आधुनिक एप्लिकेशन सुरक्षा प्रणालियों (डब्ल्यूएएफ) की कार्यक्षमता OWASP टॉप 10 की कमजोरियों की सूची से कहीं अधिक व्यापक होनी चाहिए।

पूर्वप्रभावी

अनुप्रयोगों के लिए साइबर खतरों का पैमाना, संरचना और संरचना तेजी से विकसित हो रही है। कई वर्षों से, उपयोगकर्ताओं ने लोकप्रिय वेब ब्राउज़र का उपयोग करके इंटरनेट पर वेब एप्लिकेशन तक पहुंच बनाई है। किसी भी समय 2-5 वेब ब्राउज़र का समर्थन करना आवश्यक था, और वेब अनुप्रयोगों के विकास और परीक्षण के लिए मानकों का सेट काफी सीमित था। उदाहरण के लिए, लगभग सभी डेटाबेस SQL ​​का उपयोग करके बनाए गए थे। दुर्भाग्य से, थोड़े समय के बाद, हैकर्स ने डेटा चुराने, हटाने या बदलने के लिए वेब एप्लिकेशन का उपयोग करना सीख लिया। उन्होंने एप्लिकेशन उपयोगकर्ताओं को धोखा देने, इंजेक्शन और रिमोट कोड निष्पादन सहित विभिन्न तकनीकों का उपयोग करके एप्लिकेशन क्षमताओं तक अवैध पहुंच प्राप्त की और उनका दुरुपयोग किया। जल्द ही, वेब एप्लिकेशन फ़ायरवॉल (डब्ल्यूएएफ) नामक वाणिज्यिक वेब एप्लिकेशन सुरक्षा उपकरण बाजार में आए, और समुदाय ने विकास मानकों और कार्यप्रणाली को परिभाषित करने और बनाए रखने के लिए एक ओपन वेब एप्लिकेशन सुरक्षा प्रोजेक्ट, ओपन वेब एप्लिकेशन सिक्योरिटी प्रोजेक्ट (ओडब्ल्यूएएसपी) बनाकर प्रतिक्रिया व्यक्त की। . सुरक्षित अनुप्रयोग.

बुनियादी अनुप्रयोग सुरक्षा

OWASP शीर्ष 10 सूची अनुप्रयोगों को सुरक्षित करने के लिए शुरुआती बिंदु है और इसमें सबसे खतरनाक खतरों और गलत कॉन्फ़िगरेशन की एक सूची शामिल है जो एप्लिकेशन कमजोरियों का कारण बन सकती है, साथ ही हमलों का पता लगाने और उन्हें हराने की रणनीति भी शामिल है। OWASP टॉप 10 दुनिया भर में एप्लिकेशन साइबर सुरक्षा उद्योग में एक मान्यता प्राप्त बेंचमार्क है और उन क्षमताओं की मुख्य सूची को परिभाषित करता है जो एक वेब एप्लिकेशन सुरक्षा (WAF) प्रणाली में होनी चाहिए।

इसके अलावा, WAF कार्यक्षमता को वेब अनुप्रयोगों पर अन्य सामान्य हमलों को ध्यान में रखना चाहिए, जिसमें क्रॉस-साइट अनुरोध जालसाजी (CSRF), क्लिकजैकिंग, वेब स्क्रैपिंग और फ़ाइल समावेशन (RFI/LFI) शामिल हैं।

आधुनिक अनुप्रयोगों की सुरक्षा सुनिश्चित करने के लिए खतरे और चुनौतियाँ

आज, सभी एप्लिकेशन नेटवर्क संस्करण में कार्यान्वित नहीं किए जाते हैं। क्लाउड ऐप्स, मोबाइल ऐप्स, एपीआई और नवीनतम आर्किटेक्चर में, यहां तक ​​कि कस्टम सॉफ़्टवेयर फ़ंक्शंस भी हैं। इन सभी प्रकार के अनुप्रयोगों को हमारे डेटा को बनाते, संशोधित और संसाधित करते समय सिंक्रनाइज़ और नियंत्रित करने की आवश्यकता होती है। नई प्रौद्योगिकियों और प्रतिमानों के आगमन के साथ, अनुप्रयोग जीवनचक्र के सभी चरणों में नई जटिलताएँ और चुनौतियाँ उत्पन्न होती हैं। इसमें विकास और संचालन एकीकरण (डेवऑप्स), कंटेनर, इंटरनेट ऑफ थिंग्स (आईओटी), ओपन सोर्स टूल, एपीआई और बहुत कुछ शामिल हैं।

