{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"A Web Application Firewall evolution: from network firewalls to cloud protection systems with machine learning","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Tavalyi anyagunkban a felh\u0151k\u00f6rnyezet v\u00e9delm\u00e9r\u0151l besz\u00e9lt\u00fcnk, besz\u00e9lt\u00fcnk<\/a><\/noindex>, arr\u00f3l, hogyan v\u00e9dhet\u0151k az IT-er\u0151forr\u00e1sok a nyilv\u00e1nos felh\u0151ben, \u00e9s mi\u00e9rt nem mindig alkalmasak a hagyom\u00e1nyos v\u00edruskeres\u0151k erre a c\u00e9lra. E posztban folytatjuk a felh\u0151biztons\u00e1g t\u00e9m\u00e1j\u00e1t, \u00e9s besz\u00e9l\u00fcnk a WAF fejl\u0151d\u00e9s\u00e9r\u0151l, valamint arr\u00f3l, hogy mi a jobb v\u00e1laszt\u00e1s: hardver, szoftver vagy felh\u0151.\u00a0<\/b><\/p>\n

\"A
\n<\/p>\n

Mi az a WAF?<\/h3>\n

\nA hackert\u00e1mad\u00e1sok t\u00f6bb mint 75%-a a webalkalmaz\u00e1sok \u00e9s webhelyek sebezhet\u0151s\u00e9geire ir\u00e1nyul: ezek a t\u00e1mad\u00e1sok \u00e1ltal\u00e1ban \u00e9szrev\u00e9tlenek maradnak az inform\u00e1ci\u00f3biztons\u00e1gi infrastrukt\u00far\u00e1k \u00e9s szolg\u00e1ltat\u00e1sok el\u0151tt. A webalkalmaz\u00e1sok sebezhet\u0151s\u00e9gei a felhaszn\u00e1l\u00f3i fi\u00f3kok, szem\u00e9lyes adatok, jelszavak \u00e9s bankk\u00e1rtyasz\u00e1mok kompromitt\u00e1l\u00e1s\u00e1nak \u00e9s csal\u00e1s\u00e1nak kock\u00e1zatait hordozz\u00e1k. Emellett a weboldalon l\u00e9v\u0151 sebezhet\u0151s\u00e9gek a v\u00e1llalati h\u00e1l\u00f3zatokba val\u00f3 bet\u00f6r\u00e9s kapujak\u00e9nt szolg\u00e1lnak.<\/p>\n

A Web Application Firewall (WAF) egy olyan v\u00e9d\u0151fal, amely blokkolja a webalkalmaz\u00e1sokra ir\u00e1nyul\u00f3 t\u00e1mad\u00e1sokat: SQL injekci\u00f3k, keresztoldali szkriptek, t\u00e1voli k\u00f3dv\u00e9grehajt\u00e1s, brute force t\u00e1mad\u00e1sok \u00e9s azonos\u00edt\u00e1si \u00e1thidal\u00e1s. Ide tartoznak a zero-day sebezhet\u0151s\u00e9geket kihaszn\u00e1l\u00f3 t\u00e1mad\u00e1sok is. Az alkalmaz\u00e1s t\u0171zfalak v\u00e9delmet ny\u00fajtanak az\u00e1ltal, hogy figyelik a weboldalak tartalm\u00e1t, bele\u00e9rtve a HTML-t, DHTML-t \u00e9s CSS-t, \u00e9s kisz\u0171rik a potenci\u00e1lisan rosszindulat\u00fa HTTP\/HTTPS k\u00e9r\u00e9seket.
\n<\/a><\/noindex><\/p>\n

Milyenek voltak az els\u0151 megold\u00e1sok?<\/h3>\n

\nAz els\u0151 k\u00eds\u00e9rletek a Web Application Firewall l\u00e9trehoz\u00e1s\u00e1ra m\u00e9g az 1990-es \u00e9vek elej\u00e9n kezd\u0151dtek. Legal\u00e1bb h\u00e1rom m\u00e9rn\u00f6k dolgozott ezen a ter\u00fcleten. Az els\u0151 a Purdue Egyetem sz\u00e1m\u00edt\u00e1stechnika professzora, Gene Spafford. \u0150 \u00edrta le az alkalmaz\u00e1s t\u0171zfal architekt\u00far\u00e1j\u00e1t proxy-val, \u00e9s 1991-ben publik\u00e1lta egy k\u00f6nyv\u00e9ben, A UNIX biztons\u00e1ga a gyakorlatban.<\/a><\/noindex>.<\/p>\n

