ວິວັດທະນາການຂອງ Web Application Firewall: ຈາກ firewalls ໄປສູ່ລະບົບປ້ອງກັນ cloud-based ກັບ machine learning

ໃນເອກະສານທີ່ຜ່ານມາຂອງພວກເຮົາກ່ຽວກັບຫົວຂໍ້ຟັງ, ພວກເຮົາ ບອກ, ວິທີການປົກປ້ອງຊັບພະຍາກອນ IT ໃນຄລາວສາທາລະນະແລະເປັນຫຍັງ antiviruses ແບບດັ້ງເດີມບໍ່ເຫມາະສົມທັງຫມົດສໍາລັບຈຸດປະສົງເຫຼົ່ານີ້. ໃນບົດຂຽນນີ້, ພວກເຮົາຈະສືບຕໍ່ຫົວຂໍ້ຄວາມປອດໄພຂອງເມຄແລະເວົ້າກ່ຽວກັບວິວັດທະນາການຂອງ WAF ແລະສິ່ງທີ່ດີກວ່າທີ່ຈະເລືອກເອົາ: ຮາດແວ, ຊອບແວຫຼືຟັງ. 

WAF ແມ່ນຫຍັງ

ຫຼາຍກວ່າ 75% ຂອງການໂຈມຕີຂອງແຮກເກີແມ່ນແນໃສ່ຈຸດອ່ອນຂອງແອັບພລິເຄຊັນເວັບ ແລະເວັບໄຊທ໌: ການໂຈມຕີດັ່ງກ່າວມັກຈະເບິ່ງບໍ່ເຫັນກັບໂຄງສ້າງພື້ນຖານຄວາມປອດໄພຂໍ້ມູນ ແລະບໍລິການຄວາມປອດໄພຂອງຂໍ້ມູນ. ຊ່ອງໂຫວ່ໃນແອັບພລິເຄຊັນເວັບເຮັດໃຫ້ເກີດຄວາມສ່ຽງຕໍ່ການປະນີປະນອມ ແລະການສໍ້ໂກງຂອງບັນຊີຜູ້ໃຊ້ ແລະຂໍ້ມູນສ່ວນຕົວ, ລະຫັດຜ່ານ ແລະໝາຍເລກບັດເຄຣດິດ. ນອກຈາກນັ້ນ, ຊ່ອງໂຫວ່ຢູ່ໃນເວັບໄຊທ໌ເຮັດຫນ້າທີ່ເປັນຈຸດເຂົ້າສໍາລັບຜູ້ໂຈມຕີໃນເຄືອຂ່າຍຂອງບໍລິສັດ.

Web Application Firewall (WAF) ແມ່ນຫນ້າຈໍປ້ອງກັນທີ່ສະກັດກັ້ນການໂຈມຕີໃນເວັບ: ການສີດ SQL, ການສະຄິບຂ້າມເວັບໄຊທ໌, ການປະຕິບັດລະຫັດຫ່າງໄກສອກຫຼີກ, brute force ແລະ bypass ການອະນຸຍາດ. ລວມທັງການໂຈມຕີທີ່ສວຍໃຊ້ຊ່ອງໂຫວ່ທີ່ບໍ່ມີວັນ. ແອັບພລິເຄຊັນໄຟວໍໃຫ້ການປົກປ້ອງໂດຍການຕິດຕາມເນື້ອຫາຂອງຫນ້າເວັບ, ລວມທັງ HTML, DHTML, ແລະ CSS, ແລະການກັ່ນຕອງຄໍາຮ້ອງຂໍ HTTP / HTTPS ທີ່ເປັນອັນຕະລາຍ.

ການຕັດສິນໃຈທໍາອິດແມ່ນຫຍັງ?

ຄວາມພະຍາຍາມທີ່ຈະສ້າງ Web Application Firewall ທໍາອິດແມ່ນໄດ້ກັບຄືນມາໃນຕົ້ນ 90s. ຢ່າງໜ້ອຍມີວິສະວະກອນສາມຄົນໄດ້ເຮັດວຽກໃນຂະແໜງນີ້. ຄົນທໍາອິດແມ່ນອາຈານສອນວິທະຍາສາດຄອມພິວເຕີ Gene Spafford ຈາກມະຫາວິທະຍາໄລ Purdue. ລາວໄດ້ອະທິບາຍສະຖາປັດຕະຍະກໍາຂອງ firewall ຄໍາຮ້ອງສະຫມັກຕົວແທນແລະຈັດພີມມາມັນໃນປີ 1991 ໃນຫນັງສື "UNIX ຄວາມປອດໄພໃນການປະຕິບັດ".

