I roto i a maatau korero o mua mo nga kaupapa kapua, ko matou , me pehea te tiaki i nga rauemi IT i roto i te kapua a te iwi me te aha e kore e tino pai nga wheori tuku iho mo enei kaupapa. I tenei pou, ka haere tonu te kaupapa mo te haumarutanga kapua me te korero mo te whanaketanga o te WAF me nga mea pai ake hei whiriwhiri: taputapu, rorohiko, kapua ranei.
He aha te WAF
Neke atu i te 75% o nga whakaeke hacker e whai ana ki nga whakaraeraetanga o nga tono tukutuku me nga paetukutuku: ko enei whakaeke kaore e kitea e nga hanganga haumaru korero me nga ratonga haumaru korero. Ko nga whakaraeraetanga i roto i nga tono paetukutuku ka mau i nga raru o te whakaraerae me te tinihanga o nga kaute kaiwhakamahi me nga raraunga whaiaro, kupuhipa, me nga nama kaari nama. I tua atu, ko nga whakaraeraetanga i roto i te paetukutuku ka waiho hei waahi urunga mo nga kaiwhaiwhai ki te whatunga umanga.
Ko te Paerewa Taupānga Tukutuku (WAF) he mata whakamarumaru e aukati ana i nga whakaeke ki runga i nga tono paetukutuku: werohia te SQL, te tuhi whakawhiti-pae, te mahi waehere mamao, te kaha kaha me te aukati whakamana. Tae atu ki nga whakaeke e whakamahi ana i nga whakaraeraetanga kore-ra. Ko nga papangaahi tono he whakamarumaru ma te aro turuki i nga ihirangi wharangi paetukutuku, tae atu ki te HTML, DHTML, me te CSS, me te tarai i nga tono HTTP/HTTPS kino pea.
He aha nga whakatau tuatahi?
Ko nga nganatanga tuatahi ki te hanga i tetahi Paeahi Taupānga Tukutuku i hoki mai i te timatanga o te 90s. Neke atu i te toru nga miihini e mohiotia ana i mahi i tenei mara. Ko te tuatahi ko te ahorangi pūtaiao rorohiko a Gene Spafford mai i te Whare Wananga o Purdue. I whakaahuahia e ia te hoahoanga o te papangaahi tono takawaenga me te whakaputa i te tau 1991 i roto i te pukapuka .
Ko te tuarua me te tuatoru ko nga tohunga mo te haumaru korero a William Cheswick me Marcus Ranum no Bell Labs. I whakawhanakehia e ratou tetahi o nga tauira papangaahi tono tuatahi. I tohatohahia e DEC - i tukuna te hua i raro i te ingoa SEAL (Secure External Access Link).
Engari ehara te SEAL i te otinga WAF katoa. He papangaahi whatunga matarohia me nga mahi matatau - te kaha ki te aukati i nga whakaeke i runga i te FTP me te RSH. Mo konei, ko te otinga WAF tuatahi i tenei ra ka kiia ko te hua o Perfecto Technologies (i muri mai ko Sanctum). I te tau 1999 ia Pūnaha AppShield. I taua wa, kei te whakawhanake a Perfecto Technologies i nga otinga whakamarumaru korero mo te e-tauhokohoko, a ko nga toa ipurangi te hunga whakarongo ki a raatau hua hou. I taea e AppShield te tātari i nga tono HTTP me te aukati i nga whakaeke i runga i nga kaupapa here haumarutanga korero hihiri.
I te wa ano ki a AppShield (i te tau 2002), ka puta te WAF puna tuwhera tuatahi. I riro ia . I hangaia me te whai ki te whakanui i nga hangarau WAF me te tautoko tonu e te hapori IT (kei konei ). Ko te ModSecurity te aukati i nga whakaeke i runga i nga tono i runga i te huinga paerewa o nga korero auau (waitohu) - nga taputapu mo te tirotiro i nga tono i runga i nga tauira - .
Ko te mutunga, ka taea e nga kaihanga te whakatutuki i ta raatau kaupapa - ka timata nga otinga WAF hou ki te maakete, tae atu ki nga mea i hangaia i runga i te kaupapa o ModSecurity.
E toru nga reanga he hitori
He tikanga ki te wehewehe i nga reanga e toru o nga punaha WAF, kua tipu ake me te whanaketanga o te hangarau.