A m\u00e1sodik \u00e9s harmadik m\u00e9rn\u00f6k William Cheswick \u00e9s Marcus Ranum voltak a Bell Labs-t\u00f3l. \u0150k dolgozt\u00e1k ki az egyik els\u0151 alkalmaz\u00e1st\u0171zfal protot\u00edpus\u00e1t, amelynek elterjeszt\u00e9s\u00e9\u00e9rt a DEC v\u00e1llalat felelt \u2014 a term\u00e9ket SEAL (Secure External Access Link) n\u00e9ven adt\u00e1k ki. <\/p>\n

A SEAL azonban nem volt teljes \u00e9rt\u00e9k\u0171 WAF megold\u00e1s. Ez egy klasszikus h\u00e1l\u00f3zati t\u0171zfal volt, kiterjesztett funkcionalit\u00e1ssal \u2014 az FTP \u00e9s RSH t\u00e1mad\u00e1sok blokkol\u00e1s\u00e1nak lehet\u0151s\u00e9g\u00e9vel. Ez\u00e9rt az els\u0151 WAF megold\u00e1snak ma a Perfecto Technologies (k\u00e9s\u0151bb Sanctum) term\u00e9ke sz\u00e1m\u00edt. 1999-ben \u0151k bemutatta<\/a><\/noindex> AppShield rendszer. Ekkor a Perfecto Technologies informatikai biztons\u00e1gi megold\u00e1sokat fejlesztett e-kereskedelem sz\u00e1m\u00e1ra, \u00e9s \u00faj term\u00e9k\u00fck c\u00e9lk\u00f6z\u00f6ns\u00e9ge az online boltok lettek. Az AppShield k\u00e9pes volt elemzi a HTTP-k\u00e9r\u00e9seket \u00e9s blokkolta a t\u00e1mad\u00e1sokat dinamikus biztons\u00e1gi politik\u00e1k alapj\u00e1n.<\/p>\n

K\u00f6r\u00fclbel\u00fcl egyid\u0151ben az AppShield-del (2002-ben) megjelent az els\u0151 ny\u00edlt forr\u00e1sk\u00f3d\u00fa WAF. Ez pedig ModSecurity<\/a><\/noindex>. C\u00e9lja a WAF-technol\u00f3gi\u00e1k n\u00e9pszer\u0171s\u00edt\u00e9se volt, \u00e9s a mai napig t\u00e1mogatja az IT k\u00f6z\u00f6ss\u00e9g (itt a GitHub adatt\u00e1rhoz<\/a><\/noindex>). A ModSecurity blokkolja az alkalmaz\u00e1sokra ir\u00e1nyul\u00f3 t\u00e1mad\u00e1sokat egy standard regul\u00e1ris kifejez\u00e9s k\u00e9szlet (al\u00e1\u00edr\u00e1sok) alapj\u00e1n - eszk\u00f6z\u00f6k a k\u00e9r\u00e9sek mint\u00e1k szerinti ellen\u0151rz\u00e9s\u00e9hez - OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

V\u00e9g\u00fcl a fejleszt\u0151k el\u00e9rt\u00e9k a c\u00e9ljukat - \u00faj WAF megold\u00e1sok kezdtek megjelenni a piacon, bele\u00e9rtve a ModSecurity alap\u00faakat is.<\/p>\n

H\u00e1rom gener\u00e1ci\u00f3 - m\u00e1r t\u00f6rt\u00e9nelem<\/h3>\n

\nH\u00e1rom WAF rendszer gener\u00e1ci\u00f3t szoktak megk\u00fcl\u00f6nb\u00f6ztetni, amelyek a technol\u00f3gia fejl\u0151d\u00e9s\u00e9vel egy\u00fctt fejl\u0151dtek.<\/p>\n

Els\u0151 gener\u00e1ci\u00f3<\/b>. Regul\u00e1ris kifejez\u00e9sekkel (vagy nyelvekkel) m\u0171k\u00f6dik. Ide tartozik a ModSecurity. A rendszer szolg\u00e1ltat\u00f3ja tanulm\u00e1nyozza az alkalmaz\u00e1sok elleni t\u00e1mad\u00e1sok t\u00edpusait \u00e9s kidolgozza a mint\u00e1kat, amelyek a leg\u00e1lis \u00e9s potenci\u00e1lisan k\u00e1ros k\u00e9r\u00e9seket \u00edrj\u00e1k le. A WAF ezeket a list\u00e1kat ellen\u0151rzi \u00e9s d\u00f6nt, hogy az adott helyzetben mit tegyen - blokkolja a forgalmat vagy sem.<\/p>\n

