Еволуцијата на заштитниот ѕид на веб-апликации: од заштитен ѕид до системи за заштита базирани на облак со машинско учење

Во нашиот претходен материјал за облак теми, ние кажа, како да се заштитат ИТ ресурсите во јавниот облак и зошто традиционалните антивируси не се целосно соодветни за овие цели. Во овој пост, ќе ја продолжиме темата за безбедноста на облакот и ќе зборуваме за еволуцијата на WAF и што е подобро да се избере: хардвер, софтвер или облак. 

Што е WAF

Повеќе од 75% од хакерските напади се насочени кон ранливости на веб-апликациите и веб-локациите: таквите напади обично се невидливи за инфраструктурата за безбедност на информации и службите за безбедност на информации. Ранливостите во веб-апликациите, пак, носат ризик од компромис и измама на кориснички сметки и лични податоци, лозинки и броеви на кредитни картички. Дополнително, ранливостите на веб-страницата служат како влезна точка за напаѓачите во корпоративната мрежа.

Заштитниот ѕид на веб-апликации (WAF) е заштитен екран што ги блокира нападите на веб-апликациите: инјектирање SQL, скриптирање меѓу страници, далечинско извршување на код, брутална сила и бајпас на авторизација. Вклучувајќи ги и нападите кои ги искористуваат пропустите на нула-ден. Заштитните ѕидови на апликациите обезбедуваат заштита преку следење на содржината на веб-страницата, вклучувајќи HTML, DHTML и CSS, и филтрирање на потенцијално злонамерни HTTP/HTTPS барања.

Кои беа првите одлуки?

Првите обиди да се создаде заштитен ѕид за веб-апликации беа направени во раните 90-ти. Познато е дека најмалку тројца инженери работеле на ова поле. Првиот е професорот по компјутерски науки Џин Спафорд од Универзитетот Пердју. Тој ја опиша архитектурата на заштитниот ѕид на апликацијата за прокси и ја објави во 1991 година во книгата "UNIX безбедност во пракса".

Вториот и третиот беа специјалистите за информациска безбедност Вилијам Чесвик и Маркус Ранум од Bell Labs. Тие развија еден од првите прототипови на заштитен ѕид за апликации. Беше дистрибуиран од DEC - производот беше издаден под името SEAL (Secure External Access Link).

Но, SEAL не беше полноправно решение за WAF. Тоа беше класичен мрежен заштитен ѕид со напредна функционалност - можност за блокирање напади на FTP и RSH. Поради оваа причина, првото WAF решение денес се смета за производ на Perfecto Technologies (подоцна Sanctum). Во 1999 година таа презентирани AppShield систем. Во тоа време, Perfecto Technologies развиваше решенија за безбедност на информации за е-трговија, а онлајн продавниците станаа целна публика на нивниот нов производ. AppShield беше во можност да ги анализира барањата за HTTP и блокираните напади врз основа на динамични политики за безбедност на информациите.

Приближно во исто време како и AppShield (во 2002 година), се појави првиот WAF со отворен код. Тој стана Mod Security. Создаден е со цел да ги популаризира WAF технологиите и сè уште е поддржан од ИТ заедницата (еве го складиште на GitHub). ModSecurity блокира напади врз апликации засновани на стандарден сет на регуларни изрази (потписи) - алатки за проверка на барања засновани на обрасци - Комплет основни правила на OWASP.

Како резултат на тоа, програмерите успеаја да ја постигнат својата цел - новите решенија на WAF почнаа да се појавуваат на пазарот, вклучително и оние изградени врз основа на ModSecurity.

Три генерации се веќе историја

Вообичаено е да се разликуваат три генерации на WAF системи, кои еволуирале со развојот на технологијата.

Прва генерација. Работи со правилни изрази (или граматики). Ова го вклучува ModSecurity. Системскиот провајдер ги проучува типовите на напади на апликациите и генерира обрасци кои ги опишуваат легитимните и потенцијално злонамерните барања. WAF ги проверува овие списоци и одлучува што да прави во одредена ситуација - да го блокира сообраќајот или не.

Пример за детекција врз основа на регуларни изрази е веќе споменатиот проект Збир на основни правила отворен извор. Друг пример - Накси, кој исто така е со отворен код. Системите со регуларни изрази имаат голем број на недостатоци, особено, кога ќе се открие нова ранливост, администраторот треба рачно да креира дополнителни правила. Во случај на голема ИТ инфраструктура, може да има неколку илјади правила. Управувањето со толку многу редовни изрази е доста тешко, а да не го спомнуваме фактот дека нивното проверување може да ги намали перформансите на мрежата.

