თანამედროვე აპლიკაციების უსაფრთხოების სისტემების (WAF) ფუნქციონირება ბევრად უფრო ფართო უნდა იყოს, ვიდრე OWASP ტოპ 10-ის დაუცველობის სია.

რეტროსპექტიული

აპლიკაციებისთვის კიბერ საფრთხეების მასშტაბი, შემადგენლობა და შემადგენლობა სწრაფად ვითარდება. მრავალი წლის განმავლობაში, მომხმარებლებს წვდომა აქვთ ვებ აპლიკაციებზე ინტერნეტით პოპულარული ვებ ბრაუზერების გამოყენებით. საჭირო იყო 2-5 ვებ ბრაუზერის მხარდაჭერა ნებისმიერ დროს, ხოლო ვებ აპლიკაციების შემუშავებისა და ტესტირების სტანდარტების ნაკრები საკმაოდ შეზღუდული იყო. მაგალითად, თითქმის ყველა მონაცემთა ბაზა აშენდა SQL-ის გამოყენებით. სამწუხაროდ, მცირე ხნის შემდეგ, ჰაკერებმა ისწავლეს ვებ აპლიკაციების გამოყენება მონაცემების მოპარვის, წაშლის ან შესაცვლელად. მათ მიიღეს არალეგალური წვდომა და ბოროტად გამოიყენეს აპლიკაციის შესაძლებლობები სხვადასხვა ტექნიკის გამოყენებით, მათ შორის აპლიკაციის მომხმარებლების მოტყუება, ინექცია და კოდის დისტანციური შესრულება. მალე ბაზარზე გამოვიდა ვებ აპლიკაციის უსაფრთხოების კომერციული ხელსაწყოები, სახელწოდებით Web Application Firewalls (WAFs) და საზოგადოებამ უპასუხა ღია ვებ აპლიკაციის უსაფრთხოების პროექტის შექმნით, Open Web Application Security Project (OWASP), რათა განესაზღვრა და შეინარჩუნოს განვითარების სტანდარტები და მეთოდოლოგია. უსაფრთხო აპლიკაციები.

აპლიკაციის ძირითადი დაცვა

OWASP ტოპ 10 სია არის აპლიკაციების უსაფრთხოების საწყისი წერტილი და შეიცავს ყველაზე სახიფათო საფრთხეებისა და არასწორი კონფიგურაციის ჩამონათვალს, რამაც შეიძლება გამოიწვიოს აპლიკაციის დაუცველობა, ასევე ტაქტიკა თავდასხმების აღმოჩენისა და დამარცხებისთვის. OWASP ტოპ 10 არის აღიარებული საორიენტაციო ნიშანი აპლიკაციების კიბერუსაფრთხოების ინდუსტრიაში მთელ მსოფლიოში და განსაზღვრავს შესაძლებლობების ძირითად ჩამონათვალს, რომელიც უნდა ჰქონდეს ვებ აპლიკაციის უსაფრთხოების (WAF) სისტემას.

გარდა ამისა, WAF ფუნქციონალურობამ უნდა გაითვალისწინოს სხვა გავრცელებული თავდასხმები ვებ აპლიკაციებზე, მათ შორის საიტის მოთხოვნის გაყალბება (CSRF), დაწკაპუნება, ვებ სკრაპი და ფაილის ჩართვა (RFI/LFI).

საფრთხეები და გამოწვევები თანამედროვე აპლიკაციების უსაფრთხოების უზრუნველსაყოფად

დღეს ყველა აპლიკაცია არ არის დანერგილი ქსელის ვერსიაში. არის ღრუბლოვანი აპლიკაციები, მობილური აპლიკაციები, API-ები და უახლესი არქიტექტურაში, თუნდაც მორგებული პროგრამული ფუნქციები. ყველა ამ ტიპის აპლიკაციას სჭირდება სინქრონიზაცია და კონტროლი, როდესაც ისინი ქმნიან, ცვლიან და ამუშავებენ ჩვენს მონაცემებს. ახალი ტექნოლოგიებისა და პარადიგმების მოსვლასთან ერთად, ახალი სირთულეები და გამოწვევები წარმოიქმნება აპლიკაციის სასიცოცხლო ციკლის ყველა ეტაპზე. ეს მოიცავს განვითარებისა და ოპერაციების ინტეგრაციას (DevOps), კონტეინერებს, ნივთების ინტერნეტს (IoT), ღია კოდის ინსტრუმენტებს, API-ებს და სხვა.