ທີສອງແລະທີສາມແມ່ນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ William Cheswick ແລະ Marcus Ranum ຈາກ Bell Labs. ພວກເຂົາເຈົ້າໄດ້ພັດທະນາຫນຶ່ງຂອງຄໍາຮ້ອງສະຫມັກ firewall prototypes ທໍາອິດ. ມັນຖືກແຈກຢາຍໂດຍ DEC - ຜະລິດຕະພັນໄດ້ຖືກປ່ອຍອອກມາພາຍໃຕ້ຊື່ SEAL (Secure External Access Link).

ແຕ່ SEAL ບໍ່ແມ່ນການແກ້ໄຂ WAF ເຕັມຮູບແບບ. ມັນເປັນ Firewall ເຄືອຂ່າຍຄລາສສິກທີ່ມີຫນ້າທີ່ກ້າວຫນ້າ - ຄວາມສາມາດໃນການສະກັດກັ້ນການໂຈມຕີໃນ FTP ແລະ RSH. ສໍາລັບເຫດຜົນນີ້, ການແກ້ໄຂ WAF ທໍາອິດໃນມື້ນີ້ແມ່ນຖືວ່າເປັນຜະລິດຕະພັນຂອງ Perfecto Technologies (ຕໍ່ມາ Sanctum). ໃນປີ 1999 ນາງ ນຳ ສະ ເໜີ ລະບົບ AppShield. ໃນເວລານັ້ນ, Perfecto Technologies ກໍາລັງພັດທະນາການແກ້ໄຂຄວາມປອດໄພຂອງຂໍ້ມູນສໍາລັບອີຄອມເມີຊ, ແລະຮ້ານຄ້າອອນໄລນ໌ໄດ້ກາຍເປັນຜູ້ຊົມເປົ້າຫມາຍຂອງຜະລິດຕະພັນໃຫມ່ຂອງພວກເຂົາ. AppShield ສາມາດວິເຄາະການຮ້ອງຂໍ HTTP ແລະການໂຈມຕີທີ່ຖືກບລັອກໂດຍອີງໃສ່ນະໂຍບາຍຄວາມປອດໄພຂໍ້ມູນແບບເຄື່ອນໄຫວ.

ປະມານເວລາດຽວກັນກັບ AppShield (ໃນປີ 2002), WAF ແຫຼ່ງເປີດທໍາອິດປາກົດ. ລາວໄດ້ກາຍເປັນ ຄວາມປອດໄພ Mod. ມັນໄດ້ຖືກສ້າງຂື້ນເພື່ອຈຸດປະສົງຂອງຄວາມນິຍົມຂອງເຕັກໂນໂລຢີ WAF ແລະຍັງໄດ້ຮັບການສະຫນັບສະຫນູນຈາກຊຸມຊົນ IT (ນີ້ແມ່ນ. repository ໃນ GitHub). ModSecurity ສະກັດກັ້ນການໂຈມຕີໃນແອັບພລິເຄຊັນໂດຍອີງໃສ່ຊຸດມາດຕະຖານຂອງການສະແດງອອກປົກກະຕິ (ລາຍເຊັນ) - ເຄື່ອງມືໃນການກວດສອບການຮ້ອງຂໍໂດຍອີງໃສ່ຮູບແບບ - ກໍານົດກົດລະບຽບຫຼັກ OWASP.

ດັ່ງນັ້ນ, ນັກພັດທະນາສາມາດບັນລຸເປົ້າຫມາຍຂອງພວກເຂົາ - ວິທີແກ້ໄຂ WAF ໃຫມ່ເລີ່ມປາກົດຢູ່ໃນຕະຫຼາດ, ລວມທັງສິ່ງທີ່ສ້າງຂຶ້ນບົນພື້ນຖານຂອງ ModSecurity.

ສາມລຸ້ນແມ່ນປະຫວັດສາດແລ້ວ

ມັນເປັນປະເພນີທີ່ຈະຈໍາແນກສາມລຸ້ນຂອງລະບົບ WAF, ເຊິ່ງໄດ້ພັດທະນາກັບການພັດທະນາເຕັກໂນໂລຢີ.

