ProHoster > Blogs > Administrācija > MÅ«sdienu lietojumprogrammu droŔības sistēmu (WAF) funkcionalitātei vajadzētu bÅ«t daudz plaŔākai nekā ievainojamÄ«bu sarakstam no OWASP Top 10

MÅ«sdienu lietojumprogrammu droŔības sistēmu (WAF) funkcionalitātei vajadzētu bÅ«t daudz plaŔākai nekā ievainojamÄ«bu sarakstam no OWASP Top 10

retrospektīvs

Lietojumprogrammu kiberdraudu mērogs, sastāvs un sastāvs strauji attÄ«stās. Daudzus gadus lietotāji ir piekļuvuÅ”i tÄ«mekļa lietojumprogrammām internetā, izmantojot populāras tÄ«mekļa pārlÅ«kprogrammas. Jebkurā laikā bija nepiecieÅ”ams atbalstÄ«t 2-5 tÄ«mekļa pārlÅ«kprogrammas, un tÄ«mekļa lietojumprogrammu izstrādes un testÄ“Å”anas standartu kopums bija diezgan ierobežots. Piemēram, gandrÄ«z visas datu bāzes tika veidotas, izmantojot SQL. Diemžēl pēc neilga laika hakeri iemācÄ«jās izmantot tÄ«mekļa lietojumprogrammas, lai nozagtu, dzēstu vai mainÄ«tu datus. Viņi ieguva nelikumÄ«gu piekļuvi un ļaunprātÄ«gi izmantoja lietojumprogrammu iespējas, izmantojot dažādas metodes, tostarp lietojumprogrammu lietotāju maldināŔanu, injekciju un attālinātu koda izpildi. DrÄ«z tirgÅ« parādÄ«jās komerciāli tÄ«mekļa lietojumprogrammu droŔības rÄ«ki, ko sauc par tÄ«mekļa lietojumprogrammu ugunsmÅ«riem (WAF), un sabiedrÄ«ba reaģēja, izveidojot atvērtu tÄ«mekļa lietojumprogrammu droŔības projektu, Open Web Application Security Project (OWASP), lai definētu un uzturētu izstrādes standartus un metodoloÄ£ijas. droÅ”as lietojumprogrammas.

Lietojumprogrammu pamata aizsardzība

OWASP Top 10 saraksts ir sākumpunkts lietojumprogrammu aizsardzÄ«bai, un tajā ir saraksts ar visbÄ«stamākajiem draudiem un nepareizām konfigurācijām, kas var izraisÄ«t lietojumprogrammu ievainojamÄ«bas, kā arÄ« taktikas uzbrukumu noteikÅ”anai un pārvarÄ“Å”anai. OWASP Top 10 ir atzÄ«ts etalons lietojumprogrammu kiberdroŔības nozarē visā pasaulē, un tas nosaka galveno iespēju sarakstu, kurām vajadzētu bÅ«t tÄ«mekļa lietojumprogrammu droŔības (WAF) sistēmai.

Turklāt WAF funkcionalitātē ir jāņem vērā citi izplatÄ«ti uzbrukumi tÄ«mekļa lietojumprogrammām, tostarp starpvietņu pieprasÄ«juma viltoÅ”ana (CSRF), klikŔķu uzlaupÄ«Å”ana, tÄ«mekļa nokasÄ«Å”ana un failu iekļauÅ”ana (RFI/LFI).

Draudi un izaicinājumi mūsdienu lietojumprogrammu droŔības nodroŔināŔanai

MÅ«sdienās ne visas lietojumprogrammas ir ieviestas tÄ«kla versijā. Ir mākoņa lietotnes, mobilās lietotnes, API un jaunākajās arhitektÅ«rās pat pielāgotas programmatÅ«ras funkcijas. Visi Å”ie lietojumprogrammu veidi ir jāsinhronizē un jākontrolē, jo tie veido, pārveido un apstrādā mÅ«su datus. LÄ«dz ar jaunu tehnoloÄ£iju un paradigmu parādÄ«Å”anos visos lietojumprogrammu dzÄ«ves cikla posmos rodas jaunas sarežģītÄ«bas un izaicinājumi. Tas ietver izstrādes un operāciju integrāciju (DevOps), konteinerus, lietu internetu (IoT), atvērtā pirmkoda rÄ«kus, API un daudz ko citu.