Редовните изрази, исто така, имаат прилично висока стапка на лажно позитивни. Познатиот лингвист Ноам Чомски предложил класификација на граматиките во која ги поделил на четири условни нивоа на сложеност. Според оваа класификација, регуларните изрази можат да ги опишат само правилата на заштитниот ѕид кои не вклучуваат отстапувања од шаблонот. Тоа значи дека напаѓачите лесно можат да ја „залажат“ првата генерација на WAF. Еден од методите за борба против ова е да се додадат специјални знаци на барањата за апликации кои не влијаат на логиката на малициозните податоци, но го прекршуваат правилото за потпис.

Втора генерација. За да се заобиколат проблемите со перформансите и точноста на WAF, беа развиени огнени ѕидови за апликации од втората генерација. Тие сега имаат парсери кои се одговорни за идентификување строго дефинирани типови на напади (на HTML, JS, итн.). Овие парсери работат со специјални токени кои опишуваат прашања (на пример, променлива, низа, непозната, број). Потенцијално злонамерните токени секвенци се сместени во посебна листа, против која WAF системот редовно проверува. Овој пристап првпат беше прикажан на конференцијата Black Hat 2012 во форма на C/C++ библиотеки за либинјекција, кој ви овозможува да откриете SQL инјекции.

Во споредба со WAF од првата генерација, специјализираните парсери можат да бидат побрзи. Сепак, тие не ги решија тешкотиите поврзани со рачно конфигурирање на системот кога се појавуваат нови малициозни напади.

Трета генерација. Еволуцијата во логиката за детекција на третата генерација се состои од употреба на методи за машинско учење кои овозможуваат да се приближи граматиката за откривање што е можно поблиску до вистинската граматика SQL/HTML/JS на заштитените системи. Оваа логика за откривање е во состојба да ја прилагоди машината Туринг за да покрие рекурзивно бројни граматики. Покрај тоа, претходно задачата за создавање на приспособлива Тјуринг машина беше нерешлива сè додека не беа објавени првите студии за нервните Тјуринг машини.

Машинското учење обезбедува единствена способност да се прилагоди која било граматика за покривање на кој било тип на напад без рачно креирање списоци со потписи како што се бара во откривањето на првата генерација и без развивање нови токенизатори/парсери за нови типови напади како што се Memcached, Redis, Cassandra, SSRF инјекции , како што бара методологијата од втората генерација.

Со комбинирање на сите три генерации на логиката за откривање, можеме да нацртаме нов дијаграм во кој третата генерација на детекција е претставена со црвениот преглед (Слика 3). Оваа генерација вклучува едно од решенијата што ги имплементираме во облакот заедно со Onsek, развивачот на платформата за адаптивна заштита на веб-апликации и Wallarm API.

Логиката за откривање сега користи повратни информации од апликацијата за самостојно прилагодување. Во машинското учење, оваа јамка за повратни информации се нарекува „засилување“. Вообичаено, постојат еден или повеќе видови на такво засилување:

• Анализа на однесувањето на одговорот на апликацијата (пасивно)
• Скенирање/фузер (активен)
• Пријавете датотеки/процедури за пресретнување/замки (по факт)
• Прирачник (дефиниран од супервизорот)

Како резултат на тоа, логиката за откривање на третата генерација, исто така, се занимава со важното прашање на точноста. Сега е можно не само да се избегнат лажни позитиви и лажни негативни, туку и да се детектираат валидни вистински негативни, како што се откривање на употребата на командниот елемент на SQL во контролната табла, вчитување на шаблоните на веб-страниците, барањата на AJAX поврзани со грешки во JavaScript и други.

Следно, ќе ги разгледаме технолошките можности на различните опции за имплементација на WAF.

Хардвер, софтвер или облак - што да изберете?

Една од опциите за имплементирање на огнените ѕидови на апликациите е хардверско решение. Таквите системи се специјализирани компјутерски уреди кои една компанија ги инсталира локално во својот центар за податоци. Но, во овој случај, треба да купите сопствена опрема и да платите пари на интеграторите за нејзино поставување и дебагирање (ако компанијата нема свој оддел за ИТ). Во исто време, секоја опрема станува застарена и неупотреблива, па клиентите се принудени да буџетираат за надградба на хардверот.

Друга опција за распоредување на WAF е имплементација на софтвер. Решението е инсталирано како додаток за некој софтвер (на пример, ModSecurity е конфигуриран на врвот на Apache) и работи на истиот сервер со него. Како по правило, таквите решенија може да се распоредат и на физички сервер и во облакот. Нивниот недостаток е ограничената приспособливост и поддршката од продавачот.

