वेब ऍप्लिकेशन फायरवॉलची उत्क्रांती: फायरवॉलपासून ते मशीन लर्निंगसह क्लाउड-आधारित संरक्षण प्रणालीपर्यंत

क्लाउड विषयांवरील आमच्या मागील सामग्रीमध्ये, आम्ही सांगितले, सार्वजनिक क्लाउडमध्ये IT संसाधनांचे संरक्षण कसे करावे आणि या उद्देशांसाठी पारंपारिक अँटीव्हायरस पूर्णपणे का योग्य नाहीत. या पोस्टमध्ये, आम्ही क्लाउड सुरक्षेचा विषय सुरू ठेवू आणि WAF च्या उत्क्रांतीबद्दल बोलू आणि काय निवडणे चांगले आहे: हार्डवेअर, सॉफ्टवेअर किंवा क्लाउड. 

WAF म्हणजे काय

75% पेक्षा जास्त हॅकर हल्ले हे वेब ऍप्लिकेशन्स आणि वेबसाइट्सच्या असुरक्षिततेसाठी असतात: असे हल्ले सहसा माहिती सुरक्षा पायाभूत सुविधा आणि माहिती सुरक्षा सेवांसाठी अदृश्य असतात. वेब ऍप्लिकेशन्समधील भेद्यता, त्या बदल्यात, वापरकर्ता खाती आणि वैयक्तिक डेटा, पासवर्ड आणि क्रेडिट कार्ड क्रमांक यांच्याशी तडजोड आणि फसवणूक होण्याचा धोका असतो. याव्यतिरिक्त, वेबसाइटमधील भेद्यता आक्रमणकर्त्यांसाठी कॉर्पोरेट नेटवर्कमध्ये प्रवेश बिंदू म्हणून काम करतात.

वेब ऍप्लिकेशन फायरवॉल (WAF) ही एक संरक्षक स्क्रीन आहे जी वेब ऍप्लिकेशन्सवरील हल्ल्यांना रोखते: SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग, रिमोट कोड एक्झिक्यूशन, ब्रूट फोर्स आणि ऑथोरायझेशन बायपास. शून्य-दिवस असुरक्षिततेचे शोषण करणार्‍या हल्ल्यांसह. ऍप्लिकेशन फायरवॉल HTML, DHTML आणि CSS सह वेब पृष्ठ सामग्रीचे परीक्षण करून आणि संभाव्य दुर्भावनापूर्ण HTTP/HTTPS विनंत्या फिल्टर करून संरक्षण प्रदान करतात.

पहिले निर्णय कोणते होते?

वेब ऍप्लिकेशन फायरवॉल तयार करण्याचे पहिले प्रयत्न 90 च्या दशकाच्या सुरुवातीस परत केले गेले. किमान तीन अभियंत्यांनी या क्षेत्रात काम केल्याची माहिती आहे. पहिले पर्ड्यू विद्यापीठातील संगणक विज्ञानाचे प्राध्यापक जीन स्पॅफर्ड आहेत. त्यांनी प्रॉक्सी ऍप्लिकेशन फायरवॉलच्या आर्किटेक्चरचे वर्णन केले आणि ते 1991 मध्ये पुस्तकात प्रकाशित केले. "युनिक्स सुरक्षा सरावात".

दुसरे आणि तिसरे बेल लॅबचे माहिती सुरक्षा विशेषज्ञ विल्यम चेसविक आणि मार्कस रॅनम होते. त्यांनी प्रथम अनुप्रयोग फायरवॉल प्रोटोटाइपपैकी एक विकसित केला. हे DEC द्वारे वितरित केले गेले - उत्पादन SEAL (Secure External Access Link) या नावाने प्रसिद्ध केले गेले.

