline on parem valik: riistvara, tarkvara v\u00f5i pilv.\u00a0<\/b><\/p>\n

\"Veebirakenduse
\n<\/p>\n

Mis on WAF<\/h3>\n

\n\u00dcle 75% h\u00e4kkerite r\u00fcnnakutest on suunatud veebirakenduste ja -lehtede haavatavustele: sellised r\u00fcnnakud j\u00e4\u00e4vad tavaliselt m\u00e4rkamatuks k\u00fcberturbe infrastruktuuri ja teenuste jaoks. Veebirakenduste haavatavused toovad omakorda kaasa riske, mis seonduvad kontode ja isikuandmete, paroolide ning krediitkaartide numbrite kompromiteerimise ja pettuse riskiga. Lisaks on veebilehe haavatavused sissetungijate sissep\u00e4\u00e4su punktiks ettev\u00f5tte sisev\u00f5rku.<\/p>\n

Veebirakenduse t\u00f5kkesein (WAF) on kaitsekiht, mis blokeerib r\u00fcnnakud veebirakendustele: SQL-i s\u00fcstimise, \u00fclekandekirjutamise, kaugk\u00e4itamise koodi, bruteforce'i ja autoriseerimise \u00fcmbermineku. Sealhulgas r\u00fcnnakud, mis kasutavad zero-day haavatavusi. Rakenduse tulem\u00fc\u00fcrid tagavad kaitse, j\u00e4lgides veebilehtede sisu, sealhulgas HTML, DHTML ja CSS, ning filtreerides potentsiaalselt kahjulikke p\u00e4ringuid HTTP\/HTTPS protokollide kaudu.
\n<\/a><\/noindex><\/p>\n

Millised olid esimesed lahendused?<\/h3>\n

\nEsimesed katsed luua veebirakenduse t\u00f5kkesein tehti juba 90. aastate alguses. Teada on v\u00e4hemalt kolme inseneri, kes t\u00f6\u00f6tasid sellel alal. Esimene neist on arvutiteaduste professor Gene Spafford Purdue \u00fclikoolist. Ta kirjeldas rakenduste tulem\u00fc\u00fcri arhitektuuri proksiga ja avaldas selle 1991. aastal raamatus \u201eUNIXi turvalisus praktikas\u201c<\/a><\/noindex>.<\/p>\n

Teised kaks olid k\u00fcberturbe spetsialistid William Cheswick ja Marcus Ranum Bell Labs-ist. Nad arendasid v\u00e4lja \u00fche esimesi rakenduste tulem\u00fc\u00fcri protot\u00fc\u00fcpe. Selle levitamisega tegeles ettev\u00f5te DEC \u2014 toode toodi turule nimega SEAL (Secure External Access Link). <\/p>\n

Kuid SEAL ei olnud t\u00e4ielik WAF-lahendus. See oli klassikaline v\u00f5rgu tulem\u00fc\u00fcr, millel oli laiendatud funktsionaalsus \u2014 r\u00fcnnakute blokeerimise v\u00f5imalus FTP ja RSH suhtes. Seet\u00f5ttu peetakse esimeseks WAF-lahenduseks t\u00e4nap\u00e4eval Perfecto Technologies tooteid (hiljem Sanctum). 1999. aastal toodi see turule. esitles<\/a><\/noindex> AppShield s\u00fcsteem. Sel ajal tegeles Perfecto Technologies e-kaubanduse jaoks k\u00fcberjulgeoleku lahenduste arendamisega, ning nende uue toote sihtgrupiks said veebipoed. AppShield suutis anal\u00fc\u00fcsida HTTP-p\u00e4ringuid ja blokeerida r\u00fcnnakuid d\u00fcnaamiliste k\u00fcberpoliitikate alusel.<\/p>\n

Umbes sama ajal kui AppShield (2002. aastal) ilmus esimene avatud koodiga WAF. Selleks sai ModSecurity<\/a><\/noindex>. Selle eesm\u00e4rk oli populariseerida WAF-tehnoloogiaid ja seda toetab IT-kommuun siiani (siin on selle GitHubi hoidla<\/a><\/noindex>). ModSecurity blokib r\u00fcnnakuid rakendustele, tuginedes standardsetele regulaarsete v\u00e4ljendite (signatuuride) komplektidele - t\u00f6\u00f6riistadele p\u00e4ringute kontrollimiseks mustri j\u00e4rgi - OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

L\u00f5pptulemuseks oli see, et arendajatel \u00f5nnestus oma eesm\u00e4rke saavutada - turule ilmusid uued WAF-lahendused, sealhulgas need, mis p\u00f5hinevad ModSecurity-l.<\/p>\n

Kolm p\u00f5lvkonda - juba ajalugu<\/h3>\n

\nTavaliselt eristatakse kolme p\u00f5lvkonna WAF-s\u00fcsteeme, mis on arenenud tehnoloogia arenguga.<\/p>\n

Esimene p\u00f5lvkond<\/b>. T\u00f6\u00f6tab regulaarsete v\u00e4ljendite (v\u00f5i grammatikatega). Selle hulka kuulub ModSecurity. S\u00fcsteemide pakkujad uurivad rakendustele suunatud r\u00fcnnakute t\u00fc\u00fcpe ning moodustavad mustrid, mis kirjeldavad seaduslikke ja potentsiaalselt kahjulikke p\u00e4ringuid. WAF v\u00f5rdleb nende loenditega ja otsustab, mida teha konkreetses olukorras - blokeerida liiklus v\u00f5i mitte.<\/p>\n