Nga whakatupuranga tuatahi. Ka mahi me nga korero (me nga wetereo ranei). Kei roto i tenei ko ModSecurity. Ka rangahauhia e te kaiwhakarato punaha nga momo whakaeke i runga i nga tono me te whakaputa tauira e whakaahua ana i nga tono tika me nga tono kino. Ka tirohia e WAF enei rarangi ka whakatau he aha te mahi i roto i tetahi ahuatanga - ki te aukati i nga waka, kaore ranei.
Ko tetahi tauira o te rapunga i runga i nga korero auau ko te kaupapa kua whakahuatia ake nei puna tuwhera. Ko tetahi atu tauira - , he puna tuwhera ano hoki. He maha nga ngoikoretanga o nga punaha whai korero auau, ina koa, ka kitea he whakaraeraetanga hou, me hanga a ringa e te kaiwhakahaere etahi atu ture. I roto i te take o te hanganga IT nui-nui, tera pea he maha nga mano ture. He tino uaua te whakahaere i te maha o nga korero i ia wa, me te mea ka taea e te tirotiro i a raatau te whakaiti i nga mahi whatunga.
He nui hoki te reeti pai teka o nga korero auau. Ko te tohunga wetereo rongonui a Noam Chomsky i whakatakoto he whakarōpūtanga o nga wetereo i wehea e ia kia wha nga taumata o te uaua. E ai ki tenei whakarōpūtanga, ka taea e nga kii auau te whakaatu i nga ture paahi ahi kaore e uru ki nga rereke mai i te tauira. Ko te tikanga ka taea e nga kaiwhaiwhai te "pohehe" te WAF tuatahi. Ko tetahi tikanga ki te whawhai i tenei ko te taapiri i nga tohu motuhake ki nga tono tono kaore e pa ki te arorau o nga raraunga kino, engari ka takahi i te ture hainatanga.
Tau tuarua. Hei karo i nga take mahi me te tika o nga WAF, i whakawhanakehia nga papangaahi tono whakatipuranga tuarua. Inaianei kei a raatau nga kaitoro e mau ana ki te tautuhi i nga momo whakaeke (i runga i te HTML, JS, etc.). Ka mahi enei kaiporoporo me nga tohu motuhake e whakaahua ana i nga patai (hei tauira, taurangi, aho, unknown, tau). Ko nga raupapa tohu tohu kino ka tuu ki tetahi rarangi motuhake, ka tirohia e te punaha WAF i nga wa katoa. I whakaatuhia tuatahi tenei huarahi i te huihuinga Black Hat 2012 i te ahua o C/C++ , ka taea e koe te kite i nga werohanga SQL.
Ka whakatauritea ki nga WAF reanga tuatahi, ka tere ake nga parser motuhake. Heoi, kaore i whakatauhia e raatau nga uaua e pa ana ki te whirihora a-ringa i te punaha ka puta mai nga whakaeke kino hou.
Tuatahi whakatipuranga. Ko te whanaketanga i roto i te arorau rapunga reanga tuatoru ko te whakamahi i nga tikanga ako miihini e taea ai te kawe i te wetereo rapunga kia tata ki te tino wetereo SQL/HTML/JS o nga punaha kua tiakina. Ka taea e tenei arorau rapu te urutau i tetahi miihini Turing ki te kapi i nga wetereo recursively enumerable. I tua atu, i mua ko te mahi o te hanga miihini Turing urutau kaore i taea te whakaoti tae noa ki te whakaputanga o nga rangahau tuatahi mo nga miihini Turing neural.
Ko te ako miihini e whakarato ana i te kaha ahurei ki te urutau i tetahi wetereo ki te kapi i tetahi momo whakaeke me te kore e hanga a-ringa i nga raarangi hainatanga e hiahiatia ana i roto i te rapunga reanga tuatahi, me te kore e whakawhanake i nga tohu tohu / parsers hou mo nga momo whakaeke hou penei i te Memcached, Redis, Cassandra, SSRF werohanga. , e hiahiatia ana e te tikanga whakatipuranga tuarua.
Ma te whakakotahi i nga reanga e toru o te arorau rapunga, ka taea e tatou te tuhi hoahoa hou e tohuhia ana te reanga tuatoru o te kitenga e te whakahuahua whero (Whakaahua 3). Kei roto i tenei reanga tetahi o nga otinga e whakatinanahia ana e matou i roto i te kapua me Onsek, te kaiwhakawhanake o te papa mo te whakamarumaru urutau o nga tono paetukutuku me te Wallarm API.