Третата опција е поставување на WAF од облакот. Ваквите решенија ги обезбедуваат давателите на облак како услуга за претплата. Компанијата не треба да купува и конфигурира специјализиран хардвер; овие задачи паѓаат на рамениците на давателот на услугата. Важна точка е дека модерен облак WAF не подразбира миграција на ресурси до платформата на давателот. Веб-страницата може да се распореди насекаде, дури и во просториите.

Понатаму ќе објасниме зошто луѓето сега се повеќе гледаат кон облак WAF.

Што може да направи WAF во облакот

Во однос на технолошките можности:

• Давателот е одговорен за ажурирањата. WAF се обезбедува со претплата, така што давателот на услуги ја следи релевантноста на ажурирањата и лиценците. Ажурирањата се однесуваат не само на софтверот, туку и на хардверот. Давателот го надградува паркот на серверот и го одржува. Тој е исто така одговорен за балансирање на товарот и вишок. Ако WAF серверот не успее, сообраќајот веднаш се пренасочува на друга машина. Рационалната распределба на сообраќајот ви овозможува да избегнете ситуации кога заштитниот ѕид влегува во режим на неуспешно отворено - не може да се справи со оптоварувањето и престанува да ги филтрира барањата.
• Виртуелно крпење. Виртуелните закрпи го ограничуваат пристапот до компромитирани делови од апликацијата додека развивачот не ја затвори ранливоста. Како резултат на тоа, клиентот на давателот на облак добива можност мирно да чека додека добавувачот на овој или оној софтвер не објави официјални „закрпи“. Да се ​​направи ова што е можно побрзо е приоритет за добавувачот на софтвер. На пример, во платформата Wallarm, посебен софтверски модул е ​​одговорен за виртуелно крпење. Администраторот може да додаде сопствени редовни изрази за блокирање на малициозни барања. Системот овозможува означување на некои барања со знаменцето „Доверливи податоци“. Тогаш нивните параметри се маскирани и под никакви околности не се пренесуваат надвор од работната површина на заштитниот ѕид.
• Вграден скенер за периметар и ранливост. Ова ви овозможува самостојно да ги одредите мрежните граници на ИТ инфраструктурата користејќи податоци од барањата за DNS и протоколот WHOIS. После тоа, WAF автоматски ги анализира услугите што работат внатре во периметарот (врши скенирање на портата). Заштитниот ѕид е способен да ги открие сите вообичаени типови на пропусти - SQLi, XSS, XXE итн. - и да идентификува грешки во конфигурацијата на софтверот, на пример, неовластен пристап до складиштата на Git и BitBucket и анонимни повици до Elasticsearch, Redis, MongoDB.
• Нападите се следат од облак ресурси. Како по правило, давателите на облак имаат големи количини на компјутерска моќ. Ова ви овозможува да ги анализирате заканите со голема точност и брзина. Во облакот е распореден кластер од филтер јазли, низ кој поминува целиот сообраќај. Овие јазли блокираат напади на веб-апликации и испраќаат статистика до Центарот за аналитика. Користи алгоритми за машинско учење за ажурирање на правилата за блокирање за сите заштитени апликации. Имплементацијата на таква шема е прикажана на сл. 4. Ваквите приспособени безбедносни правила го минимизираат бројот на лажни аларми за заштитен ѕид.

Сега малку за карактеристиките на облак WAF во однос на организациски прашања и управување:

• Транзиција кон OpEx. Во случај на облак WAF, трошоците за имплементација ќе бидат нула, бидејќи сите хардвер и лиценци се веќе платени од давателот; плаќањето за услугата се врши со претплата.
• Различни тарифни планови. Корисникот на облак услугата може брзо да овозможи или оневозможи дополнителни опции. Функциите се управуваат од една контролна табла, која исто така е безбедна. До него се пристапува преку HTTPS, плус има механизам за автентикација со два фактори базиран на протоколот TOTP (Time-based One-Time Password Algorithm).
• Поврзување преку DNS. Можете сами да го промените DNS и да го конфигурирате мрежното рутирање. За да се решат овие проблеми, нема потреба да се регрутираат и обучуваат индивидуални специјалисти. Како по правило, техничката поддршка на давателот може да помогне при поставувањето.

WAF технологиите еволуираа од едноставни заштитни ѕидови со основни правила до сложени системи за заштита со алгоритми за машинско учење. Заштитните ѕидови на апликациите сега нудат широк спектар на функции кои беа тешки за имплементација во 90-тите. На многу начини, појавата на нова функционалност стана возможна благодарение на облак технологиите. WAF решенијата и нивните компоненти продолжуваат да се развиваат. Исто како и другите области на безбедноста на информациите.

Текстот е подготвен од Александар Карпузиков, менаџер за развој на производи за безбедност на информации во провајдерот на облак #CloudMTS.

Извор: www.habr.com