वेब एप्लिकेशन फ़ायरवॉल का विकास: फ़ायरवॉल से लेकर मशीन लर्निंग के साथ क्लाउड-आधारित सुरक्षा प्रणाली तक

क्लाउड विषयों पर हमारी पिछली सामग्री में, हम बताया, सार्वजनिक क्लाउड में आईटी संसाधनों की सुरक्षा कैसे करें और पारंपरिक एंटीवायरस इन उद्देश्यों के लिए पूरी तरह उपयुक्त क्यों नहीं हैं। इस पोस्ट में, हम क्लाउड सुरक्षा के विषय को जारी रखेंगे और WAF के विकास के बारे में बात करेंगे और क्या चुनना बेहतर है: हार्डवेयर, सॉफ्टवेयर या क्लाउड। 

WAF क्या है?

75% से अधिक हैकर हमलों का उद्देश्य वेब एप्लिकेशन और वेबसाइटों की कमजोरियां हैं: ऐसे हमले आमतौर पर सूचना सुरक्षा बुनियादी ढांचे और सूचना सुरक्षा सेवाओं के लिए अदृश्य होते हैं। वेब अनुप्रयोगों में कमजोरियाँ, बदले में, उपयोगकर्ता खातों और व्यक्तिगत डेटा, पासवर्ड और क्रेडिट कार्ड नंबरों के साथ छेड़छाड़ और धोखाधड़ी का जोखिम उठाती हैं। इसके अलावा, वेबसाइट की कमजोरियाँ हमलावरों के लिए कॉर्पोरेट नेटवर्क में प्रवेश बिंदु के रूप में काम करती हैं।

वेब एप्लिकेशन फ़ायरवॉल (WAF) एक सुरक्षात्मक स्क्रीन है जो वेब एप्लिकेशन पर हमलों को रोकती है: SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग, रिमोट कोड निष्पादन, ब्रूट फोर्स और प्राधिकरण बाईपास। इसमें ऐसे हमले शामिल हैं जो शून्य-दिन की कमजोरियों का फायदा उठाते हैं। एप्लिकेशन फ़ायरवॉल HTML, DHTML और CSS सहित वेब पेज सामग्री की निगरानी करके और संभावित रूप से दुर्भावनापूर्ण HTTP/HTTPS अनुरोधों को फ़िल्टर करके सुरक्षा प्रदान करते हैं।

पहले निर्णय क्या थे?

वेब एप्लिकेशन फ़ायरवॉल बनाने का पहला प्रयास 90 के दशक की शुरुआत में किया गया था। ज्ञात हो कि कम से कम तीन इंजीनियरों ने इस क्षेत्र में काम किया है। पहले पर्ड्यू विश्वविद्यालय के कंप्यूटर विज्ञान के प्रोफेसर जीन स्पैफ़ोर्ड हैं। उन्होंने प्रॉक्सी एप्लिकेशन फ़ायरवॉल की वास्तुकला का वर्णन किया और इसे 1991 में पुस्तक में प्रकाशित किया "व्यवहार में UNIX सुरक्षा".

दूसरे और तीसरे बेल लैब्स के सूचना सुरक्षा विशेषज्ञ विलियम चेसविक और मार्कस रैनम थे। उन्होंने पहले एप्लिकेशन फ़ायरवॉल प्रोटोटाइप में से एक विकसित किया। इसे DEC द्वारा वितरित किया गया था - उत्पाद SEAL (सिक्योर एक्सटर्नल एक्सेस लिंक) नाम से जारी किया गया था।

लेकिन SEAL पूर्ण विकसित WAF समाधान नहीं था। यह उन्नत कार्यक्षमता वाला एक क्लासिक नेटवर्क फ़ायरवॉल था - एफ़टीपी और आरएसएच पर हमलों को रोकने की क्षमता। इस कारण से, आज का पहला WAF समाधान परफेक्टो टेक्नोलॉजीज (बाद में सैंक्टम) का उत्पाद माना जाता है। 1999 में वह प्रस्तुत ऐपशील्ड प्रणाली। उस समय, परफेक्टो टेक्नोलॉजीज ई-कॉमर्स के लिए सूचना सुरक्षा समाधान विकसित कर रही थी, और ऑनलाइन स्टोर उनके नए उत्पाद के लक्षित दर्शक बन गए। AppShield गतिशील सूचना सुरक्षा नीतियों के आधार पर HTTP अनुरोधों और अवरुद्ध हमलों का विश्लेषण करने में सक्षम था।

लगभग उसी समय जब AppShield (2002 में) पहला ओपन सोर्स WAF सामने आया। वह बन गया ModSecurity. इसे WAF प्रौद्योगिकियों को लोकप्रिय बनाने के उद्देश्य से बनाया गया था और यह अभी भी आईटी समुदाय द्वारा समर्थित है (यह यहाँ है)। GitHub पर रिपॉजिटरी). ModSecurity नियमित अभिव्यक्ति (हस्ताक्षर) के एक मानक सेट के आधार पर अनुप्रयोगों पर हमलों को रोकता है - पैटर्न के आधार पर अनुरोधों की जाँच के लिए उपकरण - OWASP कोर नियम सेट.