Ko te arorau rapunga inaianei ka whakamahi i nga urupare mai i te tono ki te whakatika i a ia ano. I roto i te ako miihini, ka kiia tenei kowhiti urupare he "whakakaha." Ko te tikanga, he kotahi, neke atu ranei nga momo whakakaha penei:
- Te tātaritanga o te whanonga whakautu tono (hauha)
- Matawai/fuzzer (hohe)
- Ripoata i nga konae/nga tikanga haukoti/mahanga (i muri i te meka)
- ā-ringa (kua tautuhia e te kaitirotiro)
Ko te mutunga mai, ko te arorau rapunga reanga tuatoru e aro ana ki te take nui o te tika. I tenei wa ka taea te karo i nga painga teka me nga kino kino, engari ki te kite i nga kino pono pono, penei i te kitenga o te whakamahi huānga whakahau SQL i roto i te Paewhiri Mana, te utaina tauira whaarangi paetukutuku, nga tono AJAX e pa ana ki nga hapa JavaScript, me etahi atu.
I muri mai, ka whakaarohia e matou nga kaha hangarau o nga momo waahanga whakatinanatanga WAF.
Pūmārō, pūmanawa, kapua ranei - he aha te whiriwhiri?
Ko tetahi o nga whiringa mo te whakatinana i nga papangaahi tono he otinga taputapu. Ko enei punaha he taputapu rorohiko motuhake e whakauruhia ana e tetahi kamupene ki roto i tana pokapū raraunga. Engari i tenei keehi, me hoko koe i au ake taputapu me te utu moni ki nga kaiwhakauru mo te whakatuu me te patuiro (mehemea kaore he tari IT a te kamupene). I te wa ano, kua tawhito nga taputapu ka kore e taea te whakamahi, na reira ka akiakihia nga kaihoko ki te putea mo nga whakahoutanga taputapu.
Ko tetahi atu whiringa mo te tuku i te WAF he whakatinanatanga rorohiko. Kua whakauruhia te otinga hei taapiri mo etahi rorohiko (hei tauira, kua whirihorahia a ModSecurity ki runga ake o Apache) ka rere ki runga i te tūmau kotahi me taua mea. Ka rite ki te tikanga, ka taea te tuku i enei otinga ki runga i te tūmau tinana me te kapua. Ko o raatau ngoikoretanga he iti te tauine me te tautoko a te kaihoko.
Ko te whiringa tuatoru ko te whakatu WAF mai i te kapua. Ko enei otinga ka tukuna e nga kaiwhakarato kapua hei ratonga ohaurunga. Kaore te kamupene e hiahia ki te hoko me te whirihora i nga taputapu motuhake, ka taka enei mahi ki runga i nga pokohiwi o te kaiwhakarato ratonga. Ko tetahi mea nui ko te WAF kapua hou e kore e kii i te heke o nga rauemi ki te papa o te kaiwhakarato. Ka taea te tuku i te waahi ki nga waahi katoa, ahakoa i runga i te waahi.
Ka whakamaarama atu ano he aha te tangata e titiro whakamua ana ki te kapua WAF.
He aha te mahi a WAF i te kapua
Mo nga kaha hangarau:
- Ko te kaiwhakarato te kawenga mo nga whakahou. Ka whakaratohia te WAF ma te ohaurunga, na te kaiwhakarato ratonga e aro turuki i te whaitake o nga whakahou me nga raihana. Ko nga whakahoutanga e pa ana ki nga rorohiko anake, engari ki nga taputapu. Ka whakamohoa te kaiwhakarato i te papa tuumau me te pupuri. Kei a ia ano te kawenga mo te whakataurite kawenga me te whakaheke. Ki te rahua te tūmau WAF, ka tukuna tonu te waka ki tētahi atu mihini. Ko te tohatoha tika o nga waka ka taea e koe te karo i nga ahuatanga ka uru mai te paahi ahi ki te aratau tuwhera kore - kaore e taea e ia te whakatutuki i te kawenga me te aukati i nga tono tātari.