ການຜະລິດຄັ້ງທໍາອິດ. ເຮັດວຽກກັບການສະແດງອອກປົກກະຕິ (ຫຼືໄວຍາກອນ). ນີ້ປະກອບມີ ModSecurity. ຜູ້ໃຫ້ບໍລິການລະບົບສຶກສາປະເພດຂອງການໂຈມຕີໃນແອັບພລິເຄຊັນ ແລະສ້າງຮູບແບບທີ່ອະທິບາຍຄໍາຮ້ອງຂໍທີ່ຖືກຕ້ອງ ແລະອາດເປັນອັນຕະລາຍ. WAF ກວດເບິ່ງລາຍການເຫຼົ່ານີ້ແລະຕັດສິນໃຈວ່າຈະເຮັດແນວໃດໃນສະຖານະການສະເພາະໃດຫນຶ່ງ - ເພື່ອສະກັດກັ້ນການຈະລາຈອນຫຼືບໍ່.

ຕົວຢ່າງຂອງການກວດພົບໂດຍອີງໃສ່ການສະແດງອອກປົກກະຕິແມ່ນໂຄງການທີ່ໄດ້ກ່າວມາແລ້ວ ຕັ້ງກົດລະບຽບຫຼັກ ແຫຼ່ງເປີດ. ຕົວຢ່າງອີກອັນຫນຶ່ງ - ນາກຊີ, ເຊິ່ງຍັງເປັນແຫຼ່ງເປີດ. ລະບົບທີ່ມີການສະແດງອອກເປັນປົກກະຕິມີຂໍ້ເສຍຫຼາຍຢ່າງ, ໂດຍສະເພາະ, ເມື່ອມີຈຸດອ່ອນໃຫມ່ຖືກຄົ້ນພົບ, ຜູ້ບໍລິຫານຕ້ອງສ້າງກົດລະບຽບເພີ່ມເຕີມດ້ວຍຕົນເອງ. ໃນກໍລະນີຂອງໂຄງສ້າງພື້ນຖານ IT ຂະຫນາດໃຫຍ່, ອາດຈະມີກົດລະບຽບຫຼາຍພັນຄົນ. ການຄຸ້ມຄອງການສະແດງອອກເປັນປົກກະຕິຫຼາຍແມ່ນຂ້ອນຂ້າງຍາກ, ບໍ່ໄດ້ກ່າວເຖິງຄວາມຈິງທີ່ວ່າການກວດສອບພວກມັນສາມາດຫຼຸດຜ່ອນການປະຕິບັດຂອງເຄືອຂ່າຍ.

ການສະແດງອອກແບບປົກກະຕິຍັງມີອັດຕາການບວກທີ່ບໍ່ຖືກຕ້ອງສູງ. ນັກພາສາສາດທີ່ມີຊື່ສຽງ Noam Chomsky ໄດ້ສະເຫນີການຈັດປະເພດຂອງໄວຍາກອນທີ່ລາວໄດ້ແບ່ງອອກເປັນສີ່ລະດັບຂອງຄວາມສັບສົນ. ອີງຕາມການຈັດປະເພດນີ້, ການສະແດງອອກປົກກະຕິພຽງແຕ່ສາມາດອະທິບາຍກົດລະບຽບຂອງ Firewall ທີ່ບໍ່ກ່ຽວຂ້ອງກັບການ deviations ຈາກຮູບແບບ. ນີ້ຫມາຍຄວາມວ່າຜູ້ໂຈມຕີສາມາດ "ຫລອກລວງ" WAF ຮຸ່ນທໍາອິດໄດ້ຢ່າງງ່າຍດາຍ. ວິທີການຫນຶ່ງເພື່ອຕໍ່ສູ້ກັບນີ້ແມ່ນການເພີ່ມຕົວອັກສອນພິເສດໃຫ້ກັບຄໍາຮ້ອງຂໍຂອງແອັບພລິເຄຊັນທີ່ບໍ່ມີຜົນກະທົບຕໍ່ເຫດຜົນຂອງຂໍ້ມູນທີ່ເປັນອັນຕະລາຍ, ແຕ່ລະເມີດກົດລະບຽບລາຍເຊັນ.