परिणामस्वरूप, डेवलपर्स अपने लक्ष्य को प्राप्त करने में कामयाब रहे - नए WAF समाधान बाज़ार में दिखाई देने लगे, जिनमें मॉडसिक्योरिटी के आधार पर निर्मित समाधान भी शामिल थे।

तीन पीढ़ियाँ पहले से ही इतिहास हैं

यह WAF प्रणालियों की तीन पीढ़ियों को अलग करने की प्रथा है, जो प्रौद्योगिकी के विकास के साथ विकसित हुई हैं।

पहली पीढ़ी. नियमित अभिव्यक्ति (या व्याकरण) के साथ काम करता है। इसमें मॉडसिक्योरिटी शामिल है। सिस्टम प्रदाता अनुप्रयोगों पर हमलों के प्रकारों का अध्ययन करता है और ऐसे पैटर्न उत्पन्न करता है जो वैध और संभावित रूप से दुर्भावनापूर्ण अनुरोधों का वर्णन करते हैं। WAF इन सूचियों की जाँच करता है और निर्णय लेता है कि किसी विशेष स्थिति में क्या करना है - ट्रैफ़िक को रोकना है या नहीं।

रेगुलर एक्सप्रेशन के आधार पर पता लगाने का एक उदाहरण पहले से उल्लिखित प्रोजेक्ट है मूल नियम सेट खुला स्त्रोत। एक और उदाहरण - नक्ससी, जो खुला स्रोत भी है। रेगुलर एक्सप्रेशन वाले सिस्टम में कई नुकसान होते हैं, विशेष रूप से, जब एक नई भेद्यता का पता चलता है, तो व्यवस्थापक को मैन्युअल रूप से अतिरिक्त नियम बनाने पड़ते हैं। बड़े पैमाने पर आईटी बुनियादी ढांचे के मामले में, कई हजार नियम हो सकते हैं। इतने सारे नियमित अभिव्यक्तियों को प्रबंधित करना काफी कठिन है, इस तथ्य का उल्लेख नहीं करने के लिए कि उन्हें जाँचने से नेटवर्क प्रदर्शन कम हो सकता है।

नियमित अभिव्यक्तियों में भी काफी उच्च झूठी सकारात्मक दर होती है। प्रसिद्ध भाषाविद् नोम चॉम्स्की ने व्याकरणों का एक वर्गीकरण प्रस्तावित किया जिसमें उन्होंने उन्हें जटिलता के चार सशर्त स्तरों में विभाजित किया। इस वर्गीकरण के अनुसार, नियमित अभिव्यक्तियाँ केवल फ़ायरवॉल नियमों का वर्णन कर सकती हैं जिनमें पैटर्न से विचलन शामिल नहीं है। इसका मतलब यह है कि हमलावर पहली पीढ़ी के WAF को आसानी से "मूर्ख" बना सकते हैं। इससे निपटने का एक तरीका एप्लिकेशन अनुरोधों में विशेष वर्ण जोड़ना है जो दुर्भावनापूर्ण डेटा के तर्क को प्रभावित नहीं करते हैं, लेकिन हस्ताक्षर नियम का उल्लंघन करते हैं।

दूसरी पीढ़ी. WAF के प्रदर्शन और सटीकता के मुद्दों को दूर करने के लिए, दूसरी पीढ़ी के एप्लिकेशन फ़ायरवॉल विकसित किए गए थे। अब उनके पास ऐसे पार्सर हैं जो कड़ाई से परिभाषित प्रकार के हमलों (एचटीएमएल, जेएस, आदि पर) की पहचान करने के लिए जिम्मेदार हैं। ये पार्सर विशेष टोकन के साथ काम करते हैं जो प्रश्नों का वर्णन करते हैं (उदाहरण के लिए, चर, स्ट्रिंग, अज्ञात, संख्या)। संभावित रूप से दुर्भावनापूर्ण टोकन अनुक्रमों को एक अलग सूची में रखा जाता है, जिसे WAF प्रणाली नियमित रूप से जांचती है। यह दृष्टिकोण पहली बार ब्लैक हैट 2012 सम्मेलन में C/C++ के रूप में दिखाया गया था libinjection पुस्तकालय, जो आपको SQL इंजेक्शन का पता लगाने की अनुमति देता है।

