आधुनिक ऍप्लिकेशन सिक्युरिटी सिस्टीम (WAF) ची कार्यक्षमता OWASP Top 10 मधील भेद्यतेच्या यादीपेक्षा खूप विस्तृत असावी.

पूर्वलक्षी

ऍप्लिकेशन्ससाठी सायबर धोक्यांचे प्रमाण, रचना आणि रचना वेगाने विकसित होत आहे. बर्‍याच वर्षांपासून, वापरकर्त्यांनी लोकप्रिय वेब ब्राउझर वापरून इंटरनेटद्वारे वेब अनुप्रयोगांमध्ये प्रवेश केला आहे. कोणत्याही वेळी 2-5 वेब ब्राउझरला समर्थन देणे आवश्यक होते आणि वेब अनुप्रयोग विकसित आणि चाचणीसाठी मानकांचा संच खूपच मर्यादित होता. उदाहरणार्थ, जवळजवळ सर्व डेटाबेस SQL ​​वापरून तयार केले गेले. दुर्दैवाने, काही काळानंतर, हॅकर्सने डेटा चोरण्यासाठी, हटवण्यासाठी किंवा बदलण्यासाठी वेब अॅप्लिकेशन्स वापरण्यास शिकले. अनुप्रयोग वापरकर्त्यांची फसवणूक, इंजेक्शन आणि रिमोट कोडची अंमलबजावणी यासह विविध तंत्रांचा वापर करून त्यांनी बेकायदेशीर प्रवेश मिळवला आणि अनुप्रयोग क्षमतांचा गैरवापर केला. लवकरच, वेब ऍप्लिकेशन फायरवॉल (WAFs) नावाची व्यावसायिक वेब ऍप्लिकेशन सुरक्षा साधने बाजारात आली आणि समुदायाने विकास मानके आणि कार्यपद्धती परिभाषित आणि राखण्यासाठी ओपन वेब ऍप्लिकेशन सुरक्षा प्रकल्प, ओपन वेब ऍप्लिकेशन सिक्युरिटी प्रोजेक्ट (OWASP) तयार करून प्रतिसाद दिला. सुरक्षित अनुप्रयोग.

मूलभूत अनुप्रयोग संरक्षण

OWASP शीर्ष 10 यादी अनुप्रयोग सुरक्षित करण्यासाठी प्रारंभिक बिंदू आहे आणि त्यात सर्वात धोकादायक धोके आणि चुकीच्या कॉन्फिगरेशनची सूची समाविष्ट आहे ज्यामुळे ऍप्लिकेशन भेद्यता, तसेच हल्ले शोधण्यासाठी आणि पराभूत करण्यासाठी युक्त्या होऊ शकतात. OWASP Top 10 हा जगभरातील ऍप्लिकेशन सायबरसुरक्षा उद्योगातील एक मान्यताप्राप्त बेंचमार्क आहे आणि वेब ऍप्लिकेशन सिक्युरिटी (WAF) सिस्टीममध्ये असल्‍या असल्‍या क्षमतांची कोर सूची परिभाषित करते.

याव्यतिरिक्त, WAF कार्यक्षमतेने वेब ऍप्लिकेशन्सवरील इतर सामान्य हल्ल्यांचा विचार करणे आवश्यक आहे, ज्यामध्ये क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF), क्लिकजॅकिंग, वेब स्क्रॅपिंग आणि फाइल समावेश (RFI/LFI) यांचा समावेश आहे.

आधुनिक अनुप्रयोगांची सुरक्षा सुनिश्चित करण्यासाठी धमक्या आणि आव्हाने

आज, सर्व अनुप्रयोग नेटवर्क आवृत्तीमध्ये लागू केले जात नाहीत. क्लाउड अॅप्स, मोबाइल अॅप्स, API आणि नवीनतम आर्किटेक्चरमध्ये, अगदी कस्टम सॉफ्टवेअर फंक्शन्स आहेत. या सर्व प्रकारच्या ऍप्लिकेशन्सना सिंक्रोनाइझ आणि नियंत्रित करणे आवश्यक आहे कारण ते आमचा डेटा तयार करतात, सुधारतात आणि त्यावर प्रक्रिया करतात. नवीन तंत्रज्ञान आणि प्रतिमानांच्या आगमनाने, अनुप्रयोग जीवनचक्राच्या सर्व टप्प्यांवर नवीन गुंतागुंत आणि आव्हाने उद्भवतात. यामध्ये डेव्हलपमेंट आणि ऑपरेशन्स इंटिग्रेशन (DevOps), कंटेनर, इंटरनेट ऑफ थिंग्ज (IoT), ओपन सोर्स टूल्स, API आणि बरेच काही समाविष्ट आहे.