აპლიკაციების განაწილებული გავრცელება და ტექნოლოგიების მრავალფეროვნება ქმნის კომპლექსურ და რთულ გამოწვევებს არა მხოლოდ ინფორმაციული უსაფრთხოების პროფესიონალებისთვის, არამედ უსაფრთხოების გადაწყვეტილებების გამყიდველებისთვისაც, რომლებსაც აღარ შეუძლიათ დაეყრდნონ ერთიან მიდგომას. აპლიკაციის უსაფრთხოების ზომებმა უნდა გაითვალისწინოს მათი ბიზნესის სპეციფიკა, რათა თავიდან იქნას აცილებული ცრუ დადებითი და მომხმარებლებისთვის მომსახურების ხარისხის დარღვევა.

ჰაკერების საბოლოო მიზანი, როგორც წესი, არის მონაცემების მოპარვა ან სერვისების ხელმისაწვდომობის დარღვევა. თავდამსხმელები ასევე სარგებლობენ ტექნოლოგიური ევოლუციით. პირველი, ახალი ტექნოლოგიების განვითარება ქმნის უფრო მეტ პოტენციურ ხარვეზებს და დაუცველობას. მეორეც, მათ აქვთ მეტი ინსტრუმენტი და ცოდნა თავიანთ არსენალში უსაფრთხოების ტრადიციული ზომების გვერდის ავლით. ეს მნიშვნელოვნად ზრდის ეგრეთ წოდებულ „შეტევის ზედაპირს“ და ორგანიზაციების ზემოქმედებას ახალი რისკების მიმართ. უსაფრთხოების პოლიტიკა მუდმივად უნდა შეიცვალოს ტექნოლოგიებისა და აპლიკაციების ცვლილებების საპასუხოდ.

ამრიგად, აპლიკაციები დაცული უნდა იყოს თავდასხმის მეთოდებისა და წყაროების მზარდი მრავალფეროვნებისგან, ხოლო ავტომატური თავდასხმების წინააღმდეგობა რეალურ დროში უნდა მოხდეს ინფორმირებული გადაწყვეტილებების საფუძველზე. შედეგი არის გაზრდილი ტრანზაქციის ხარჯები და ხელით შრომა, უსაფრთხოების დასუსტებულ პოზასთან ერთად.

ამოცანა #1: ბოტების მართვა

ინტერნეტ ტრაფიკის 60%-ზე მეტი გენერირდება ბოტების მიერ, რომელთა ნახევარი არის „ცუდი“ ტრაფიკი (შესაბამისად Radware უსაფრთხოების ანგარიში). ორგანიზაციები ინვესტირებას ახდენენ ქსელის სიმძლავრის გაზრდაში, რაც არსებითად ემსახურება ფიქტიურ დატვირთვას. მომხმარებლის რეალური ტრაფიკისა და ბოტის ტრაფიკის, ასევე „კარგი“ ბოტების (მაგალითად, საძიებო სისტემები და ფასების შედარების სერვისები) და „ცუდი“ ბოტების ზუსტად განსხვავებამ შეიძლება გამოიწვიოს ხარჯების მნიშვნელოვანი დაზოგვა და მომხმარებლებისთვის მომსახურების ხარისხის გაუმჯობესება.

ბოტები არ აპირებენ ამ ამოცანის გაადვილებას და მათ შეუძლიათ რეალური მომხმარებლების ქცევის იმიტაცია, CAPTCHA-ების და სხვა დაბრკოლებების გვერდის ავლით. უფრო მეტიც, დინამიური IP მისამართების გამოყენებით თავდასხმების შემთხვევაში, IP მისამართის გაფილტვრაზე დაფუძნებული დაცვა არაეფექტური ხდება. ხშირად, ღია კოდის განვითარების ინსტრუმენტები (მაგალითად, Phantom JS), რომელსაც შეუძლია კლიენტის მხარეს JavaScript-ის მართვა, გამოიყენება უხეში ძალის შეტევების, რწმუნებათა სიგელების ჩაყრის, DDoS შეტევებისა და ავტომატური ბოტების შეტევების დასაწყებად.