पहली पीढ़ी के WAF की तुलना में, विशेष पार्सर तेज़ हो सकते हैं। हालाँकि, नए दुर्भावनापूर्ण हमले सामने आने पर उन्होंने सिस्टम को मैन्युअल रूप से कॉन्फ़िगर करने से जुड़ी कठिनाइयों का समाधान नहीं किया।

तीसरी पीढ़ी. तीसरी पीढ़ी के डिटेक्शन लॉजिक के विकास में मशीन लर्निंग विधियों का उपयोग शामिल है जो डिटेक्शन व्याकरण को संरक्षित प्रणालियों के वास्तविक एसक्यूएल/एचटीएमएल/जेएस व्याकरण के जितना संभव हो उतना करीब लाना संभव बनाता है। यह पहचान तर्क पुनरावर्ती रूप से गणना योग्य व्याकरणों को कवर करने के लिए ट्यूरिंग मशीन को अनुकूलित करने में सक्षम है। इसके अलावा, पहले एक अनुकूलनीय ट्यूरिंग मशीन बनाने का कार्य तब तक हल नहीं हो सका था जब तक कि न्यूरल ट्यूरिंग मशीनों पर पहला अध्ययन प्रकाशित नहीं हुआ था।

मशीन लर्निंग किसी भी प्रकार के हमले को कवर करने के लिए किसी भी व्याकरण को अनुकूलित करने की अद्वितीय क्षमता प्रदान करता है, पहली पीढ़ी का पता लगाने के लिए मैन्युअल रूप से हस्ताक्षर सूची बनाए बिना, और मेम्केच्ड, रेडिस, कैसेंड्रा, एसएसआरएफ इंजेक्शन जैसे नए हमले प्रकारों के लिए नए टोकननाइज़र/पार्सर विकसित किए बिना। , जैसा कि दूसरी पीढ़ी की पद्धति द्वारा आवश्यक है।

डिटेक्शन लॉजिक की सभी तीन पीढ़ियों को मिलाकर, हम एक नया आरेख बना सकते हैं जिसमें डिटेक्शन की तीसरी पीढ़ी को लाल रूपरेखा (चित्रा 3) द्वारा दर्शाया गया है। इस पीढ़ी में उन समाधानों में से एक शामिल है जिसे हम वेब अनुप्रयोगों और वॉलार्म एपीआई की अनुकूली सुरक्षा के लिए प्लेटफ़ॉर्म के डेवलपर ऑनसेक के साथ मिलकर क्लाउड में लागू कर रहे हैं।

डिटेक्शन लॉजिक अब स्वयं को स्वयं-ट्यून करने के लिए एप्लिकेशन से फीडबैक का उपयोग करता है। मशीन लर्निंग में, इस फीडबैक लूप को "सुदृढीकरण" कहा जाता है। आमतौर पर, ऐसे सुदृढीकरण के एक या अधिक प्रकार होते हैं:

• एप्लिकेशन प्रतिक्रिया व्यवहार का विश्लेषण (निष्क्रिय)
• स्कैन/फ़ज़र (सक्रिय)
• रिपोर्ट फ़ाइलें/इंटरसेप्टर प्रक्रियाएं/जाल (तथ्य के बाद)
• मैनुअल (पर्यवेक्षक द्वारा परिभाषित)

परिणामस्वरूप, तीसरी पीढ़ी का पता लगाने का तर्क सटीकता के महत्वपूर्ण मुद्दे को भी संबोधित करता है। अब न केवल झूठी सकारात्मकता और झूठी नकारात्मकताओं से बचना संभव है, बल्कि वैध वास्तविक नकारात्मकताओं का पता लगाना भी संभव है, जैसे नियंत्रण कक्ष में एसक्यूएल कमांड तत्व के उपयोग का पता लगाना, वेब पेज टेम्पलेट लोडिंग, जावास्क्रिप्ट त्रुटियों से संबंधित AJAX अनुरोध, और अन्य।

इसके बाद, हम विभिन्न WAF कार्यान्वयन विकल्पों की तकनीकी क्षमताओं पर विचार करेंगे।

हार्डवेयर, सॉफ्टवेयर या क्लाउड - क्या चुनें?