ऍप्लिकेशन्सची वितरित उपयोजन आणि तंत्रज्ञानाची विविधता केवळ माहिती सुरक्षा व्यावसायिकांसाठीच नाही, तर सुरक्षा उपाय विक्रेत्यांसाठी देखील जटिल आणि जटिल आव्हाने निर्माण करते जे यापुढे एकात्मिक दृष्टिकोनावर अवलंबून राहू शकत नाहीत. खोटे सकारात्मक आणि वापरकर्त्यांसाठी सेवांच्या गुणवत्तेत व्यत्यय टाळण्यासाठी अनुप्रयोग सुरक्षा उपायांनी त्यांचे व्यवसाय तपशील विचारात घेणे आवश्यक आहे.

हॅकर्सचे अंतिम लक्ष्य सामान्यतः डेटा चोरणे किंवा सेवांच्या उपलब्धतेत व्यत्यय आणणे हे असते. हल्लेखोरांना तंत्रज्ञानाच्या उत्क्रांतीचाही फायदा होतो. प्रथम, नवीन तंत्रज्ञानाच्या विकासामुळे अधिक संभाव्य अंतर आणि भेद्यता निर्माण होते. दुसरे म्हणजे, पारंपारिक सुरक्षा उपायांना मागे टाकण्यासाठी त्यांच्या शस्त्रागारात अधिक साधने आणि ज्ञान आहे. हे तथाकथित "हल्ला पृष्ठभाग" आणि संस्थांना नवीन जोखमींच्या संपर्कात मोठ्या प्रमाणात वाढवते. तंत्रज्ञान आणि अनुप्रयोगांमधील बदलांच्या प्रतिसादात सुरक्षा धोरणे सतत बदलली पाहिजेत.

अशाप्रकारे, अॅप्लिकेशन्सना आक्रमण पद्धती आणि स्त्रोतांच्या सतत वाढत्या विविधतेपासून संरक्षित केले जाणे आवश्यक आहे आणि माहितीपूर्ण निर्णयांवर आधारित स्वयंचलित हल्ल्यांचा रिअल टाइममध्ये प्रतिकार करणे आवश्यक आहे. याचा परिणाम म्हणजे वाढलेला व्यवहार खर्च आणि अंगमेहनती, कमकुवत सुरक्षा स्थिती.

कार्य #1: बॉट्स व्यवस्थापित करणे

60% पेक्षा जास्त इंटरनेट ट्रॅफिक बॉट्सद्वारे व्युत्पन्न केले जाते, त्यापैकी अर्धा "खराब" रहदारी आहे (त्यानुसार रॅडवेअर सुरक्षा अहवाल). संस्था नेटवर्क क्षमता वाढवण्यासाठी गुंतवणूक करतात, मूलत: एक काल्पनिक भार प्रदान करतात. वास्तविक वापरकर्ता रहदारी आणि बॉट ट्रॅफिक, तसेच "चांगले" बॉट्स (उदाहरणार्थ, शोध इंजिन आणि किंमत तुलना सेवा) आणि "खराब" बॉट्समध्ये अचूकपणे फरक केल्याने वापरकर्त्यांसाठी खर्चात लक्षणीय बचत आणि सेवेची गुणवत्ता सुधारू शकते.

बॉट्स हे कार्य सोपे करणार नाहीत आणि ते वास्तविक वापरकर्त्यांच्या वर्तनाचे अनुकरण करू शकतात, कॅप्चा आणि इतर अडथळ्यांना बायपास करू शकतात. शिवाय, डायनॅमिक IP पत्ते वापरून हल्ल्यांच्या बाबतीत, IP पत्ता फिल्टरिंगवर आधारित संरक्षण कुचकामी ठरते. बर्‍याचदा, ओपन सोर्स डेव्हलपमेंट टूल्स (उदाहरणार्थ, फॅंटम जेएस) जे क्लायंट-साइड JavaScript हाताळू शकतात ते ब्रूट-फोर्स अटॅक, क्रेडेन्शियल स्टफिंग अटॅक, DDoS हल्ले आणि ऑटोमेटेड बॉट हल्ले लॉन्च करण्यासाठी वापरले जातात.