Izkliedētā lietojumprogrammu izvietoÅ”ana un tehnoloÄ£iju daudzveidÄ«ba rada sarežģītus un sarežģītus izaicinājumus ne tikai informācijas droŔības profesionāļiem, bet arÄ« droŔības risinājumu piegādātājiem, kuri vairs nevar paļauties uz vienotu pieeju. Lietojumprogrammu droŔības pasākumos ir jāņem vērā to uzņēmējdarbÄ«bas specifika, lai novērstu viltus rezultātus un pakalpojumu kvalitātes traucējumus lietotājiem.

Hakeru galvenais mērÄ·is parasti ir vai nu zagt datus, vai traucēt pakalpojumu pieejamÄ«bu. Uzbrucēji arÄ« gÅ«st labumu no tehnoloÄ£iju attÄ«stÄ«bas. Pirmkārt, jaunu tehnoloÄ£iju attÄ«stÄ«ba rada vairāk potenciālu nepilnÄ«bu un ievainojamÄ«bu. Otrkārt, viņu arsenālā ir vairāk instrumentu un zināŔanu, lai apietu tradicionālos droŔības pasākumus. Tas ievērojami palielina tā saukto ā€œuzbrukuma virsmuā€ un organizāciju pakļautÄ«bu jauniem riskiem. DroŔības politikai ir pastāvÄ«gi jāmaina, reaģējot uz izmaiņām tehnoloÄ£ijā un lietojumprogrammās.

Tādējādi lietojumprogrammas ir jāaizsargā no arvien lielāka uzbrukuma metožu un avotu daudzveidÄ«bas, un automatizēti uzbrukumi ir jācÄ«nās reāllaikā, pamatojoties uz apzinātiem lēmumiem. Rezultāts ir palielinātas darÄ«jumu izmaksas un roku darbs, kā arÄ« novājināta droŔības pozÄ«cija.

1. uzdevums: robotprogrammatūras pārvaldība

Vairāk nekā 60% interneta trafika Ä£enerē robotprogrammatÅ«ra, no kurām puse ir ā€œsliktāā€ trafika (saskaņā ar Radware droŔības ziņojums). Organizācijas iegulda lÄ«dzekļus tÄ«kla jaudas palielināŔanā, bÅ«tÄ«bā apkalpojot fiktÄ«vu slodzi. PrecÄ«zi noŔķirot reālo lietotāju trafiku un robotu trafiku, kā arÄ« ā€œlabosā€ robotus (piemēram, meklētājprogrammas un cenu salÄ«dzināŔanas pakalpojumus) un ā€œsliktosā€ robotus, var ievērojami ietaupÄ«t izmaksas un uzlabot pakalpojumu kvalitāti lietotājiem.

Boti nepadarÄ«s Å”o uzdevumu vieglu, un tie var atdarināt reālu lietotāju uzvedÄ«bu, apiet CAPTCHA un citus ŔķērŔļus. Turklāt uzbrukumos, izmantojot dinamiskas IP adreses, aizsardzÄ«ba, kuras pamatā ir IP adreÅ”u filtrÄ“Å”ana, kļūst neefektÄ«va. Bieži vien atklātā pirmkoda izstrādes rÄ«ki (piemēram, Phantom JS), kas var apstrādāt klienta puses JavaScript, tiek izmantoti, lai uzsāktu brutāla spēka uzbrukumus, akreditācijas datu papildināŔanas uzbrukumus, DDoS uzbrukumus un automatizētus robotu uzbrukumus.