ລຸ້ນທີສອງ. ເພື່ອຫລີກລ້ຽງບັນຫາການປະຕິບັດແລະຄວາມຖືກຕ້ອງຂອງ WAFs, ໄຟວໍຂອງແອັບພລິເຄຊັນຮຸ່ນທີສອງໄດ້ຖືກພັດທະນາ. ດຽວນີ້ພວກເຂົາມີຕົວວິເຄາະທີ່ຮັບຜິດຊອບໃນການກໍານົດປະເພດຂອງການໂຈມຕີທີ່ຖືກກໍານົດຢ່າງເຂັ້ມງວດ (ໃນ HTML, JS, ແລະອື່ນໆ). parser ເຫຼົ່ານີ້ເຮັດວຽກກັບ tokens ພິເສດທີ່ອະທິບາຍການສອບຖາມ (ຕົວຢ່າງ, ຕົວແປ, ສະຕຣິງ, ບໍ່ຮູ້ຈັກ, ຈໍານວນ). ລຳດັບ token ທີ່ອາດຈະເປັນອັນຕະລາຍແມ່ນຖືກຈັດໃສ່ໃນລາຍການແຍກຕ່າງຫາກ, ເຊິ່ງລະບົບ WAF ກວດສອບຢ່າງເປັນປົກກະຕິ. ວິທີການນີ້ໄດ້ຖືກສະແດງໃຫ້ເຫັນຄັ້ງທໍາອິດໃນກອງປະຊຸມ Black Hat 2012 ໃນຮູບແບບຂອງ C / C ++ ຫ້ອງສະຫມຸດ libinjection, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດກວດພົບການສັກຢາ SQL.

ເມື່ອປຽບທຽບກັບ WAFs ຮຸ່ນທໍາອິດ, ຕົວວິເຄາະພິເສດສາມາດໄວກວ່າ. ຢ່າງໃດກໍ່ຕາມ, ພວກເຂົາບໍ່ໄດ້ແກ້ໄຂຄວາມຫຍຸ້ງຍາກທີ່ກ່ຽວຂ້ອງກັບການຕັ້ງຄ່າລະບົບດ້ວຍຕົນເອງເມື່ອການໂຈມຕີທີ່ເປັນອັນຕະລາຍໃຫມ່ປາກົດ.

ລຸ້ນທີສາມ. ການວິວັຖນາການໃນເຫດຜົນການຊອກຄົ້ນຫາຮຸ່ນທີສາມປະກອບດ້ວຍການນໍາໃຊ້ວິທີການການຮຽນຮູ້ເຄື່ອງຈັກທີ່ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະນໍາເອົາໄວຍະກອນການຊອກຄົ້ນຫາໃກ້ຄຽງເທົ່າທີ່ເປັນໄປໄດ້ກັບໄວຍາກອນ SQL / HTML / JS ທີ່ແທ້ຈິງຂອງລະບົບປ້ອງກັນ. ເຫດຜົນການຊອກຄົ້ນຫານີ້ສາມາດປັບຕົວເຄື່ອງ Turing ເພື່ອໃຫ້ກວມເອົາໄວຍາກອນທີ່ນັບຖອຍຫຼັງໄດ້. ຍິ່ງໄປກວ່ານັ້ນ, ກ່ອນຫນ້ານີ້, ວຽກງານຂອງການສ້າງເຄື່ອງຈັກ Turing ທີ່ສາມາດປັບຕົວໄດ້ແມ່ນບໍ່ສາມາດແກ້ໄຂໄດ້ຈົນກ່ວາການສຶກສາທໍາອິດຂອງເຄື່ອງຈັກ Turing neural ໄດ້ຖືກຈັດພີມມາ.

ການຮຽນຮູ້ຂອງເຄື່ອງຈັກໃຫ້ຄວາມສາມາດພິເສດໃນການປັບໄວຍາກອນໃຫ້ກວມເອົາປະເພດຂອງການໂຈມຕີໃດໆ ໂດຍບໍ່ມີການສ້າງລາຍເຊັນດ້ວຍຕົນເອງຕາມຄວາມຕ້ອງການໃນການກວດສອບຮຸ່ນທໍາອິດ, ແລະໂດຍບໍ່ມີການພັດທະນາ tokenizers/parsers ໃຫມ່ສໍາລັບປະເພດການໂຈມຕີໃຫມ່ເຊັ່ນ: Memcached, Redis, Cassandra, SSRF injections. , ຕາມຄວາມຕ້ອງການຂອງວິທີການການຜະລິດທີສອງ.

ໂດຍການລວມກັນທັງສາມລຸ້ນຂອງເຫດຜົນການຊອກຄົ້ນຫາ, ພວກເຮົາສາມາດແຕ້ມແຜນວາດໃຫມ່ເຊິ່ງການກວດພົບລຸ້ນທີສາມແມ່ນສະແດງໂດຍເສັ້ນສີແດງ (ຮູບ 3). ການຜະລິດນີ້ປະກອບມີຫນຶ່ງໃນການແກ້ໄຂທີ່ພວກເຮົາກໍາລັງປະຕິບັດຢູ່ໃນຄລາວຮ່ວມກັນກັບ Onsek, ຜູ້ພັດທະນາແພລະຕະຟອມສໍາລັບການປົກປ້ອງການປັບຕົວຂອງແອັບພລິເຄຊັນເວັບແລະ Wallarm API.