अनुप्रयोगों की वितरित तैनाती और प्रौद्योगिकियों की विविधता न केवल सूचना सुरक्षा पेशेवरों के लिए, बल्कि सुरक्षा समाधान विक्रेताओं के लिए भी जटिल और जटिल चुनौतियां पैदा करती है, जो अब एकीकृत दृष्टिकोण पर भरोसा नहीं कर सकते हैं। उपयोगकर्ताओं के लिए झूठी सकारात्मकता और सेवाओं की गुणवत्ता में व्यवधान को रोकने के लिए एप्लिकेशन सुरक्षा उपायों को उनके व्यवसाय की विशिष्टताओं को ध्यान में रखना चाहिए।

हैकर्स का अंतिम लक्ष्य आमतौर पर या तो डेटा चोरी करना या सेवाओं की उपलब्धता को बाधित करना होता है। हमलावरों को तकनीकी विकास से भी लाभ होता है। सबसे पहले, नई प्रौद्योगिकियों का विकास अधिक संभावित अंतराल और कमजोरियां पैदा करता है। दूसरे, पारंपरिक सुरक्षा उपायों को दरकिनार करने के लिए उनके शस्त्रागार में अधिक उपकरण और ज्ञान हैं। इससे तथाकथित "हमले की सतह" और संगठनों का नए जोखिमों के प्रति जोखिम काफी बढ़ जाता है। प्रौद्योगिकी और अनुप्रयोगों में परिवर्तन के जवाब में सुरक्षा नीतियों में लगातार बदलाव होना चाहिए।

इस प्रकार, अनुप्रयोगों को हमले के तरीकों और स्रोतों की बढ़ती विविधता से संरक्षित किया जाना चाहिए, और सूचित निर्णयों के आधार पर वास्तविक समय में स्वचालित हमलों का मुकाबला किया जाना चाहिए। इसके परिणामस्वरूप लेन-देन लागत और शारीरिक श्रम में वृद्धि हुई है, साथ ही कमजोर सुरक्षा स्थिति भी सामने आई है।

कार्य #1: बॉट्स का प्रबंधन करना

60% से अधिक इंटरनेट ट्रैफ़िक बॉट्स द्वारा उत्पन्न होता है, जिनमें से आधा "ख़राब" ट्रैफ़िक होता है (के अनुसार) रेडवेयर सुरक्षा रिपोर्ट). संगठन नेटवर्क क्षमता बढ़ाने में निवेश करते हैं, जो अनिवार्य रूप से एक काल्पनिक भार की पूर्ति करता है। वास्तविक उपयोगकर्ता ट्रैफ़िक और बॉट ट्रैफ़िक के साथ-साथ "अच्छे" बॉट (उदाहरण के लिए, खोज इंजन और मूल्य तुलना सेवाएँ) और "ख़राब" बॉट के बीच सटीक अंतर करने से उपयोगकर्ताओं के लिए महत्वपूर्ण लागत बचत और सेवा की गुणवत्ता में सुधार हो सकता है।

बॉट इस कार्य को आसान नहीं बनाने जा रहे हैं, और वे वास्तविक उपयोगकर्ताओं के व्यवहार की नकल कर सकते हैं, कैप्चा और अन्य बाधाओं को बायपास कर सकते हैं। इसके अलावा, गतिशील आईपी पते का उपयोग करके हमलों के मामले में, आईपी पते फ़िल्टरिंग पर आधारित सुरक्षा अप्रभावी हो जाती है। अक्सर, ओपन सोर्स डेवलपमेंट टूल (उदाहरण के लिए, फैंटम जेएस) जो क्लाइंट-साइड जावास्क्रिप्ट को संभाल सकते हैं, का उपयोग ब्रूट-फोर्स अटैक, क्रेडेंशियल स्टफिंग अटैक, डीडीओएस अटैक और स्वचालित बॉट अटैक लॉन्च करने के लिए किया जाता है।