Lai efektÄ«vi pārvaldÄ«tu robotprogrammatÅ«ru trafiku, ir nepiecieÅ”ama unikāla tā avota identifikācija (piemēram, pirkstu nospiedums). Tā kā robotprogrammatÅ«ras uzbrukums Ä£enerē vairākus ierakstus, tā pirkstu nospiedums ļauj tam identificēt aizdomÄ«gas darbÄ«bas un pieŔķirt punktus, pamatojoties uz kuriem lietojumprogrammu aizsardzÄ«bas sistēma pieņem pārdomātu lēmumu ā€” bloķēt/atļaut ā€” ar minimālu viltus pozitÄ«vu rezultātu skaitu.

MÅ«sdienu lietojumprogrammu droŔības sistēmu (WAF) funkcionalitātei vajadzētu bÅ«t daudz plaŔākai nekā ievainojamÄ«bu sarakstam no OWASP Top 10

2. izdevums: API aizsardzÄ«ba

Daudzas lietojumprogrammas apkopo informāciju un datus no pakalpojumiem, ar kuriem tās mijiedarbojas, izmantojot API. Pārsūtot sensitīvus datus, izmantojot API, vairāk nekā 50% organizāciju ne validē, ne neaizsargā API, lai atklātu kiberuzbrukumus.

API izmantoÅ”anas piemēri:

  • Lietu interneta (IoT) integrācija
  • MaŔīnu komunikācija
  • Vides bez serveriem
  • Mobilās lietotnes
  • Uz notikumiem balstÄ«tas lietojumprogrammas

API ievainojamÄ«bas ir lÄ«dzÄ«gas lietojumprogrammu ievainojamÄ«bām un ietver injekcijas, protokolu uzbrukumus, parametru manipulācijas, novirzÄ«Å”anu un robotu uzbrukumus. ÄŖpaÅ”as API vārtejas palÄ«dz nodroÅ”ināt saderÄ«bu starp lietojumprogrammu pakalpojumiem, kas mijiedarbojas, izmantojot API. Tomēr tie nenodroÅ”ina pilnÄ«gu lietojumprogrammu droŔību, piemēram, WAF var ar bÅ«tiskiem droŔības rÄ«kiem, piemēram, HTTP galvenes parsÄ“Å”anu, 7. lÄ«meņa piekļuves kontroles sarakstu (ACL), JSON/XML lietderÄ«gās slodzes parsÄ“Å”anu un pārbaudi, kā arÄ« aizsardzÄ«bu pret visām ievainojamÄ«bām no OWASP Top 10 saraksts. Tas tiek panākts, pārbaudot galvenās API vērtÄ«bas, izmantojot pozitÄ«vos un negatÄ«vos modeļus.

3. izdevums: pakalpojuma atteikums

Vecs uzbrukuma vektors, pakalpojuma atteikums (DoS), turpina pierādÄ«t savu efektivitāti uzbrukumos lietojumprogrammām. Uzbrucējiem ir virkne veiksmÄ«gu paņēmienu lietojumprogrammu pakalpojumu pārtraukÅ”anai, tostarp HTTP vai HTTPS plÅ«di, lēni un lēni uzbrukumi (piemēram, SlowLoris, LOIC, Torshammer), uzbrukumi, izmantojot dinamiskas IP adreses, bufera pārpilde, brutāla spēka uzbrukumi un daudzi citi. . LÄ«dz ar lietu interneta attÄ«stÄ«bu un tam sekojoÅ”o IoT robottÄ«klu parādÄ«Å”anos uzbrukumi lietojumprogrammām ir kļuvuÅ”i par galveno DDoS uzbrukumu uzmanÄ«bu. Lielākā daļa statusu WAF var apstrādāt tikai ierobežotu slodzes daudzumu. Tomēr viņi var pārbaudÄ«t HTTP/S trafika plÅ«smas un noņemt uzbrukuma trafiku un ļaunprātÄ«gos savienojumus. Kad uzbrukums ir identificēts, nav jēgas atkārtoti Ŕķērsot Å”o satiksmi. Tā kā WAF spēja atvairÄ«t uzbrukumus ir ierobežota, ir nepiecieÅ”ams papildu risinājums tÄ«kla perimetrā, lai automātiski bloķētu nākamās "sliktās" paketes. Å im droŔības scenārijam abiem risinājumiem ir jāspēj sazināties vienam ar otru, lai apmainÄ«tos ar informāciju par uzbrukumiem.