पण SEAL हा पूर्ण वाढ झालेला WAF उपाय नव्हता. हे प्रगत कार्यक्षमतेसह एक क्लासिक नेटवर्क फायरवॉल होते - FTP आणि RSH वर हल्ले अवरोधित करण्याची क्षमता. या कारणास्तव, आज पहिले WAF सोल्यूशन हे Perfecto Technologies (नंतर Sanctum) चे उत्पादन मानले जाते. 1999 मध्ये ती सादर AppShield प्रणाली. त्या वेळी, Perfecto Technologies ई-कॉमर्ससाठी माहिती सुरक्षा उपाय विकसित करत होते आणि ऑनलाइन स्टोअर्स त्यांच्या नवीन उत्पादनाचे लक्ष्य प्रेक्षक बनले. AppShield डायनॅमिक माहिती सुरक्षा धोरणांवर आधारित HTTP विनंत्या आणि अवरोधित हल्ल्यांचे विश्लेषण करण्यात सक्षम होते.

AppShield (2002 मध्ये) त्याच वेळी, पहिले ओपन सोर्स WAF दिसू लागले. तो झाला मोड सुरक्षा. हे WAF तंत्रज्ञान लोकप्रिय करण्याच्या उद्देशाने तयार केले गेले होते आणि अद्याप IT समुदायाद्वारे समर्थित आहे (हे येथे आहे GitHub वर रेपॉजिटरी). ModSecurity रेग्युलर एक्स्प्रेशन्स (स्वाक्षरी) च्या मानक संचाच्या आधारे अॅप्लिकेशन्सवरील हल्ले अवरोधित करते - नमुन्यांवर आधारित विनंत्या तपासण्यासाठी साधने - OWASP कोर नियम सेट.

परिणामी, विकासक त्यांचे ध्येय साध्य करण्यात यशस्वी झाले - नवीन डब्ल्यूएएफ सोल्यूशन्स बाजारात दिसू लागले, ज्यात मोडसेक्युरिटीच्या आधारे तयार केलेले समाधान समाविष्ट आहे.

तीन पिढ्या आधीच इतिहास आहेत

तंत्रज्ञानाच्या विकासासह विकसित झालेल्या WAF प्रणालीच्या तीन पिढ्यांमध्ये फरक करण्याची प्रथा आहे.

प्रथम पिढी. नियमित अभिव्यक्ती (किंवा व्याकरण) सह कार्य करते. यामध्ये ModSecurity चा समावेश आहे. सिस्टम प्रदाता अनुप्रयोगांवरील हल्ल्यांच्या प्रकारांचा अभ्यास करतो आणि कायदेशीर आणि संभाव्य दुर्भावनापूर्ण विनंत्यांचे वर्णन करणारे नमुने तयार करतो. WAF या याद्या तपासते आणि विशिष्ट परिस्थितीत काय करायचे ते ठरवते - रहदारी अवरोधित करायची की नाही.

रेग्युलर एक्सप्रेशन्सवर आधारित डिटेक्शनचे उदाहरण म्हणजे आधीच नमूद केलेला प्रोजेक्ट मुख्य नियम सेट मुक्त स्रोत. दुसरे उदाहरण - नक्षसी, जे मुक्त स्रोत देखील आहे. रेग्युलर एक्स्प्रेशन्स असलेल्या सिस्टीमचे अनेक तोटे आहेत, विशेषत: जेव्हा एखादी नवीन भेद्यता आढळते, तेव्हा प्रशासकाला स्वतः अतिरिक्त नियम तयार करावे लागतात. मोठ्या प्रमाणात आयटी पायाभूत सुविधांच्या बाबतीत, अनेक हजार नियम असू शकतात. अनेक नियमित अभिव्यक्ती व्यवस्थापित करणे खूप कठीण आहे, ते तपासणे नेटवर्क कार्यप्रदर्शन कमी करू शकते या वस्तुस्थितीचा उल्लेख करू नका.