बॉट ट्रैफ़िक को प्रभावी ढंग से प्रबंधित करने के लिए, इसके स्रोत की एक विशिष्ट पहचान (जैसे फ़िंगरप्रिंट) की आवश्यकता होती है। चूंकि एक बॉट हमला कई रिकॉर्ड उत्पन्न करता है, इसका फिंगरप्रिंट इसे संदिग्ध गतिविधि की पहचान करने और स्कोर निर्दिष्ट करने की अनुमति देता है, जिसके आधार पर एप्लिकेशन सुरक्षा प्रणाली गलत सकारात्मकता की न्यूनतम दर के साथ एक सूचित निर्णय - ब्लॉक/अनुमति - लेती है।

चुनौती #2: एपीआई की सुरक्षा करना

कई एप्लिकेशन उन सेवाओं से जानकारी और डेटा एकत्र करते हैं जिनसे वे एपीआई के माध्यम से इंटरैक्ट करते हैं। एपीआई के माध्यम से संवेदनशील डेटा संचारित करते समय, 50% से अधिक संगठन साइबर हमलों का पता लगाने के लिए न तो एपीआई को मान्य करते हैं और न ही सुरक्षित करते हैं।

एपीआई का उपयोग करने के उदाहरण:

• इंटरनेट ऑफ थिंग्स (IoT) एकीकरण
• मशीन-टू-मशीन संचार
• सर्वर रहित वातावरण
• मोबाइल Apps
• इवेंट-संचालित अनुप्रयोग

एपीआई कमजोरियां एप्लिकेशन कमजोरियों के समान हैं और इसमें इंजेक्शन, प्रोटोकॉल हमले, पैरामीटर हेरफेर, रीडायरेक्ट और बॉट हमले शामिल हैं। समर्पित एपीआई गेटवे एपीआई के माध्यम से इंटरैक्ट करने वाली एप्लिकेशन सेवाओं के बीच अनुकूलता सुनिश्चित करने में मदद करते हैं। हालाँकि, वे HTTP हेडर पार्सिंग, लेयर 7 एक्सेस कंट्रोल लिस्ट (ACL), JSON/XML पेलोड पार्सिंग और निरीक्षण जैसे आवश्यक सुरक्षा उपकरणों और सभी कमजोरियों के खिलाफ सुरक्षा के साथ WAF कैन की तरह एंड-टू-एंड एप्लिकेशन सुरक्षा प्रदान नहीं करते हैं। OWASP शीर्ष 10 सूची। यह सकारात्मक और नकारात्मक मॉडल का उपयोग करके प्रमुख एपीआई मूल्यों का निरीक्षण करके प्राप्त किया जाता है।

चुनौती #3: सेवा से इनकार

एक पुराना आक्रमण वेक्टर, सेवा से इनकार (DoS), आक्रमणकारी अनुप्रयोगों में अपनी प्रभावशीलता साबित करना जारी रखता है। हमलावरों के पास एप्लिकेशन सेवाओं को बाधित करने के लिए कई सफल तकनीकें हैं, जिनमें HTTP या HTTPS बाढ़, कम और धीमे हमले (जैसे स्लोलोरिस, एलओआईसी, टॉर्सहैमर), गतिशील आईपी पते का उपयोग करके हमले, बफर ओवरफ्लो, क्रूर बल-हमले और कई अन्य शामिल हैं। . इंटरनेट ऑफ थिंग्स के विकास और उसके बाद IoT बॉटनेट के उद्भव के साथ, अनुप्रयोगों पर हमले DDoS हमलों का मुख्य फोकस बन गए हैं। अधिकांश स्टेटफुल WAF केवल सीमित मात्रा में लोड ही संभाल सकते हैं। हालाँकि, वे HTTP/S ट्रैफ़िक प्रवाह का निरीक्षण कर सकते हैं और आक्रमण ट्रैफ़िक और दुर्भावनापूर्ण कनेक्शन हटा सकते हैं। एक बार हमले की पहचान हो जाने के बाद, इस ट्रैफ़िक को दोबारा पास करने का कोई मतलब नहीं है। चूंकि WAF की हमलों को रोकने की क्षमता सीमित है, इसलिए अगले "खराब" पैकेटों को स्वचालित रूप से ब्लॉक करने के लिए नेटवर्क परिधि पर एक अतिरिक्त समाधान की आवश्यकता होती है। इस सुरक्षा परिदृश्य के लिए, दोनों समाधानों को हमलों के बारे में जानकारी का आदान-प्रदान करने के लिए एक-दूसरे के साथ संवाद करने में सक्षम होना चाहिए।