एप्लिकेशन फ़ायरवॉल को लागू करने के विकल्पों में से एक हार्डवेयर समाधान है। ऐसे सिस्टम विशेष कंप्यूटिंग डिवाइस हैं जिन्हें एक कंपनी अपने डेटा सेंटर में स्थानीय रूप से स्थापित करती है। लेकिन इस मामले में, आपको अपना खुद का उपकरण खरीदना होगा और इसे स्थापित करने और डिबग करने के लिए इंटीग्रेटर्स को पैसे का भुगतान करना होगा (यदि कंपनी के पास अपना आईटी विभाग नहीं है)। साथ ही, कोई भी उपकरण पुराना हो जाता है और अनुपयोगी हो जाता है, इसलिए ग्राहकों को हार्डवेयर अपग्रेड के लिए बजट बनाने के लिए मजबूर होना पड़ता है।

WAF को तैनात करने का एक अन्य विकल्प सॉफ़्टवेयर कार्यान्वयन है। समाधान कुछ सॉफ़्टवेयर के लिए ऐड-ऑन के रूप में स्थापित किया गया है (उदाहरण के लिए, ModSecurity को Apache के शीर्ष पर कॉन्फ़िगर किया गया है) और इसके साथ उसी सर्वर पर चलता है। एक नियम के रूप में, ऐसे समाधान भौतिक सर्वर और क्लाउड दोनों पर तैनात किए जा सकते हैं। उनका नुकसान सीमित स्केलेबिलिटी और विक्रेता समर्थन है।

तीसरा विकल्प क्लाउड से WAF स्थापित करना है। ऐसे समाधान क्लाउड प्रदाताओं द्वारा सदस्यता सेवा के रूप में प्रदान किए जाते हैं। कंपनी को विशेष हार्डवेयर खरीदने और कॉन्फ़िगर करने की आवश्यकता नहीं है; ये कार्य सेवा प्रदाता के कंधों पर आते हैं। एक महत्वपूर्ण बात यह है कि आधुनिक क्लाउड WAF प्रदाता के प्लेटफ़ॉर्म पर संसाधनों के स्थानांतरण का संकेत नहीं देता है। साइट को कहीं भी तैनात किया जा सकता है, यहां तक ​​कि ऑन-प्रिमाइस भी।

हम आगे बताएंगे कि क्यों लोग अब तेजी से क्लाउड WAF की ओर देख रहे हैं।

WAF क्लाउड में क्या कर सकता है?

तकनीकी क्षमताओं के संदर्भ में:

• अद्यतन के लिए प्रदाता जिम्मेदार है. WAF सदस्यता द्वारा प्रदान किया जाता है, इसलिए सेवा प्रदाता अपडेट और लाइसेंस की प्रासंगिकता की निगरानी करता है। अपडेट न केवल सॉफ़्टवेयर, बल्कि हार्डवेयर से भी संबंधित हैं। प्रदाता सर्वर पार्क को अपग्रेड करता है और उसका रखरखाव करता है। यह लोड संतुलन और अतिरेक के लिए भी जिम्मेदार है। यदि WAF सर्वर विफल हो जाता है, तो ट्रैफ़िक तुरंत दूसरी मशीन पर पुनर्निर्देशित हो जाता है। ट्रैफ़िक का तर्कसंगत वितरण आपको उन स्थितियों से बचने की अनुमति देता है जब फ़ायरवॉल विफल खुले मोड में प्रवेश करता है - यह लोड का सामना नहीं कर सकता है और फ़िल्टरिंग अनुरोधों को रोक देता है।
• आभासी पैचिंग. वर्चुअल पैच एप्लिकेशन के समझौता किए गए हिस्सों तक पहुंच को प्रतिबंधित करते हैं जब तक कि डेवलपर भेद्यता को बंद नहीं कर देता। परिणामस्वरूप, क्लाउड प्रदाता के ग्राहक को तब तक शांति से प्रतीक्षा करने का अवसर मिलता है जब तक कि इस या उस सॉफ़्टवेयर का आपूर्तिकर्ता आधिकारिक "पैच" प्रकाशित नहीं कर देता। इसे यथाशीघ्र करना सॉफ़्टवेयर आपूर्तिकर्ता के लिए प्राथमिकता है। उदाहरण के लिए, वॉलआर्म प्लेटफ़ॉर्म में, वर्चुअल पैचिंग के लिए एक अलग सॉफ़्टवेयर मॉड्यूल ज़िम्मेदार है। दुर्भावनापूर्ण अनुरोधों को रोकने के लिए व्यवस्थापक कस्टम रेगुलर एक्सप्रेशन जोड़ सकता है। सिस्टम कुछ अनुरोधों को "गोपनीय डेटा" ध्वज के साथ चिह्नित करना संभव बनाता है। फिर उनके पैरामीटर छिपा दिए जाते हैं, और किसी भी परिस्थिति में उन्हें फ़ायरवॉल कार्य क्षेत्र के बाहर प्रसारित नहीं किया जाता है।
• अंतर्निर्मित परिधि और भेद्यता स्कैनर. यह आपको DNS क्वेरीज़ और WHOIS प्रोटोकॉल के डेटा का उपयोग करके आईटी बुनियादी ढांचे की नेटवर्क सीमाओं को स्वतंत्र रूप से निर्धारित करने की अनुमति देता है। बाद में, WAF स्वचालित रूप से परिधि के अंदर चल रही सेवाओं का विश्लेषण करता है (पोर्ट स्कैनिंग करता है)। फ़ायरवॉल सभी सामान्य प्रकार की कमजोरियों का पता लगाने में सक्षम है - SQLi,
• हमलों की निगरानी क्लाउड संसाधनों द्वारा की जाती है. एक नियम के रूप में, क्लाउड प्रदाताओं के पास बड़ी मात्रा में कंप्यूटिंग शक्ति होती है। यह आपको उच्च सटीकता और गति के साथ खतरों का विश्लेषण करने की अनुमति देता है। क्लाउड में फ़िल्टर नोड्स का एक क्लस्टर तैनात किया गया है, जिसके माध्यम से सभी ट्रैफ़िक गुजरते हैं। ये नोड्स वेब एप्लिकेशन पर हमलों को रोकते हैं और एनालिटिक्स सेंटर को आंकड़े भेजते हैं। यह सभी संरक्षित अनुप्रयोगों के लिए ब्लॉकिंग नियमों को अद्यतन करने के लिए मशीन लर्निंग एल्गोरिदम का उपयोग करता है। ऐसी योजना का कार्यान्वयन चित्र में दिखाया गया है। 4. इस तरह के अनुरूप सुरक्षा नियम झूठे फ़ायरवॉल अलार्म की संख्या को कम करते हैं।

