Retrospettiva
La scala, la composizione e la struttura delle minacce informatiche per le applicazioni stanno evolvendo rapidamente. Per molti anni, gli utenti hanno avuto accesso alle applicazioni web tramite internet utilizzando i browser web più popolari. In ogni momento era necessario supportare da 2 a 5 browser web, e il set di standard di sviluppo e test delle applicazioni web era piuttosto limitato. Ad esempio, quasi tutti i database erano costruiti utilizzando SQL. Purtroppo, dopo poco tempo, gli hacker hanno imparato a sfruttare le applicazioni web per rubare, eliminare o modificare dati. Hanno ottenuto accesso illegale e abusato delle funzionalità delle applicazioni utilizzando varie tecniche, tra cui l'inganno degli utenti delle applicazioni, l'inserimento e l'esecuzione remota di codice. Presto sono apparsi sul mercato strumenti commerciali per la protezione delle applicazioni web, denominati Web Application Firewalls (WAF), e la comunità ha reagito creando un progetto open source per la sicurezza delle applicazioni web, l'Open Web Application Security Project (OWASP), con l'obiettivo di definire e mantenere standard e metodologie per lo sviluppo di applicazioni sicure.
Protezione di base delle applicazioni
è un punto di partenza per garantire la protezione delle applicazioni e contiene un elenco delle minacce più pericolose e delle configurazioni errate che possono portare a vulnerabilità delle applicazioni, oltre a tattiche per la rilevazione e la difesa dagli attacchi. L'OWASP Top 10 è un punto di riferimento riconosciuto nel settore della sicurezza informatica delle applicazioni in tutto il mondo e definisce un elenco di capacità che un sistema di protezione delle applicazioni web (WAF) dovrebbe avere.
Inoltre, la funzionalità del WAF dovrebbe considerare altri attacchi comuni alle applicazioni web, inclusi il Cross-Site Request Forgery (CSRF), il Clickjacking, il web scraping e l'inclusione di file (RFI/LFI).
Minacce e sfide nella sicurezza delle moderne applicazioni
Ad oggi, non tutte le applicazioni sono disponibili in versione web. Esistono applicazioni cloud, applicazioni mobili, API e nelle architetture più moderne persino funzioni software individuali. Tutti questi tipi di applicazioni devono essere sincronizzati e controllati, poiché creano, modificano e elaborano i nostri dati. Con l'emergere di nuove tecnologie e paradigmi, sorgono nuove complessità e sfide in tutte le fasi del ciclo di vita delle applicazioni. Ciò include l'integrazione tra sviluppo e operazioni (DevOps), container, Internet delle cose (IoT), strumenti open source, API e altro ancora.
La distribuzione decentralizzata delle applicazioni e la varietà di tecnologie creano compiti complessi e complessi non solo per gli specialisti della sicurezza informatica, ma anche per i produttori di soluzioni di sicurezza, che non possono più fare affidamento su approcci unificati. Gli strumenti di protezione delle applicazioni devono considerare la loro specificità aziendale per prevenire falsi positivi e compromettere la qualità dei servizi per gli utenti.
L'obiettivo finale degli hacker è generalmente il furto di dati o la compromissione della disponibilità dei servizi. Anche i malintenzionati traggono vantaggio dall'evoluzione tecnologica. In primo luogo, lo sviluppo di nuove tecnologie crea un numero maggiore di vulnerabilità e punti deboli. In secondo luogo, hanno accesso a più strumenti e informazioni per bypassare le tradizionali misure di protezione. Ciò aumenta notevolmente la cosiddetta 'superficie d'attacco' e l'esposizione delle organizzazioni a nuovi rischi. Le politiche di sicurezza devono essere costantemente aggiornate in base ai cambiamenti nelle tecnologie e nelle applicazioni.
Pertanto, le applicazioni devono essere protette da un numero crescente di metodi e fonti di attacco, e la risposta agli attacchi automatici deve avvenire in tempo reale sulla base di decisioni informate. Di conseguenza, aumentano i costi operativi e il lavoro manuale, a fronte di una posizione di sicurezza indebolita.
Compito n. 1: Gestione dei bot
Oltre il 60% del traffico internet è generato da bot, metà del quale è considerato 'cattivo' (secondo i dati ). Le organizzazioni investono nell'aumento della capacità della rete, in sostanza servendo un carico fittizio. Una distinzione precisa tra il traffico utente reale e il traffico dei bot, così come tra i «buoni» bot (ad esempio, i crawler e i servizi di comparazione prezzi) e i «cattivi» bot può tradursi in un notevole risparmio di risorse e in un miglioramento della qualità dei servizi per gli utenti.
I bot non hanno intenzione di semplificare questa sfida e possono imitare il comportamento degli utenti reali, aggirare CAPTCHA e altri ostacoli. Inoltre, nel caso di attacchi che utilizzano indirizzi IP dinamici, la protezione basata su filtro per IP diventa inefficace. Spesso, strumenti di sviluppo open source (ad esempio, Phantom JS), che possono eseguire il JavaScript client, vengono utilizzati per lanciare attacchi brute-force, attacchi di stuffing delle credenziali, attacchi DDoS e attacchi automatici di bot.
Per una gestione efficace del traffico dei bot è necessaria un'identificazione unica della sua origine (come un'impronta digitale). Poiché in caso di attacchi da bot si generano molte registrazioni, la sua impronta consente di identificare attività sospette e assegnare punteggi su cui il sistema di protezione delle applicazioni può prendere decisioni informate - bloccare/consentire - con un tasso minimo di falsi positivi.