रेग्युलर एक्स्प्रेशन्समध्येही बर्‍यापैकी उच्च खोटे पॉझिटिव्ह दर असतो. प्रसिद्ध भाषाशास्त्रज्ञ नोम चॉम्स्की यांनी व्याकरणाचे वर्गीकरण प्रस्तावित केले ज्यामध्ये त्यांनी त्यांना जटिलतेच्या चार सशर्त स्तरांमध्ये विभागले. या वर्गीकरणानुसार, रेग्युलर एक्सप्रेशन्स केवळ फायरवॉल नियमांचे वर्णन करू शकतात ज्यात पॅटर्नमधील विचलनांचा समावेश नाही. याचा अर्थ हल्लेखोर पहिल्या पिढीच्या WAF ला सहज "मूर्ख" बनवू शकतात. याचा सामना करण्यासाठी एक पद्धत म्हणजे अनुप्रयोग विनंत्यांमध्ये विशेष वर्ण जोडणे जे दुर्भावनापूर्ण डेटाच्या तर्कावर परिणाम करत नाहीत, परंतु स्वाक्षरी नियमांचे उल्लंघन करतात.

दुसरी पिढी. WAFs च्या कार्यप्रदर्शन आणि अचूकतेच्या समस्यांपासून बचाव करण्यासाठी, द्वितीय पिढीचे अनुप्रयोग फायरवॉल विकसित केले गेले. त्यांच्याकडे आता पार्सर आहेत जे कठोरपणे परिभाषित प्रकारचे हल्ले ओळखण्यासाठी जबाबदार आहेत (HTML, JS, इ. वर). हे विश्लेषक विशेष टोकन्ससह कार्य करतात जे क्वेरीचे वर्णन करतात (उदाहरणार्थ, व्हेरिएबल, स्ट्रिंग, अज्ञात, संख्या). संभाव्य दुर्भावनापूर्ण टोकन अनुक्रम एका वेगळ्या सूचीमध्ये ठेवल्या जातात, ज्याची WAF प्रणाली नियमितपणे तपासणी करते. हा दृष्टीकोन प्रथम ब्लॅक हॅट 2012 परिषदेत C/C++ स्वरूपात दर्शविण्यात आला libinjection लायब्ररी, जे तुम्हाला SQL इंजेक्शन्स शोधण्याची परवानगी देते.

पहिल्या पिढीतील WAF च्या तुलनेत, विशेष पार्सर जलद असू शकतात. तथापि, जेव्हा नवीन दुर्भावनापूर्ण हल्ले दिसतात तेव्हा सिस्टम मॅन्युअली कॉन्फिगर करण्याशी संबंधित अडचणी त्यांनी सोडवल्या नाहीत.

तिसरी पिढी. तिसर्‍या पिढीतील डिटेक्शन लॉजिकमधील उत्क्रांतीमध्ये मशीन लर्निंग पद्धतींचा समावेश आहे ज्यामुळे डिटेक्शन व्याकरण संरक्षित सिस्टमच्या वास्तविक SQL/HTML/JS व्याकरणाच्या शक्य तितक्या जवळ आणणे शक्य होते. हे डिटेक्शन लॉजिक ट्युरिंग मशीनला आवर्तीने असंख्य व्याकरण कव्हर करण्यासाठी अनुकूल करण्यास सक्षम आहे. शिवाय, पूर्वी न्यूरल ट्युरिंग मशीनचे पहिले अभ्यास प्रकाशित होईपर्यंत जुळवून घेण्यायोग्य ट्युरिंग मशीन तयार करण्याचे कार्य न सोडवता येणारे होते.

मशीन लर्निंग पहिल्या पिढीच्या शोधात आवश्यकतेनुसार स्वाक्षरी सूची मॅन्युअली न बनवता आणि मेमकॅशेड, रेडिस, कॅसॅंड्रा, एसएसआरएफ इंजेक्शन्स सारख्या नवीन आक्रमण प्रकारांसाठी नवीन टोकनायझर्स/पार्सर विकसित न करता कोणत्याही प्रकारच्या हल्ल्याला कव्हर करण्यासाठी कोणत्याही व्याकरणाला अनुकूल करण्याची अद्वितीय क्षमता प्रदान करते. , दुसऱ्या पिढीच्या पद्धतीनुसार आवश्यक आहे.