चित्र 1. रैडवेयर समाधानों के उदाहरण का उपयोग करके व्यापक नेटवर्क और एप्लिकेशन सुरक्षा का संगठन

चुनौती #4: सतत सुरक्षा

एप्लिकेशन बार-बार बदलते रहते हैं. रोलिंग अपडेट जैसी विकास और कार्यान्वयन पद्धतियों का मतलब है कि संशोधन मानवीय हस्तक्षेप या नियंत्रण के बिना होते हैं। ऐसे गतिशील वातावरण में, बड़ी संख्या में गलत सकारात्मकताओं के बिना पर्याप्त रूप से कार्यशील सुरक्षा नीतियों को बनाए रखना मुश्किल है। मोबाइल एप्लिकेशन वेब एप्लिकेशन की तुलना में अधिक बार अपडेट होते हैं। तृतीय पक्ष एप्लिकेशन आपकी जानकारी के बिना बदल सकते हैं। कुछ संगठन संभावित जोखिमों के शीर्ष पर बने रहने के लिए अधिक नियंत्रण और दृश्यता की तलाश कर रहे हैं। हालाँकि, यह हमेशा प्राप्त करने योग्य नहीं होता है, और विश्वसनीय एप्लिकेशन सुरक्षा को उपलब्ध संसाधनों को ध्यान में रखने और कल्पना करने, संभावित खतरों का विश्लेषण करने और एप्लिकेशन संशोधनों की स्थिति में सुरक्षा नीतियों को बनाने और अनुकूलित करने के लिए मशीन लर्निंग की शक्ति का उपयोग करना चाहिए।

निष्कर्ष

जैसे-जैसे ऐप्स रोजमर्रा की जिंदगी में महत्वपूर्ण भूमिका निभाते हैं, वे हैकर्स के लिए एक प्रमुख लक्ष्य बन जाते हैं। अपराधियों के लिए संभावित पुरस्कार और व्यवसायों के लिए संभावित नुकसान बहुत अधिक हैं। एप्लिकेशन और खतरों की संख्या और विविधताओं को देखते हुए एप्लिकेशन सुरक्षा कार्य की जटिलता को बढ़ा-चढ़ाकर नहीं बताया जा सकता है।

सौभाग्य से, हम ऐसे समय में हैं जहां कृत्रिम बुद्धिमत्ता हमारी सहायता के लिए आ सकती है। मशीन लर्निंग-आधारित एल्गोरिदम सबसे उन्नत साइबर खतरों को लक्षित करने वाले अनुप्रयोगों के खिलाफ वास्तविक समय, अनुकूली सुरक्षा प्रदान करते हैं। वे वेब, मोबाइल और क्लाउड एप्लिकेशन—और एपीआई—को गलत सकारात्मकता के बिना सुरक्षित रखने के लिए सुरक्षा नीतियों को स्वचालित रूप से अपडेट करते हैं।

यह निश्चित रूप से भविष्यवाणी करना मुश्किल है कि अगली पीढ़ी के एप्लिकेशन साइबर खतरे (संभवतः मशीन लर्निंग पर भी आधारित) क्या होंगे। लेकिन संगठन निश्चित रूप से ग्राहक डेटा की सुरक्षा, बौद्धिक संपदा की रक्षा और बड़े व्यावसायिक लाभों के साथ सेवा उपलब्धता सुनिश्चित करने के लिए कदम उठा सकते हैं।

एप्लिकेशन सुरक्षा सुनिश्चित करने के लिए प्रभावी दृष्टिकोण और तरीके, हमलों के मुख्य प्रकार और वैक्टर, जोखिम क्षेत्र और वेब अनुप्रयोगों की साइबर सुरक्षा में अंतराल, साथ ही वैश्विक अनुभव और सर्वोत्तम प्रथाओं को रेडवेयर अध्ययन और रिपोर्ट में प्रस्तुत किया गया है।डिजिटली कनेक्टेड दुनिया में वेब एप्लिकेशन सुरक्षा".

स्रोत: www.habr.com