A regul\u00e1ris kifejez\u00e9seken alapul\u00f3 \u00e9szlel\u00e9s p\u00e9ld\u00e1ja a m\u00e1r eml\u00edtett projekt Core Rule Set<\/a><\/noindex> ny\u00edlt forr\u00e1sk\u00f3d\u00fa. Egy m\u00e1sik p\u00e9lda a Naxsi<\/a><\/noindex>, amely szint\u00e9n ny\u00edlt forr\u00e1sk\u00f3d\u00fa. A regul\u00e1ris kifejez\u00e9sekkel m\u0171k\u00f6d\u0151 rendszereknek sz\u00e1mos h\u00e1tr\u00e1nyuk van, k\u00fcl\u00f6n\u00f6sen, ha \u00faj sebezhet\u0151s\u00e9get kell \u00e9szlelni, az adminisztr\u00e1tor\u00e1nak manu\u00e1lisan kell \u00faj szab\u00e1lyokat l\u00e9trehoznia. Egy nagy IT-infrastrukt\u00fara eset\u00e9n a szab\u00e1lyok sz\u00e1ma t\u00f6bb ezer lehet. Az ilyen mennyis\u00e9g\u0171 regul\u00e1ris kifejez\u00e9s kezel\u00e9se el\u00e9g neh\u00e9zkes, nem besz\u00e9lve arr\u00f3l, hogy a vizsg\u00e1latuk cs\u00f6kkentheti a h\u00e1l\u00f3zat teljes\u00edtm\u00e9ny\u00e9t.<\/p>\n

A regul\u00e1ris kifejez\u00e9sek meglehet\u0151sen magas hamis pozit\u00edv ar\u00e1nnyal rendelkeznek. A h\u00edres nyelv\u00e9sz Noam Chomsky egy n\u00e9gy szint\u0171 grammatikai oszt\u00e1lyoz\u00e1st javasolt, amely lehet\u0151v\u00e9 teszi a grammatik\u00e1k kategoriz\u00e1l\u00e1s\u00e1t a bonyolults\u00e1guk szerint. Ezen oszt\u00e1lyoz\u00e1s szerint a regul\u00e1ris kifejez\u00e9sekkel csak olyan t\u0171zfal-szab\u00e1lyok \u00edrhat\u00f3k le, amelyek nem tartalmaznak elt\u00e9r\u00e9seket a sablonokt\u00f3l. Ez azt jelenti, hogy a t\u00e1mad\u00f3k k\u00f6nnyen \u201emeghackelhetik\u201d az els\u0151 gener\u00e1ci\u00f3s WAF-okat. Az egyik m\u00f3dszer ennek ellen\u00e1ll\u00e1s\u00e1ra az alkalmaz\u00e1sokra ir\u00e1nyul\u00f3 lez\u00e1r\u00e1sokba olyan speci\u00e1lis karakterek beilleszt\u00e9se, amelyek nem befoly\u00e1solj\u00e1k a rosszindulat\u00fa adatok logik\u00e1j\u00e1t, de megs\u00e9rtik a mintareglist\u00e1t.<\/p>\n

\"A
\n
\nM\u00e1sodik gener\u00e1ci\u00f3<\/b>. A WAF teljes\u00edtm\u00e9ny- \u00e9s pontoss\u00e1gi probl\u00e9m\u00e1inak kik\u00fcsz\u00f6b\u00f6l\u00e9s\u00e9re m\u00e1sodik gener\u00e1ci\u00f3s alkalmaz\u00e1st\u0171zfalakat fejlesztettek ki. Ezekben olyan elemz\u0151k jelentek meg, amelyek a szigor\u00faan meghat\u00e1rozott t\u00e1mad\u00e1si t\u00edpusok (p\u00e9ld\u00e1ul HTML, JS stb.) azonos\u00edt\u00e1s\u00e1\u00e9rt felelnek. Ezek az elemz\u0151k k\u00fcl\u00f6nf\u00e9le tokenekkel dolgoznak, amelyek a k\u00e9r\u00e9seket \u00edrj\u00e1k le (p\u00e9ld\u00e1ul v\u00e1ltoz\u00f3, karakterl\u00e1nc, ismeretlen, sz\u00e1m). A potenci\u00e1lisan k\u00e1ros token-sorozatok k\u00fcl\u00f6n list\u00e1ra ker\u00fclnek, amelyet a WAF rendszer rendszeresen ellen\u0151riz. El\u0151sz\u00f6r ezt a megk\u00f6zel\u00edt\u00e9st a Black Hat 2012-es konferenci\u00e1j\u00e1n mutatt\u00e1k be C\/C++\u00a0libinjection<\/a><\/noindex>k\u00f6nyvt\u00e1r form\u00e1j\u00e1ban, amely lehet\u0151v\u00e9 teszi az SQL-injekci\u00f3k \u00e9szlel\u00e9s\u00e9t.<\/p>\n