डिटेक्शन लॉजिकच्या तीनही पिढ्या एकत्र करून, आम्ही एक नवीन आकृती काढू शकतो ज्यामध्ये तिसरी पिढी ओळख लाल बाह्यरेखा (आकृती 3) द्वारे दर्शविली जाते. वेब अॅप्लिकेशन्सच्या अनुकूली संरक्षणासाठी प्लॅटफॉर्मचा विकासक आणि Wallarm API सोबत आम्ही क्लाउडमध्ये राबवत असलेल्या उपायांपैकी एक या पिढीमध्ये समाविष्ट आहे.

डिटेक्शन लॉजिक आता ऍप्लिकेशनमधील फीडबॅक स्व-ट्यून करण्यासाठी वापरते. मशीन लर्निंगमध्ये, या फीडबॅक लूपला "रीइन्फोर्समेंट" म्हणतात. सामान्यतः, अशा मजबुतीकरणाचे एक किंवा अधिक प्रकार आहेत:

• अनुप्रयोग प्रतिसाद वर्तनाचे विश्लेषण (निष्क्रिय)
• स्कॅन/फजर (सक्रिय)
• फाइल्स/इंटरसेप्टर प्रक्रिया/सापळे नोंदवा (वास्तूनंतर)
• मॅन्युअल (पर्यवेक्षकाद्वारे परिभाषित)

परिणामी, थर्ड-जनरेशन डिटेक्शन लॉजिक अचूकतेच्या महत्त्वाच्या समस्येला देखील संबोधित करते. आता केवळ खोटे सकारात्मक आणि चुकीचे नकारात्मक टाळणेच शक्य नाही, तर नियंत्रण पॅनेलमधील SQL कमांड घटकाचा वापर शोधणे, वेब पृष्ठ टेम्पलेट लोड करणे, JavaScript त्रुटींशी संबंधित AJAX विनंत्या आणि इतर यासारख्या वैध खरे नकारात्मक शोधणे देखील शक्य आहे.

पुढे, आम्ही विविध WAF अंमलबजावणी पर्यायांच्या तांत्रिक क्षमतांचा विचार करू.

हार्डवेअर, सॉफ्टवेअर किंवा क्लाउड - काय निवडायचे?

अॅप्लिकेशन फायरवॉल लागू करण्यासाठी पर्यायांपैकी एक म्हणजे हार्डवेअर सोल्यूशन. अशा प्रणाली ही विशेष संगणकीय उपकरणे आहेत जी कंपनी तिच्या डेटा सेंटरमध्ये स्थानिक पातळीवर स्थापित करते. परंतु या प्रकरणात, तुम्हाला तुमची स्वतःची उपकरणे खरेदी करावी लागतील आणि ते सेट करण्यासाठी आणि डीबग करण्यासाठी इंटिग्रेटरना पैसे द्यावे लागतील (जर कंपनीकडे स्वतःचा IT विभाग नसेल). त्याच वेळी, कोणतीही उपकरणे कालबाह्य होतात आणि निरुपयोगी होतात, म्हणून ग्राहकांना हार्डवेअर अपग्रेडसाठी बजेट करणे भाग पडते.

WAF तैनात करण्याचा दुसरा पर्याय म्हणजे सॉफ्टवेअर अंमलबजावणी. सोल्यूशन काही सॉफ्टवेअरसाठी अॅड-ऑन म्हणून स्थापित केले आहे (उदाहरणार्थ, Apache च्या शीर्षस्थानी ModSecurity कॉन्फिगर केले आहे) आणि त्याच सर्व्हरवर चालते. नियमानुसार, असे उपाय भौतिक सर्व्हरवर आणि क्लाउडमध्ये दोन्ही तैनात केले जाऊ शकतात. त्यांचा तोटा मर्यादित स्केलेबिलिटी आणि विक्रेता समर्थन आहे.