बॉट ट्रॅफिक प्रभावीपणे व्यवस्थापित करण्यासाठी, त्याच्या स्त्रोताची एक अद्वितीय ओळख (फिंगरप्रिंट सारखी) आवश्यक आहे. बॉट अटॅक एकाधिक रेकॉर्ड तयार करत असल्याने, त्याचे फिंगरप्रिंट संशयास्पद क्रियाकलाप ओळखण्यास आणि स्कोअर नियुक्त करण्यास अनुमती देते, ज्याच्या आधारावर अनुप्रयोग संरक्षण प्रणाली सूचित निर्णय घेते - ब्लॉक/अनुमती द्या - कमीत कमी चुकीच्या सकारात्मक दरासह.

आव्हान #2: API चे संरक्षण करणे

अनेक अॅप्लिकेशन्स API द्वारे संवाद साधणाऱ्या सेवांमधून माहिती आणि डेटा गोळा करतात. APIs द्वारे संवेदनशील डेटा प्रसारित करताना, 50% पेक्षा जास्त संस्था सायबर हल्ल्यांचा शोध घेण्यासाठी API प्रमाणित किंवा सुरक्षित करत नाहीत.

API वापरण्याची उदाहरणे:

• इंटरनेट ऑफ थिंग्ज (IoT) एकत्रीकरण
• मशीन-टू-मशीन संवाद
• सर्व्हरलेस वातावरण
• मोबाइल अनुप्रयोग
• इव्हेंट-चालित अनुप्रयोग

API भेद्यता ऍप्लिकेशन असुरक्षा सारखीच असते आणि त्यात इंजेक्शन्स, प्रोटोकॉल हल्ले, पॅरामीटर मॅनिपुलेशन, रीडायरेक्ट आणि बॉट हल्ला यांचा समावेश होतो. समर्पित API गेटवे API द्वारे परस्परसंवाद करणार्‍या अनुप्रयोग सेवांमधील सुसंगतता सुनिश्चित करण्यात मदत करतात. तथापि, ते एचटीटीपी हेडर पार्सिंग, लेयर 7 ऍक्सेस कंट्रोल लिस्ट (एसीएल), जेएसओएन/एक्सएमएल पेलोड पार्सिंग आणि तपासणी यासारख्या आवश्यक सुरक्षा साधनांसह डब्ल्यूएएफ कॅनप्रमाणे एंड-टू-एंड ऍप्लिकेशन सुरक्षा प्रदान करत नाहीत आणि सर्व असुरक्षिततेपासून संरक्षण देत नाहीत. OWASP शीर्ष 10 यादी. हे सकारात्मक आणि नकारात्मक मॉडेल वापरून प्रमुख API मूल्यांचे निरीक्षण करून प्राप्त केले जाते.

आव्हान #3: सेवा नाकारणे

जुना अॅटॅक वेक्टर, डिनायल ऑफ सर्विस (DoS), अॅप्लिकेशन्सवर हल्ला करण्यात त्याची प्रभावीता सिद्ध करत आहे. हल्लेखोरांकडे HTTP किंवा HTTPS पूर, कमी आणि हळू हल्ले (उदा. SlowLoris, LOIC, Torshammer), डायनॅमिक IP पत्ते वापरून हल्ले, बफर ओव्हरफ्लो, ब्रूट फोर्स-अटॅक आणि इतर अनेकांसह ऍप्लिकेशन सेवांमध्ये व्यत्यय आणण्यासाठी अनेक यशस्वी तंत्रे आहेत. . इंटरनेट ऑफ थिंग्जच्या विकासासह आणि त्यानंतरच्या IoT botnets च्या उदयासह, अनुप्रयोगांवरील हल्ले हे DDoS हल्ल्यांचे मुख्य केंद्र बनले आहेत. बहुतेक स्टेटफुल WAF केवळ मर्यादित प्रमाणात भार हाताळू शकतात. तथापि, ते HTTP/S ट्रॅफिक फ्लोची तपासणी करू शकतात आणि अॅटॅक ट्रॅफिक आणि दुर्भावनापूर्ण कनेक्शन काढून टाकू शकतात. एकदा हल्ल्याची ओळख पटल्यानंतर, ही वाहतूक पुन्हा पास करण्यात काही अर्थ नाही. हल्ले परतवून लावण्याची WAF ची क्षमता मर्यादित असल्याने, पुढील "खराब" पॅकेट स्वयंचलितपणे अवरोधित करण्यासाठी नेटवर्क परिमितीवर अतिरिक्त उपाय आवश्यक आहे. या सुरक्षिततेच्या परिस्थितीसाठी, दोन्ही उपाय हल्ल्यांबद्दल माहितीची देवाणघेवाण करण्यासाठी एकमेकांशी संवाद साधण्यास सक्षम असणे आवश्यक आहे.