- Papaki mariko. Ko nga papanga mariko e aukati ana i te uru ki nga waahanga kua taupatupatuhia o te tono kia kati ra ano te kaiwhakawhanake i te whakaraeraetanga. Ko te hua o tenei, ka whai waahi te kaihoko o te kaiwhakarato kapua ki te tatari marie kia tukuna e te kaiwhakarato o tenei rorohiko ranei nga "patch" mana. Ko te mahi tere i tenei mea he kaupapa matua mo te kaiwhakarato rorohiko. Hei tauira, i roto i te papaaapapa Wallarm, ko tetahi waahanga rorohiko motuhake te kawenga mo te papaki mariko. Ka taea e te kaiwhakahaere te taapiri i nga korero ritenga mo te aukati i nga tono kino. Ka taea e te punaha te tohu i etahi tono me te haki "Raraunga Matatapu". Katahi ka hunahia o raatau tawhā, karekau ka tukuna ki waho o te waahi mahi papaahi.
- Paenga-a-roto me te matawai whakaraerae. Ma tenei ka taea e koe te whakatau takitahi i nga rohe whatunga o te hanganga IT ma te whakamahi i nga raraunga mai i nga patai DNS me te kawa WHOIS. Muri iho, ka tātari aunoa a WAF i nga ratonga e rere ana i roto i te paenga (ka mahi matawai tauranga). Ka taea e te papangaahi te kite i nga momo whakaraeraetanga noa - SQLi, XSS, XXE, me etahi atu - me te tautuhi i nga hapa i roto i te whirihoranga rorohiko, hei tauira, te uru kore mana ki nga putunga Git me BitBucket me nga waea kore ingoa ki Elasticsearch, Redis, MongoDB.
- Ka aro turukihia nga whakaeke e nga rauemi kapua. Hei tikanga, he nui te mana rorohiko o nga kaiwhakarato kapua. Ma tenei ka taea e koe te tarai i nga riri me te tino tika me te tere. He kahui node tātari ka tukuna ki te kapua, ka haere katoa nga waka. Ko enei pona ka aukati i nga whakaeke ki nga tono paetukutuku me te tuku tatauranga ki te Whare Taatauranga. Ka whakamahia e ia nga miihini ako miihini hei whakahou i nga ture aukati mo nga tono whakamarumaru katoa. Ko te whakatinanatanga o taua kaupapa e whakaatuhia ana i te Fig. 4. Ko enei ture haumarutanga kua whakaritea ka whakaitihia te maha o nga puoho paahi ahi teka.
Inaianei he iti mo nga ahuatanga o nga WAF kapua mo nga take whakahaere me te whakahaere:
- Te whakawhiti ki te OpEx. Mo nga WAF kapua, ka kore te utu mo te whakatinanatanga, na te mea kua utua katoatia nga taputapu me nga raihana e te kaiwhakarato; ko te utu mo te ratonga ka mahia ma te ohaurunga.
- Nga mahere utu rereke. Ka taea e te kaiwhakamahi ratonga kapua tere te whakahohe, te whakakore ranei i etahi atu whiringa. Ka whakahaerehia nga mahi mai i te paewhiri mana kotahi, he haumaru hoki. Ka uru atu ma te HTTPS, me te mea he tikanga whakamotuhēhēnga-rua i runga i te kawa TOTP (Waatea Kupuhipa Kotahi-Wa)
- Hononga mā DNS. Ka taea e koe te huri i a DNS me te whirihora i te ararere whatunga. Hei whakaoti i enei raruraru kaore he take ki te kimi me te whakangungu i nga tohunga takitahi. Hei tikanga, ka taea e te tautoko hangarau a te kaiwhakarato te awhina i te tatūnga.
Kua tipu nga hangarau WAF mai i nga papangaahi ngawari me nga ture o te koromatua ki nga punaha whakamarumaru uaua me nga huringa ako miihini. Inaianei ka tukuna e nga papangaahi tono te whānuitanga o nga ahuatanga i uaua ki te whakatinana i nga tau 90. He maha nga huarahi, ka taea te puta mai o nga mahi hou na nga hangarau kapua. Ko nga otinga WAF me o raatau waahanga kei te tipu tonu. He rite tonu ki etahi atu waahanga o te haumaru korero.
Ko te tuhinga na Alexander Karpuzikov, kaiwhakahaere whanaketanga hua haumaru korero i te kaiwhakarato kapua #CloudMTS.
Source: will.com