तिसरा पर्याय क्लाउडमधून WAF सेट करणे आहे. क्लाउड प्रदात्यांद्वारे असे उपाय सदस्यता सेवा म्हणून प्रदान केले जातात. कंपनीला विशेष हार्डवेअर खरेदी आणि कॉन्फिगर करण्याची आवश्यकता नाही; ही कार्ये सेवा प्रदात्याच्या खांद्यावर येतात. एक महत्त्वाचा मुद्दा असा आहे की आधुनिक क्लाउड WAF प्रदात्याच्या प्लॅटफॉर्मवर संसाधनांचे स्थलांतर सूचित करत नाही. साइट कुठेही तैनात केली जाऊ शकते, अगदी ऑन-प्रिमाइसेस देखील.

लोक आता क्लाउड डब्ल्यूएएफकडे का पाहत आहेत हे आम्ही पुढे स्पष्ट करू.

डब्ल्यूएएफ मेघमध्ये काय करू शकते

तांत्रिक क्षमतांच्या बाबतीत:

• प्रदाता अद्यतनांसाठी जबाबदार आहे. WAF सबस्क्रिप्शनद्वारे प्रदान केले जाते, म्हणून सेवा प्रदाता अद्यतने आणि परवान्यांच्या प्रासंगिकतेवर लक्ष ठेवतो. अद्यतने केवळ सॉफ्टवेअरच नव्हे तर हार्डवेअर देखील संबंधित आहेत. प्रदाता सर्व्हर पार्क अपग्रेड करतो आणि त्याची देखभाल करतो. हे लोड बॅलेंसिंग आणि रिडंडंसीसाठी देखील जबाबदार आहे. WAF सर्व्हर अयशस्वी झाल्यास, रहदारी ताबडतोब दुसर्या मशीनवर पुनर्निर्देशित केली जाते. ट्रॅफिकचे तर्कसंगत वितरण आपल्याला फायरवॉल अयशस्वी ओपन मोडमध्ये प्रवेश करते तेव्हा परिस्थिती टाळण्यास अनुमती देते - ते लोडचा सामना करू शकत नाही आणि फिल्टरिंग विनंत्या थांबवते.
• आभासी पॅचिंग. जोपर्यंत विकसक असुरक्षा बंद करत नाही तोपर्यंत व्हर्च्युअल पॅच अनुप्रयोगाच्या तडजोड केलेल्या भागांमध्ये प्रवेश प्रतिबंधित करतात. परिणामी, क्लाउड प्रदात्याच्या ग्राहकाला या किंवा त्या सॉफ्टवेअरचा पुरवठादार अधिकृत “पॅच” प्रकाशित करेपर्यंत शांतपणे प्रतीक्षा करण्याची संधी मिळते. हे शक्य तितक्या लवकर करणे हे सॉफ्टवेअर पुरवठादारासाठी प्राधान्य आहे. उदाहरणार्थ, Wallarm प्लॅटफॉर्ममध्ये, एक वेगळे सॉफ्टवेअर मॉड्यूल आभासी पॅचिंगसाठी जबाबदार आहे. दुर्भावनापूर्ण विनंत्या अवरोधित करण्यासाठी प्रशासक सानुकूल नियमित अभिव्यक्ती जोडू शकतो. सिस्टम काही विनंत्या "गोपनीय डेटा" ध्वजाने चिन्हांकित करणे शक्य करते. मग त्यांचे पॅरामीटर्स मुखवटा घातलेले असतात आणि कोणत्याही परिस्थितीत ते फायरवॉल कार्यक्षेत्राच्या बाहेर प्रसारित केले जात नाहीत.
• अंगभूत परिमिती आणि भेद्यता स्कॅनर. हे तुम्हाला DNS क्वेरी आणि WHOIS प्रोटोकॉलमधील डेटा वापरून IT इन्फ्रास्ट्रक्चरच्या नेटवर्क सीमा स्वतंत्रपणे निर्धारित करण्यास अनुमती देते. त्यानंतर, WAF परिमितीच्या आत चालणाऱ्या सेवांचे स्वयंचलितपणे विश्लेषण करते (पोर्ट स्कॅनिंग करते). फायरवॉल सर्व सामान्य प्रकारच्या भेद्यता - SQLi, XSS, XXE, इ. - आणि सॉफ्टवेअर कॉन्फिगरेशनमधील त्रुटी ओळखण्यात सक्षम आहे, उदाहरणार्थ, Git आणि BitBucket रेपॉजिटरीजमध्ये अनधिकृत प्रवेश आणि Elasticsearch, Redis, MongoDB ला निनावी कॉल.
• क्लाउड संसाधनांद्वारे हल्ल्यांचे निरीक्षण केले जाते. नियमानुसार, क्लाउड प्रदात्यांकडे मोठ्या प्रमाणात संगणकीय शक्ती असते. हे आपल्याला उच्च अचूकता आणि गतीसह धोक्यांचे विश्लेषण करण्यास अनुमती देते. फिल्टर नोड्सचा क्लस्टर क्लाउडमध्ये तैनात केला जातो, ज्यामधून सर्व रहदारी जाते. हे नोड्स वेब अॅप्लिकेशन्सवरील हल्ले ब्लॉक करतात आणि अॅनालिटिक्स सेंटरला आकडेवारी पाठवतात. हे सर्व संरक्षित ऍप्लिकेशन्ससाठी ब्लॉकिंग नियम अपडेट करण्यासाठी मशीन लर्निंग अल्गोरिदम वापरते. अशा योजनेची अंमलबजावणी अंजीर मध्ये दर्शविली आहे. 4. असे तयार केलेले सुरक्षा नियम खोट्या फायरवॉल अलार्मची संख्या कमी करतात.