ເຫດຜົນການຊອກຄົ້ນຫາໃນປັດຈຸບັນໃຊ້ຄໍາຄຶດຄໍາເຫັນຈາກແອັບພລິເຄຊັນເພື່ອປັບຕົວມັນເອງ. ໃນການຮຽນຮູ້ເຄື່ອງຈັກ, ວົງການຄໍາຄຶດຄໍາເຫັນນີ້ເອີ້ນວ່າ "ການເສີມສ້າງ." ໂດຍປົກກະຕິ, ມີຫນຶ່ງຫຼືຫຼາຍປະເພດຂອງການເສີມດັ່ງກ່າວ:

• ການ​ວິ​ເຄາະ​ພຶດ​ຕິ​ກໍາ​ການ​ຕອບ​ສະ​ຫນອງ​ຂອງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ (passive​)
• ສະແກນ/fuzzer (ໃຊ້ໄດ້)
• ລາຍ​ງານ​ໄຟລ​໌ / ຂັ້ນ​ຕອນ​ການ interceptor / ກັບ​ດັກ (ຫຼັງ​ຈາກ​ຄວາມ​ເປັນ​ຈິງ​)
• ຄູ່ມື (ກໍານົດໂດຍຜູ້ຄຸມງານ)

ດັ່ງນັ້ນ, ເຫດຜົນການຊອກຄົ້ນຫາຮຸ່ນທີສາມຍັງແກ້ໄຂບັນຫາທີ່ສໍາຄັນຂອງຄວາມຖືກຕ້ອງ. ໃນປັດຈຸບັນມັນເປັນໄປໄດ້ບໍ່ພຽງແຕ່ເພື່ອຫຼີກເວັ້ນການບວກທີ່ບໍ່ຖືກຕ້ອງແລະຂໍ້ລົບທີ່ບໍ່ຖືກຕ້ອງ, ແຕ່ຍັງຈະກວດພົບຜົນລົບທີ່ແທ້ຈິງທີ່ຖືກຕ້ອງ, ເຊັ່ນ: ການກວດສອບການໃຊ້ອົງປະກອບຄໍາສັ່ງ SQL ໃນກະດານຄວບຄຸມ, ການໂຫຼດແມ່ແບບຫນ້າເວັບ, ຄໍາຮ້ອງຂໍ AJAX ທີ່ກ່ຽວຂ້ອງກັບຂໍ້ຜິດພາດຂອງ JavaScript, ແລະອື່ນໆ.

ຕໍ່ໄປ, ພວກເຮົາຈະພິຈາລະນາຄວາມສາມາດດ້ານເຕັກໂນໂລຢີຂອງທາງເລືອກການປະຕິບັດ WAF ຕ່າງໆ.

ຮາດແວ, ຊອບແວ ຫຼືຄລາວ - ສິ່ງທີ່ຈະເລືອກ?

ຫນຶ່ງໃນທາງເລືອກສໍາລັບການປະຕິບັດ firewalls ຄໍາຮ້ອງສະຫມັກແມ່ນການແກ້ໄຂຮາດແວ. ລະບົບດັ່ງກ່າວແມ່ນອຸປະກອນຄອມພິວເຕີສະເພາະທີ່ບໍລິສັດຕິດຕັ້ງຢູ່ໃນສູນຂໍ້ມູນຂອງຕົນ. ແຕ່ໃນກໍລະນີນີ້, ທ່ານຕ້ອງຊື້ອຸປະກອນຂອງທ່ານເອງແລະຈ່າຍເງິນໃຫ້ກັບຜູ້ປະສົມປະສານສໍາລັບການຕັ້ງແລະ debugging ມັນ (ຖ້າບໍລິສັດບໍ່ມີພະແນກໄອທີຂອງຕົນເອງ). ໃນເວລາດຽວກັນ, ອຸປະກອນໃດກໍ່ລ້າສະໄຫມແລະກາຍເປັນບໍ່ສາມາດໃຊ້ໄດ້, ດັ່ງນັ້ນລູກຄ້າຖືກບັງຄັບໃຫ້ງົບປະມານສໍາລັບການຍົກລະດັບຮາດແວ.