अब संगठनात्मक मुद्दों और प्रबंधन के संदर्भ में क्लाउड WAF की विशेषताओं के बारे में थोड़ा:

• OpEx में संक्रमण. क्लाउड WAF के मामले में, कार्यान्वयन की लागत शून्य होगी, क्योंकि सभी हार्डवेयर और लाइसेंस के लिए प्रदाता द्वारा पहले ही भुगतान किया जा चुका है; सेवा के लिए भुगतान सदस्यता द्वारा किया जाता है।
• विभिन्न टैरिफ योजनाएं. क्लाउड सेवा उपयोगकर्ता अतिरिक्त विकल्पों को तुरंत सक्षम या अक्षम कर सकता है। कार्यों को एकल नियंत्रण कक्ष से प्रबंधित किया जाता है, जो सुरक्षित भी है। इसे HTTPS के माध्यम से एक्सेस किया जाता है, साथ ही TOTP (टाइम-आधारित वन-टाइम पासवर्ड एल्गोरिदम) प्रोटोकॉल पर आधारित दो-कारक प्रमाणीकरण तंत्र है।
• डीएनएस के माध्यम से कनेक्शन. आप स्वयं DNS बदल सकते हैं और नेटवर्क रूटिंग कॉन्फ़िगर कर सकते हैं। इन समस्याओं को हल करने के लिए व्यक्तिगत विशेषज्ञों की भर्ती और प्रशिक्षण की आवश्यकता नहीं है। एक नियम के रूप में, प्रदाता का तकनीकी समर्थन सेटअप में मदद कर सकता है।

WAF प्रौद्योगिकियाँ सामान्य फ़ायरवॉल से लेकर मशीन लर्निंग एल्गोरिदम के साथ जटिल सुरक्षा प्रणालियों तक विकसित हुई हैं। एप्लिकेशन फ़ायरवॉल अब कई प्रकार की सुविधाएँ प्रदान करते हैं जिन्हें 90 के दशक में लागू करना मुश्किल था। कई मायनों में, नई कार्यक्षमता का उद्भव क्लाउड प्रौद्योगिकियों की बदौलत संभव हुआ। WAF समाधान और उनके घटकों का विकास जारी है। सूचना सुरक्षा के अन्य क्षेत्रों की तरह।

यह पाठ क्लाउड प्रदाता #CloudMTS के सूचना सुरक्षा उत्पाद विकास प्रबंधक अलेक्जेंडर करपुज़िकोव द्वारा तैयार किया गया था।

स्रोत: www.habr.com