आता संघटनात्मक समस्या आणि व्यवस्थापनाच्या दृष्टीने क्लाउड डब्ल्यूएएफच्या वैशिष्ट्यांबद्दल थोडेसे:

• OpEx मध्ये संक्रमण. क्लाउड डब्ल्यूएएफच्या बाबतीत, अंमलबजावणीची किंमत शून्य असेल, कारण सर्व हार्डवेअर आणि परवान्यांसाठी प्रदात्याने आधीच पैसे दिले आहेत; सेवेसाठी पेमेंट सबस्क्रिप्शनद्वारे केले जाते.
• भिन्न दर योजना. क्लाउड सेवा वापरकर्ता अतिरिक्त पर्याय द्रुतपणे सक्षम किंवा अक्षम करू शकतो. फंक्शन्स एकाच कंट्रोल पॅनलमधून व्यवस्थापित केले जातात, जे सुरक्षित देखील आहेत. हे HTTPS द्वारे ऍक्सेस केले जाते, तसेच TOTP (Time-based One-time Password Algorithm) प्रोटोकॉलवर आधारित द्वि-घटक प्रमाणीकरण यंत्रणा आहे.
• DNS द्वारे कनेक्शन. तुम्ही स्वतः DNS बदलू शकता आणि नेटवर्क राउटिंग कॉन्फिगर करू शकता. या समस्यांचे निराकरण करण्यासाठी वैयक्तिक तज्ञांची नियुक्ती आणि प्रशिक्षित करण्याची आवश्यकता नाही. नियमानुसार, प्रदात्याचे तांत्रिक समर्थन सेटअपमध्ये मदत करू शकते.

WAF तंत्रज्ञान अंगठ्याचे नियम असलेल्या साध्या फायरवॉलपासून ते मशीन लर्निंग अल्गोरिदमसह जटिल संरक्षण प्रणालीपर्यंत विकसित झाले आहेत. अॅप्लिकेशन फायरवॉल आता 90 च्या दशकात कार्यान्वित करणे कठीण असलेल्या वैशिष्ट्यांची विस्तृत श्रेणी ऑफर करते. अनेक प्रकारे, नवीन कार्यक्षमतेचा उदय क्लाउड तंत्रज्ञानामुळे शक्य झाला. डब्ल्यूएएफ सोल्यूशन्स आणि त्यांचे घटक विकसित होत आहेत. माहिती सुरक्षेच्या इतर क्षेत्रांप्रमाणेच.

क्लाउड प्रदाता #CloudMTS मधील माहिती सुरक्षा उत्पादन विकास व्यवस्थापक अलेक्झांडर कार्पुझिकोव्ह यांनी मजकूर तयार केला आहे.

स्त्रोत: www.habr.com