ბოტების ტრაფიკის ეფექტურად მართვისთვის საჭიროა მისი წყაროს უნიკალური იდენტიფიკაცია (როგორც თითის ანაბეჭდი). ვინაიდან ბოტის შეტევა წარმოქმნის მრავალ ჩანაწერს, მისი თითის ანაბეჭდი საშუალებას აძლევს მას დაადგინოს საეჭვო აქტივობა და მინიჭოს ქულები, რის საფუძველზეც აპლიკაციის დაცვის სისტემა იღებს ინფორმირებულ გადაწყვეტილებას - დაბლოკვა/დაშვება - ცრუ დადებითი მინიმალური სიჩქარით.

გამოწვევა #2: API-ს დაცვა

ბევრი აპლიკაცია აგროვებს ინფორმაციას და მონაცემებს სერვისებიდან, რომლებთანაც ისინი ურთიერთობენ API-ების მეშვეობით. სენსიტიური მონაცემების API-ებით გადაცემისას, ორგანიზაციების 50%-ზე მეტი არც ამოწმებს და არც იცავს API-ებს კიბერთავდასხმების გამოსავლენად.

API-ს გამოყენების მაგალითები:

• ნივთების ინტერნეტი (IoT) ინტეგრაცია
• მანქანა-მანქანა კომუნიკაცია
• სერვერის გარეშე გარემო
• მობილური პროგრამები
• მოვლენებზე ორიენტირებული აპლიკაციები

API დაუცველობა მსგავსია აპლიკაციის დაუცველობისა და მოიცავს ინექციებს, პროტოკოლის შეტევებს, პარამეტრებზე მანიპულირებას, გადამისამართებებს და ბოტის შეტევებს. გამოყოფილი API კარიბჭეები ხელს უწყობს თავსებადობის უზრუნველყოფას აპლიკაციის სერვისებს შორის, რომლებიც ურთიერთქმედებენ API-ების საშუალებით. თუმცა, ისინი არ უზრუნველყოფენ აპლიკაციის ბოლოდან ბოლომდე უსაფრთხოებას, როგორც WAF-ს, ისეთი მნიშვნელოვანი უსაფრთხოების ინსტრუმენტებით, როგორიცაა HTTP სათაურის ანალიზი, ფენის 7 წვდომის კონტროლის სია (ACL), JSON/XML დატვირთვის ანალიზები და ინსპექტირება, და დაცვა ყველა დაუცველობისგან. OWASP ტოპ 10 სია. ეს მიიღწევა ძირითადი API მნიშვნელობების დათვალიერებით დადებითი და უარყოფითი მოდელების გამოყენებით.

გამოწვევა #3: მომსახურების უარყოფა

ძველი თავდასხმის ვექტორი, სერვისის უარყოფა (DoS), აგრძელებს აპლიკაციებზე თავდასხმაში მისი ეფექტურობის დამტკიცებას. თავდამსხმელებს აქვთ აპლიკაციების სერვისების ჩაშლის წარმატებული ტექნიკის სპექტრი, მათ შორის HTTP ან HTTPS floods, დაბალი და ნელი შეტევები (მაგ. SlowLoris, LOIC, Torshammer), თავდასხმები დინამიური IP მისამართების გამოყენებით, ბუფერული გადადინება, უხეში ძალის შეტევები და მრავალი სხვა. . ნივთების ინტერნეტის განვითარებით და შემდგომში IoT ბოტნეტების გაჩენით, აპლიკაციებზე თავდასხმები გახდა DDoS შეტევების მთავარი აქცენტი. სახელმწიფოებრივ WAF-ების უმეტესობას შეუძლია გაუმკლავდეს მხოლოდ შეზღუდული რაოდენობის დატვირთვას. თუმცა, მათ შეუძლიათ შეამოწმონ HTTP/S ტრაფიკის ნაკადები და ამოიღონ თავდასხმის ტრაფიკი და მავნე კავშირები. თავდასხმის იდენტიფიცირების შემდეგ, აზრი არ აქვს ამ ტრაფიკის ხელახლა გავლას. ვინაიდან WAF-ის შესაძლებლობები შეტევების მოგერიებისთვის შეზღუდულია, საჭიროა დამატებითი გადაწყვეტა ქსელის პერიმეტრზე, რათა ავტომატურად დაბლოკოს შემდეგი "ცუდი" პაკეტები. უსაფრთხოების ამ სცენარისთვის, ორივე გამოსავალს უნდა შეეძლოს ერთმანეთთან კომუნიკაცია თავდასხმების შესახებ ინფორმაციის გაცვლის მიზნით.