अंजीर 1. रॅडवेअर सोल्यूशन्सचे उदाहरण वापरून व्यापक नेटवर्क आणि अनुप्रयोग संरक्षणाची संस्था

आव्हान #4: सतत संरक्षण

अर्ज वारंवार बदलतात. रोलिंग अपडेट्ससारख्या विकास आणि अंमलबजावणी पद्धतींचा अर्थ असा होतो की बदल मानवी हस्तक्षेप किंवा नियंत्रणाशिवाय होतात. अशा गतिमान वातावरणात, मोठ्या संख्येने खोट्या सकारात्मक गोष्टींशिवाय पुरेशी कार्यक्षम सुरक्षा धोरणे राखणे कठीण आहे. वेब ऍप्लिकेशन्सपेक्षा मोबाईल ऍप्लिकेशन्स अधिक वारंवार अपडेट केले जातात. तृतीय पक्ष अनुप्रयोग तुमच्या माहितीशिवाय बदलू शकतात. काही संस्था संभाव्य जोखमींच्या शीर्षस्थानी राहण्यासाठी अधिक नियंत्रण आणि दृश्यमानता शोधत आहेत. तथापि, हे नेहमीच साध्य करता येत नाही, आणि विश्वसनीय अनुप्रयोग संरक्षणाने उपलब्ध संसाधनांचा हिशोब आणि कल्पना करण्यासाठी, संभाव्य धोक्यांचे विश्लेषण करण्यासाठी आणि अनुप्रयोगातील बदल झाल्यास सुरक्षा धोरणे तयार करण्यासाठी आणि अनुकूल करण्यासाठी मशीन लर्निंगची शक्ती वापरली पाहिजे.

निष्कर्ष

अॅप्स दैनंदिन जीवनात महत्त्वाची भूमिका बजावत असल्याने, ते हॅकर्ससाठी मुख्य लक्ष्य बनतात. गुन्हेगारांसाठी संभाव्य बक्षिसे आणि व्यवसायांचे संभाव्य नुकसान प्रचंड आहे. अनुप्रयोग सुरक्षा कार्याची जटिलता अनुप्रयोग आणि धमक्यांची संख्या आणि भिन्नता लक्षात घेऊन अतिरंजित केली जाऊ शकत नाही.

सुदैवाने, आम्ही अशा वेळी आहोत जिथे कृत्रिम बुद्धिमत्ता आमच्या मदतीला येऊ शकते. मशीन लर्निंग-आधारित अल्गोरिदम सर्वात प्रगत सायबर धोक्यांना लक्ष्य करणार्‍या ऍप्लिकेशन्सपासून रिअल-टाइम, अनुकूली संरक्षण प्रदान करतात. ते वेब, मोबाइल आणि क्लाउड अॅप्लिकेशन्स-आणि API चे संरक्षण करण्यासाठी सुरक्षितता धोरणे देखील आपोआप अपडेट करतात-खोट्या सकारात्मक गोष्टींशिवाय.

सायबर थ्रेटची पुढील पिढी (शक्यतो मशीन लर्निंगवर आधारित) कशी असेल हे निश्चितपणे सांगणे कठीण आहे. परंतु संस्था ग्राहकांच्या डेटाचे संरक्षण करण्यासाठी, बौद्धिक संपत्तीचे संरक्षण करण्यासाठी आणि उत्तम व्यावसायिक लाभांसह सेवा उपलब्धता सुनिश्चित करण्यासाठी नक्कीच पावले उचलू शकतात.

ऍप्लिकेशन सुरक्षा सुनिश्चित करण्यासाठी प्रभावी पध्दती आणि पद्धती, हल्ल्यांचे मुख्य प्रकार आणि वेक्टर, जोखीम क्षेत्रे आणि वेब ऍप्लिकेशन्सच्या सायबर संरक्षणातील अंतर, तसेच जागतिक अनुभव आणि सर्वोत्तम पद्धती Radware अभ्यास आणि अहवालात सादर केल्या आहेत.डिजिटली कनेक्टेड जगात वेब ऍप्लिकेशन सुरक्षा".

स्त्रोत: www.habr.com