MÅ«sdienu lietojumprogrammu droŔības sistēmu (WAF) funkcionalitātei vajadzētu bÅ«t daudz plaŔākai nekā ievainojamÄ«bu sarakstam no OWASP Top 10
1. att. VisaptveroÅ”a tÄ«kla un lietojumprogrammu aizsardzÄ«bas organizācija, izmantojot Radware risinājumu piemēru

4. izaicinājums: nepārtraukta aizsardzība

Lietojumprogrammas bieži mainās. Izstrādes un ievieÅ”anas metodoloÄ£ijas, piemēram, slÄ«doÅ”ie atjauninājumi, nozÄ«mē, ka modifikācijas notiek bez cilvēka iejaukÅ”anās vai kontroles. Šādā dinamiskā vidē ir grÅ«ti uzturēt adekvāti funkcionējoÅ”as droŔības politikas bez liela skaita viltus pozitÄ«vu rezultātu. Mobilās lietojumprogrammas tiek atjauninātas daudz biežāk nekā tÄ«mekļa lietojumprogrammas. TreÅ”o puÅ”u lietojumprogrammas var mainÄ«ties bez jÅ«su ziņas. Dažas organizācijas cenÅ”as panākt lielāku kontroli un redzamÄ«bu, lai izvairÄ«tos no iespējamiem riskiem. Tomēr tas ne vienmēr ir sasniedzams, un uzticamai lietojumprogrammu aizsardzÄ«bai ir jāizmanto maŔīnmācÄ«Å”anās spējas, lai ņemtu vērā un vizualizētu pieejamos resursus, analizētu iespējamos draudus un izveidotu un optimizētu droŔības politikas lietojumprogrammu modifikāciju gadÄ«jumā.

Atzinumi

Tā kā lietotnēm ir arvien lielāka nozÄ«me ikdienas dzÄ«vē, tās kļūst par galveno hakeru mērÄ·i. Iespējamās atlÄ«dzÄ«bas noziedzniekiem un iespējamie zaudējumi uzņēmumiem ir milzÄ«gi. Lietojumprogrammu droŔības uzdevuma sarežģītÄ«bu nevar pārvērtēt, ņemot vērā lietojumprogrammu un draudu skaitu un variācijas.

Par laimi, mēs esam brÄ«dÄ«, kad mākslÄ«gais intelekts var nākt mums palÄ«gā. Uz maŔīnmācÄ«bām balstÄ«ti algoritmi nodroÅ”ina reāllaika, adaptÄ«vu aizsardzÄ«bu pret vismodernākajiem kiberdraudiem, kas vērsti uz lietojumprogrammām. Tie arÄ« automātiski atjaunina droŔības politikas, lai aizsargātu tÄ«mekļa, mobilās un mākoņa lietojumprogrammas un API, bez viltus pozitÄ«viem rezultātiem.

Ir grÅ«ti droÅ”i paredzēt, kādi bÅ«s nākamās paaudzes lietojumprogrammu kiberdraudi (iespējams, arÄ« uz maŔīnmācÄ«bas pamata). Taču organizācijas noteikti var veikt pasākumus, lai aizsargātu klientu datus, aizsargātu intelektuālo Ä«paÅ”umu un nodroÅ”inātu pakalpojumu pieejamÄ«bu ar lieliskām uzņēmējdarbÄ«bas priekÅ”rocÄ«bām.

Radware pētÄ«jumā un ziņojumā ir izklāstÄ«tas efektÄ«vas pieejas un metodes lietojumprogrammu droŔības nodroÅ”ināŔanai, galvenie uzbrukumu veidi un vektori, riska zonas un nepilnÄ«bas tÄ«mekļa lietojumprogrammu kiberaizsardzÄ«bā, kā arÄ« globālā pieredze un labākās prakses.TÄ«mekļa lietojumprogrammu droŔība digitāli savienotā pasaulē".

Avots: www.habr.com

Pievieno komentāru