Az els\u0151 gener\u00e1ci\u00f3s WAF-hoz k\u00e9pest a speci\u00e1lis elemz\u0151k gyorsabban m\u0171k\u00f6dhetnek. Azonban nem oldott\u00e1k meg a rendszerek manu\u00e1lis konfigur\u00e1l\u00e1s\u00e1val kapcsolatos probl\u00e9m\u00e1kat \u00faj rosszindulat\u00fa t\u00e1mad\u00e1sok megjelen\u00e9sekor. <\/p>\n

\"A
\n
\nHarmadik gener\u00e1ci\u00f3<\/b>. A harmadik gener\u00e1ci\u00f3s \u00e9szlel\u00e9s logik\u00e1j\u00e1nak evol\u00faci\u00f3ja a g\u00e9pi tanul\u00e1si m\u00f3dszerek alkalmaz\u00e1s\u00e1ban rejlik, amelyek k\u00f6zel\u00edtik az \u00e9szlel\u00e9si grammatik\u00e1t a v\u00e9dett rendszerek val\u00f3di SQL\/HTML\/JS grammatik\u00e1j\u00e1hoz. Ez a detekt\u00e1l\u00e1si logika k\u00e9pes alkalmazni a Turing-g\u00e9pet a rekurz\u00edvan felsorolhat\u00f3 grammatik\u00e1k lefed\u00e9s\u00e9re. Kor\u00e1bban a Turing-g\u00e9p alkalmaz\u00e1s\u00e1nak feladata megoldhatatlan volt, am\u00edg meg nem jelentek az els\u0151 kutat\u00e1sok a neuron\u00e1lis Turing-g\u00e9pekr\u0151l.<\/p>\n

A g\u00e9pi tanul\u00e1s egyed\u00fcl\u00e1ll\u00f3 lehet\u0151s\u00e9get biztos\u00edt arra, hogy b\u00e1rmilyen nyelvtant az \u00f6sszes lehets\u00e9ges t\u00e1mad\u00e1st\u00edpushoz alkalmazzunk, an\u00e9lk\u00fcl, hogy k\u00e9zzel jel\u00f6l\u0151list\u00e1kat kellene kidolgozni, mint az els\u0151 gener\u00e1ci\u00f3s \u00e9szlel\u00e9sn\u00e9l, \u00e9s an\u00e9lk\u00fcl, hogy \u00faj tokeniz\u00e1l\u00f3kat\/elemz\u0151ket kellene kifejleszten\u00fcnk \u00faj t\u00e1mad\u00e1st\u00edpusokhoz, mint p\u00e9ld\u00e1ul a Memcached, Redis, Cassandra, SSRF, ahogyan azt a m\u00e1sodik gener\u00e1ci\u00f3s m\u00f3dszertan megk\u00f6vetelte. <\/p>\n

Az \u00f6sszes h\u00e1rom gener\u00e1ci\u00f3s \u00e9szlel\u00e9si logika egyes\u00edt\u00e9s\u00e9vel \u00faj diagramot rajzolhatunk, ahol a harmadik gener\u00e1ci\u00f3s \u00e9szlel\u00e9st piros keret jelzi (3. \u00e1bra). Ehhez a gener\u00e1ci\u00f3hoz tartozik egy megold\u00e1s is, amelyet k\u00f6z\u00f6sen val\u00f3s\u00edtunk meg a felh\u0151ben az 'OnSec'-kel, a Valarm alkalmaz\u00e1sv\u00e9delmi platform fejleszt\u0151j\u00e9vel. <\/p>\n

Most az \u00e9szlel\u00e9si logik\u00e1ban az alkalmaz\u00e1s visszajelz\u00e9sei \u00f6nbe\u00e1ll\u00edt\u00e1st seg\u00edtenek. A g\u00e9pi tanul\u00e1s keretein bel\u00fcl ezt a visszajelz\u00e9si ciklust 'meger\u0151s\u00edt\u00e9snek' nevezz\u00fck. \u00c1ltal\u00e1ban egy vagy t\u00f6bb ilyen meger\u0151s\u00edt\u00e9si t\u00edpus l\u00e9tezik:<\/p>\n