Regulaarsete v\u00e4ljendite alusel avastamise n\u00e4itena on juba mainitud projekt Core Rule Set<\/a><\/noindex> avatud l\u00e4htekoodiga. Teine n\u00e4ide on Naxsi<\/a><\/noindex>, mis on samuti avatud l\u00e4htekoodiga. Regulaarsetel v\u00e4ljenditel p\u00f5hinevatel s\u00fcsteemidel on mitmeid puudusi, sealhulgas tuleb uue haavatavuse avastamisel administraatoril k\u00e4sitsi luua t\u00e4iendavaid reegleid. Suurte IT-infrastruktuuride puhul v\u00f5ib reegleid olla mitu tuhat. Sellise hulga regulaarsete v\u00e4ljendite haldamine on \u00fcsna keeruline, r\u00e4\u00e4kimata sellest, et nende kontrollimine v\u00f5ib v\u00e4hendada v\u00f5rgu j\u00f5udlust.<\/p>\n

Samuti on regulaarsetel v\u00e4ljendel suhteliselt k\u00f5rge valeh\u00e4irete tase. Kuulus lingvist Noam Chomsky pakkus v\u00e4lja grammatikate klassifitseerimise, jagades need neljaks tinglikuks keerukuse tasemeks. Selle klassifitseerimise kohaselt saab regulaarsete v\u00e4ljenditega kirjeldada ainult tulem\u00fc\u00fcri reegleid, mis ei eelda mustrist k\u00f5rvalekaldeid. See t\u00e4hendab, et kurjategijad saavad h\u00f5lpsasti petta esimese p\u00f5lvkonna WAF-i. \u00dcks meetod selle vastu v\u00f5itlemiseks on lisada rakendustele esitatavatesse p\u00e4ringutesse erilisi s\u00fcmboleid, mis ei m\u00f5juta pahatahtlike andmete loogikat, kuid rikuvad signatuurireeglit.<\/p>\n

\"Veebirakenduse
\n
\nTeine p\u00f5lvkond<\/b>. Probleemide lahendamiseks, mis on seotud WAF-i j\u00f5udluse ja t\u00e4psusega, loodi teise p\u00f5lvkonna rakenduste tulem\u00fc\u00fcre. Nendes on olemas parsereid, mille \u00fclesanne on tuvastada kindlaid r\u00fcnde t\u00fc\u00fcpe (nt HTML, JS jne). Need parserid t\u00f6\u00f6tavad spetsiaalsete tokenitega, mis kirjeldavad p\u00e4ringuid (nt variable, string, unknown, number). Potentsiaalselt kahjulikud tokenite jadasid kantakse eraldi nimekirja, millega WAF-s\u00fcsteem regulaarselt v\u00f5rreldakse. Esmakordselt esitati see l\u00e4henemine konverentsil Black Hat 2012 kujul C\/C++\u00a0raamatukogust libinjection<\/a><\/noindex>, mis v\u00f5imaldab tuvastada SQL-sisestusi.<\/p>\n

V\u00f5rreldes esimese p\u00f5lvkonna WAF-iga suudavad spetsialiseeritud parserid t\u00f6\u00f6tada kiiremini. Siiski ei lahendanud nad s\u00fcsteemi manuaalse seadistamisega seotud raskusi, kui ilmnevad uued pahatahtlikud r\u00fcnnakud. <\/p>\n

\"Veebirakenduse
\n
\nKolmas p\u00f5lvkond<\/b>. Kolmanda p\u00f5lvkonna avastamise loogika evolutsioon seisneb masin\u00f5ppe meetodite rakendamises, mis v\u00f5imaldavad viia avastamisgrammatika v\u00f5imalikult l\u00e4hedale SQL\/HTML\/JS kaitstava s\u00fcsteemi tegelikule grammatikale. See avastamisloogika suudab kohandada Turingi masinat, et h\u00f5lmata rekursiivselt loetletud grammasid. Lisaks oli varem kohandatava Turingi masina loomise \u00fclesanne lahendamata, kuni avaldati esimesed uuringud n\u00e4rviv\u00f5rkude Turingi masinatest.<\/p>\n

Masin\u00f5pe pakub ainulaadset v\u00f5imalust kohandada mis tahes grammatikat, et katta igasuguseid r\u00fcnnakuteid ilma allkirjade loomiseta k\u00e4sitsi, nagu oli vajalik esimese p\u00f5lvkonna tuvastamisel, ja ilma uute tokeniseerijate\/parsersite arendamiseta uute r\u00fcnnakute jaoks, nagu n\u00e4iteks Memcached, Redis, Cassandra, SSRF, nagu n\u00f5udis teise p\u00f5lvkonna metodoloogia. <\/p>\n

Kombineerides k\u00f5ik kolm tuvastamise loogika p\u00f5lvkonda, saame joonistada uue diagrammi, kus punase kontuuriga on esindatud kolmas p\u00f5lvkond (joonis 3). Selle p\u00f5lvkonnaga seondub \u00fcks lahendus, mida me rakendame pilves koost\u00f6\u00f6s \"Onsec\", veebirakenduste ja API kohandatud kaitseplatvormi arendaja Valarm. <\/p>\n

N\u00fc\u00fcd kasutatakse tuvastamise loogikas tagasisidet rakendusest automaatse seadistamise jaoks. Masin\u00f5ppe raames nimetatakse seda tagasiside ts\u00fcklit \"kinnitamiseks\". \u00dcldiselt on olemas \u00fcks v\u00f5i mitu sellise kinnitamise t\u00fc\u00fcpi:<\/p>\n