ທາງເລືອກອື່ນສໍາລັບການນໍາໃຊ້ WAF ແມ່ນການປະຕິບັດຊອບແວ. ການແກ້ໄຂໄດ້ຖືກຕິດຕັ້ງເປັນ add-on ສໍາລັບບາງຊໍແວ (ຕົວຢ່າງ, ModSecurity ໄດ້ຖືກຕັ້ງຄ່າຢູ່ເທິງສຸດຂອງ Apache) ແລະເຮັດວຽກຢູ່ໃນເຄື່ອງແມ່ຂ່າຍດຽວກັນກັບມັນ. ຕາມກົດລະບຽບ, ການແກ້ໄຂດັ່ງກ່າວສາມາດຖືກນໍາໄປໃຊ້ທັງໃນເຄື່ອງແມ່ຂ່າຍທາງດ້ານຮ່າງກາຍແລະໃນຄລາວ. ຂໍ້ເສຍຂອງພວກເຂົາແມ່ນຄວາມສາມາດໃນການຂະຫຍາຍທີ່ຈໍາກັດແລະການສະຫນັບສະຫນູນຜູ້ຂາຍ.

ທາງເລືອກທີສາມແມ່ນການຕັ້ງຄ່າ WAF ຈາກເມຄ. ການແກ້ໄຂດັ່ງກ່າວແມ່ນສະຫນອງໃຫ້ໂດຍຜູ້ໃຫ້ບໍລິການຟັງເປັນບໍລິການສະຫມັກ. ບໍລິສັດບໍ່ຈໍາເປັນຕ້ອງຊື້ແລະກໍາຫນົດຄ່າຮາດແວພິເສດ; ວຽກງານເຫຼົ່ານີ້ຕົກຢູ່ໃນບ່າຂອງຜູ້ໃຫ້ບໍລິການ. ຈຸດສໍາຄັນແມ່ນວ່າ WAF ຟັງທີ່ທັນສະໄຫມບໍ່ໄດ້ຫມາຍເຖິງການເຄື່ອນຍ້າຍຊັບພະຍາກອນໄປສູ່ເວທີຂອງຜູ້ໃຫ້ບໍລິການ. ເວັບໄຊດັ່ງກ່າວສາມາດຖືກນຳໃຊ້ໄດ້ທຸກບ່ອນ, ເຖິງແມ່ນວ່າຢູ່ໃນສະຖານທີ່.

ພວກເຮົາຈະອະທິບາຍຕື່ມອີກວ່າ ເປັນຫຍັງຜູ້ຄົນຈຶ່ງນັບມື້ນັບເບິ່ງຫາຄລາວ WAF.

ສິ່ງທີ່ WAF ສາມາດເຮັດໄດ້ໃນຄລາວ

ໃນແງ່ຂອງຄວາມສາມາດດ້ານເຕັກໂນໂລຢີ:

• ຜູ້ໃຫ້ບໍລິການຮັບຜິດຊອບຕໍ່ການປັບປຸງ. WAF ແມ່ນສະຫນອງໃຫ້ໂດຍການສະຫມັກ, ດັ່ງນັ້ນຜູ້ໃຫ້ບໍລິການຕິດຕາມຄວາມກ່ຽວຂ້ອງຂອງການປັບປຸງແລະໃບອະນຸຍາດ. ການປັບປຸງຄວາມກັງວົນບໍ່ພຽງແຕ່ຊອບແວ, ແຕ່ຍັງຮາດແວ. ຜູ້ໃຫ້ບໍລິການຍົກລະດັບ server park ແລະຮັກສາມັນ. ມັນຍັງຮັບຜິດຊອບສໍາລັບການດຸ່ນດ່ຽງການໂຫຼດແລະການຊ້ໍາຊ້ອນ. ຖ້າເຄື່ອງແມ່ຂ່າຍ WAF ລົ້ມເຫລວ, ການຈະລາຈອນຈະຖືກໂອນໄປຫາເຄື່ອງອື່ນທັນທີ. ການແຈກຢາຍການຈະລາຈອນທີ່ສົມເຫດສົມຜົນຊ່ວຍໃຫ້ທ່ານສາມາດຫຼີກເວັ້ນສະຖານະການໃນເວລາທີ່ໄຟວໍເຂົ້າໄປໃນໂຫມດເປີດລົ້ມເຫລວ - ມັນບໍ່ສາມາດຮັບມືກັບການໂຫຼດແລະຢຸດການຮ້ອງຂໍການກັ່ນຕອງ.
• ການ​ແກ້​ໄຂ​ສະ​ເໝືອນ. ແຜ່ນແພສະເໝືອນຈຳກັດການເຂົ້າເຖິງສ່ວນທີ່ຖືກລະເມີດຂອງແອັບພລິເຄຊັນ ຈົນກວ່າຜູ້ພັດທະນາຈະປິດຊ່ອງໂຫວ່ດັ່ງກ່າວ. ດັ່ງນັ້ນ, ລູກຄ້າຂອງຜູ້ໃຫ້ບໍລິການຄລາວໄດ້ຮັບໂອກາດທີ່ຈະລໍຖ້າຢ່າງສະຫງົບຈົນກ່ວາຜູ້ສະຫນອງຂອງຊອບແວນີ້ຫຼືຊອບແວທີ່ເຜີຍແຜ່ "patches" ຢ່າງເປັນທາງການ. ການເຮັດສິ່ງນີ້ໄວເທົ່າທີ່ຈະໄວໄດ້ແມ່ນບູລິມະສິດສໍາລັບຜູ້ສະຫນອງຊອບແວ. ຕົວຢ່າງ, ໃນເວທີ Wallarm, ໂມດູນຊອບແວແຍກຕ່າງຫາກແມ່ນຮັບຜິດຊອບສໍາລັບການ patching virtual. ຜູ້ບໍລິຫານສາມາດເພີ່ມການສະແດງອອກປົກກະຕິແບບກຳນົດເອງເພື່ອບລັອກການຮ້ອງຂໍທີ່ເປັນອັນຕະລາຍ. ລະບົບເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຫມາຍບາງຄໍາຮ້ອງຂໍດ້ວຍທຸງ "ຂໍ້ມູນລັບ". ຫຼັງຈາກນັ້ນ, ຕົວກໍານົດການຂອງພວກມັນຖືກປິດບັງ, ແລະພາຍໃຕ້ສະຖານະການທີ່ບໍ່ມີພວກມັນຖືກສົ່ງອອກຈາກພື້ນທີ່ເຮັດວຽກຂອງໄຟວໍ.
• ເຄື່ອງສະແກນບໍລິເວນອ້ອມຕົວ ແລະຈຸດອ່ອນ. ນີ້ອະນຸຍາດໃຫ້ທ່ານສາມາດກໍານົດຂອບເຂດເຄືອຂ່າຍຂອງໂຄງສ້າງພື້ນຖານ IT ເປັນເອກະລາດໂດຍນໍາໃຊ້ຂໍ້ມູນຈາກການສອບຖາມ DNS ແລະໂປໂຕຄອນ WHOIS. ຫຼັງຈາກນັ້ນ, WAF ອັດຕະໂນມັດການວິເຄາະການບໍລິການທີ່ເຮັດວຽກພາຍໃນ perimeter (ປະຕິບັດການສະແກນພອດ). Firewall ສາມາດກວດຫາຊ່ອງໂຫວ່ທຸກປະເພດທົ່ວໄປ - SQLi, XSS, XXE, ແລະອື່ນໆ - ແລະການກໍານົດຂໍ້ຜິດພາດໃນການຕັ້ງຄ່າຊອບແວ, ຕົວຢ່າງ, ການເຂົ້າເຖິງ Git ແລະ BitBucket repositories ທີ່ບໍ່ອະນຸຍາດແລະການໂທຫາ Elasticsearch, Redis, MongoDB.
• ການໂຈມຕີແມ່ນຕິດຕາມໂດຍຊັບພະຍາກອນຟັງ. ຕາມກົດລະບຽບ, ຜູ້ໃຫ້ບໍລິການຟັງມີຈໍານວນຂະຫນາດໃຫຍ່ຂອງພະລັງງານຄອມພິວເຕີ້. ນີ້ອະນຸຍາດໃຫ້ທ່ານສາມາດວິເຄາະໄພຂົ່ມຂູ່ທີ່ມີຄວາມຖືກຕ້ອງສູງແລະຄວາມໄວ. ກຸ່ມຂອງ nodes ການກັ່ນຕອງຖືກນໍາໄປໃຊ້ຢູ່ໃນຄລາວ, ໂດຍຜ່ານການຈະລາຈອນທັງຫມົດຜ່ານ. nodes ເຫຼົ່ານີ້ສະກັດກັ້ນການໂຈມຕີໃນຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ແລະສົ່ງສະຖິຕິໄປຫາສູນການວິເຄາະ. ມັນໃຊ້ລະບົບການຮຽນຮູ້ເຄື່ອງຈັກເພື່ອອັບເດດກົດລະບຽບການບລັອກສຳລັບທຸກແອັບພລິເຄຊັນທີ່ມີການປ້ອງກັນ. ການປະຕິບັດໂຄງການດັ່ງກ່າວແມ່ນສະແດງຢູ່ໃນຮູບ. 4. ກົດລະບຽບຄວາມປອດໄພທີ່ປັບແຕ່ງດັ່ງກ່າວຈະຫຼຸດຜ່ອນຈໍານວນສັນຍານເຕືອນໄຟວໍທີ່ບໍ່ຖືກຕ້ອງ.