ნახ 1. ყოვლისმომცველი ქსელისა და აპლიკაციის დაცვის ორგანიზაცია Radware გადაწყვეტილებების მაგალითის გამოყენებით

გამოწვევა #4: უწყვეტი დაცვა

აპლიკაციები ხშირად იცვლება. განვითარებისა და განხორციელების მეთოდოლოგიები, როგორიცაა მოძრავი განახლებები, ნიშნავს, რომ ცვლილებები ხდება ადამიანის ჩარევისა და კონტროლის გარეშე. ასეთ დინამიურ გარემოში ძნელია ადეკვატურად მოქმედი უსაფრთხოების პოლიტიკის შენარჩუნება ცრუ პოზიტივის დიდი რაოდენობის გარეშე. მობილური აპლიკაციები ბევრად უფრო ხშირად ახლდება, ვიდრე ვებ აპლიკაციები. მესამე მხარის განაცხადები შეიძლება შეიცვალოს თქვენი ცოდნის გარეშე. ზოგიერთი ორგანიზაცია ეძებს უფრო მეტ კონტროლს და ხილვადობას, რათა თავიდან აიცილოს პოტენციური რისკები. თუმცა, ეს ყოველთვის არ არის მიღწევადი და საიმედო აპლიკაციის დაცვამ უნდა გამოიყენოს მანქანური სწავლის ძალა ხელმისაწვდომი რესურსების აღრიცხვისა და ვიზუალიზაციისთვის, პოტენციური საფრთხეების გასაანალიზებლად და უსაფრთხოების პოლიტიკის შესაქმნელად და ოპტიმიზაციისთვის აპლიკაციის ცვლილებების შემთხვევაში.

დასკვნები

იმის გამო, რომ აპლიკაციები უფრო მნიშვნელოვან როლს თამაშობენ ყოველდღიურ ცხოვრებაში, ისინი ხდებიან ჰაკერების მთავარი სამიზნე. კრიმინალებისთვის პოტენციური ჯილდოები და ბიზნესისთვის პოტენციური ზარალი უზარმაზარია. აპლიკაციის უსაფრთხოების ამოცანის სირთულე არ შეიძლება გადაჭარბებული იყოს აპლიკაციებისა და საფრთხეების რაოდენობისა და ვარიაციების გათვალისწინებით.

საბედნიეროდ, ჩვენ იმ მომენტში ვართ, როდესაც ხელოვნური ინტელექტი შეიძლება დაგვეხმაროს. მანქანათმცოდნეობაზე დაფუძნებული ალგორითმები უზრუნველყოფენ რეალურ დროში ადაპტირებულ დაცვას ყველაზე მოწინავე კიბერ საფრთხეების მიზნობრივი აპლიკაციებისგან. ისინი ასევე ავტომატურად განაახლებს უსაფრთხოების პოლიტიკას, რათა დაიცვან ვებ, მობილური და ღრუბლოვანი აპლიკაციები და API-ები ცრუ პოზიტივის გარეშე.

ძნელია დარწმუნებით პროგნოზირება, თუ როგორი იქნება შემდეგი თაობის აპლიკაციების კიბერსაფრთხეები (შესაძლოა მანქანური სწავლების საფუძველზე). მაგრამ ორგანიზაციებს, რა თქმა უნდა, შეუძლიათ გადადგან ნაბიჯები მომხმარებელთა მონაცემების დასაცავად, ინტელექტუალური საკუთრების დასაცავად და მომსახურების ხელმისაწვდომობის უზრუნველსაყოფად დიდი ბიზნეს უპირატესობებით.

აპლიკაციის უსაფრთხოების უზრუნველსაყოფად ეფექტური მიდგომები და მეთოდები, თავდასხმების ძირითადი ტიპები და ვექტორები, რისკის სფეროები და ხარვეზები ვებ აპლიკაციების კიბერ დაცვაში, ისევე როგორც გლობალური გამოცდილება და საუკეთესო პრაქტიკა წარმოდგენილია Radware-ის კვლევასა და ანგარიშში.ვებ აპლიკაციების უსაფრთხოება ციფრულად დაკავშირებულ სამყაროში".

წყარო: www.habr.com