Compito n. 2: Protezione API
Molte applicazioni raccolgono informazioni e dati dai servizi con cui interagiscono tramite API. Nella trasmissione di dati riservati tramite API, oltre il 50% delle organizzazioni non effettua alcuna verifica né protezione delle API per rilevare attacchi informatici.
Esempi di utilizzo delle API:
- Integrazione dell'Internet delle cose (IoT)
- Interazione tra macchine
- Ambienti senza server
- Applicazioni mobili
- Applicazioni gestite da eventi
Le vulnerabilità delle API sono simili alle vulnerabilità delle applicazioni e includono iniezioni, attacchi ai protocolli, manipolazione dei parametri, reindirizzamenti e attacchi bot. Gateways API dedicati consentono di garantire la compatibilità dei servizi applicativi che interagiscono tramite API. Tuttavia, non forniscono una sicurezza end-to-end per le applicazioni, come può fare un WAF con gli strumenti di sicurezza necessari, come il parsing delle intestazioni HTTP, la lista di controllo degli accessi Layer 7 (ACL), il parsing e la verifica del payload JSON/XML, così come la protezione contro tutte le vulnerabilità della lista OWASP Top 10. Questo è ottenuto attraverso l'ispezione dei valori chiave delle API utilizzando modelli positivi e negativi.
Compito n. 3: Denial of Service
Il vecchio vettore di attacco — Denial of Service (DoS) — continua a dimostrare la sua efficacia negli attacchi alle applicazioni. Gli aggressori dispongono di una serie di tecniche efficaci per interrompere i servizi applicativi, inclusi flooding HTTP o HTTPS, attacchi a bassa potenza e lenti («low-and-slow», come SlowLoris, LOIC, Torshammer), attacchi con indirizzi IP dinamici, overflow del buffer, attacchi di brute force e molti altri. Con lo sviluppo dell'Internet delle Cose e l'emergere dei botnet IoT, gli attacchi alle applicazioni sono diventati la principale forma di attacco DDoS. La maggior parte dei WAF con monitoraggio dello stato delle connessioni può resistere solo a un volume limitato di carico. Tuttavia, possono ispezionare i flussi di traffico HTTP/S e rimuovere il traffico di attacco e le connessioni dannose. Una volta identificato un attacco, non ha senso far passare di nuovo quel traffico. Poiché la larghezza di banda del WAF per riflettere gli attacchi è limitata, è necessaria una soluzione aggiuntiva sul perimetro di rete per bloccare automaticamente i “cattivi” pacchetti successivi. Per questo scenario di protezione, entrambe le soluzioni devono avere la capacità di interagire tra loro per scambiare informazioni sugli attacchi.
Fig. 1. Organizzazione di una protezione complessiva per reti e applicazioni utilizzando le soluzioni Radware
Compito n. 4: Protezione continua
Le applicazioni subiscono frequentemente modifiche. Metodologie di sviluppo e implementazione, come la continuità degli aggiornamenti, significano che le modifiche vengono effettuate senza intervento e controllo umano. In tali condizioni dinamiche, è difficile mantenere politiche di sicurezza che funzionino adeguatamente senza un alto numero di falsi positivi. Le applicazioni mobili vengono aggiornate molto più frequentemente delle applicazioni web. Le applicazioni di terze parti possono cambiare senza che tu ne sia a conoscenza. Alcune organizzazioni cercano di ottenere un maggiore controllo e visualizzazione per rimanere a conoscenza dei potenziali rischi. Tuttavia, questo non è sempre possibile, e una protezione affidabile delle applicazioni deve sfruttare le capacità dell'apprendimento automatico per considerare e rappresentare visivamente le risorse disponibili, analizzare le potenziali minacce e creare e ottimizzare le politiche di sicurezza in caso di modifiche delle applicazioni.
Conclusioni
Man mano che le applicazioni giocano un ruolo sempre più importante nella vita quotidiana, diventano un obiettivo primario per gli hacker. Il potenziale bottino per i malintenzionati e le possibili perdite per le aziende sono enormi. La complessità del compito di garantire la sicurezza delle applicazioni non può essere sottovalutata, considerando il numero e la varietà di applicazioni e minacce.
Fortunatamente, siamo in un momento in cui l'intelligenza artificiale può venirci in aiuto. Gli algoritmi basati sull'apprendimento automatico forniscono protezione adattativa in tempo reale contro le minacce informatiche più avanzate rivolte alle applicazioni. Inoltre, aggiornano automaticamente le politiche di sicurezza per proteggere applicazioni web, mobili e cloud — oltre che le API — senza falsi positivi.
È difficile prevedere con precisione quale sarà la nuova generazione di minacce informatiche per le applicazioni (forse anche essa basata sull'apprendimento automatico). Ma le organizzazioni possono sicuramente adottare misure per proteggere i dati dei clienti, la proprietà intellettuale e garantire la disponibilità dei servizi con grande beneficio per il business.
Approcci e metodi efficaci per garantire la sicurezza delle applicazioni, i principali tipi e vettori di attacco, le aree a rischio e le lacune nella cyber difesa delle applicazioni web, così come l'esperienza globale e le migliori pratiche sono presentati nello studio e rapporto di Radware “”.
Fonte: habr.com