ໃນປັດຈຸບັນເລັກນ້ອຍກ່ຽວກັບຄຸນລັກສະນະຂອງ cloud WAFs ໃນແງ່ຂອງບັນຫາການຈັດຕັ້ງແລະການຄຸ້ມຄອງ:

• ການຫັນປ່ຽນໄປສູ່ OpEx. ໃນກໍລະນີຂອງ cloud WAFs, ຄ່າໃຊ້ຈ່າຍໃນການປະຕິບັດຈະເປັນສູນ, ເນື່ອງຈາກຮາດແວແລະໃບອະນຸຍາດທັງຫມົດໄດ້ຖືກຈ່າຍໃຫ້ໂດຍຜູ້ໃຫ້ບໍລິການແລ້ວ; ການຈ່າຍເງິນສໍາລັບການບໍລິການແມ່ນເຮັດໂດຍການສະຫມັກ.
• ແຜນການອັດຕາພາສີທີ່ແຕກຕ່າງກັນ. ຜູ້ໃຊ້ບໍລິການຄລາວສາມາດເປີດຫຼືປິດຕົວເລືອກເພີ່ມເຕີມໄດ້ໄວ. ຟັງຊັນຕ່າງໆຖືກຈັດການຈາກແຜງຄວບຄຸມດຽວ, ເຊິ່ງຍັງປອດໄພ. ມັນຖືກເຂົ້າເຖິງຜ່ານ HTTPS, ບວກກັບກົນໄກການກວດສອບສອງປັດໃຈໂດຍອີງໃສ່ TOTP (Time-based One-Time Password Algorithm) protocol.
• ການເຊື່ອມຕໍ່ຜ່ານ DNS. ທ່ານສາມາດປ່ຽນ DNS ຕົວທ່ານເອງແລະກໍານົດເສັ້ນທາງເຄືອຂ່າຍ. ເພື່ອແກ້ໄຂບັນຫາເຫຼົ່ານີ້ບໍ່ຈໍາເປັນຕ້ອງມີການຈ້າງແລະຝຶກອົບຮົມຜູ້ຊ່ຽວຊານສ່ວນບຸກຄົນ. ຕາມກົດລະບຽບ, ການສະຫນັບສະຫນູນດ້ານວິຊາການຂອງຜູ້ໃຫ້ບໍລິການສາມາດຊ່ວຍໃນການຕິດຕັ້ງ.

ເທກໂນໂລຍີ WAF ໄດ້ພັດທະນາຈາກໄຟວໍທີ່ງ່າຍດາຍທີ່ມີກົດລະບຽບຂອງຫົວໂປ້ໄປຫາລະບົບປ້ອງກັນທີ່ສັບສົນດ້ວຍລະບົບການຮຽນຮູ້ເຄື່ອງຈັກ. ແອັບພລິເຄຊັນ firewalls ປະຈຸບັນສະເໜີໃຫ້ຄຸນສົມບັດຫຼາກຫຼາຍຊະນິດທີ່ຍາກທີ່ຈະປະຕິບັດໃນຊຸມປີ 90s. ໃນຫຼາຍວິທີ, ການປະກົດຕົວຂອງຫນ້າທີ່ໃຫມ່ໄດ້ກາຍເປັນຄວາມເປັນໄປໄດ້ຍ້ອນເຕັກໂນໂລຢີຟັງ. ວິທີແກ້ໄຂ WAF ແລະອົງປະກອບຂອງພວກມັນຍັງສືບຕໍ່ພັດທະນາ. ຄືກັນກັບຂົງເຂດອື່ນໆຂອງຄວາມປອດໄພຂໍ້ມູນ.

ຂໍ້ຄວາມໄດ້ຖືກກະກຽມໂດຍ Alexander Karpuzikov, ຜູ້ຈັດການດ້ານການພັດທະນາຜະລິດຕະພັນຄວາມປອດໄພຂອງຂໍ້ມູນຂອງຜູ້ໃຫ້ບໍລິການຟັງ #CloudMTS.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com