वेब अनुप्रयोग फायरवाल को विकास: फायरवाल देखि क्लाउड-आधारित सुरक्षा प्रणाली मेशिन शिक्षा संग

क्लाउड विषयहरूमा हाम्रो अघिल्लो सामग्रीमा, हामी भन्यो, सार्वजनिक क्लाउडमा IT स्रोतहरू कसरी सुरक्षित गर्ने र किन परम्परागत एन्टिभाइरसहरू यी उद्देश्यहरूको लागि पूर्ण रूपमा उपयुक्त छैनन्। यस पोष्टमा, हामी क्लाउड सुरक्षाको विषयलाई जारी राख्नेछौं र WAF को विकासको बारेमा कुरा गर्नेछौं र के छनौट गर्न राम्रो छ: हार्डवेयर, सफ्टवेयर वा क्लाउड। 

WAF के हो

75% भन्दा बढी ह्याकर आक्रमणहरू वेब अनुप्रयोगहरू र वेबसाइटहरूको कमजोरीहरूलाई लक्षित हुन्छन्: त्यस्ता आक्रमणहरू सामान्यतया सूचना सुरक्षा पूर्वाधार र सूचना सुरक्षा सेवाहरूमा अदृश्य हुन्छन्। वेब एप्लिकेसनहरूमा कमजोरीहरूले प्रयोगकर्ता खाताहरू र व्यक्तिगत डेटा, पासवर्डहरू, र क्रेडिट कार्ड नम्बरहरूको सम्झौता र धोखाधडीको जोखिम बोक्छ। थप रूपमा, वेबसाइटमा कमजोरीहरूले कर्पोरेट नेटवर्कमा आक्रमणकारीहरूको लागि प्रवेश बिन्दुको रूपमा सेवा गर्दछ।

वेब अनुप्रयोग फायरवाल (WAF) एक सुरक्षात्मक स्क्रिन हो जसले वेब अनुप्रयोगहरूमा आक्रमणहरू रोक्छ: SQL इंजेक्शन, क्रस-साइट स्क्रिप्टिङ, रिमोट कोड कार्यान्वयन, ब्रूट फोर्स र प्राधिकरण बाइपास। शून्य-दिन जोखिमहरू शोषण गर्ने आक्रमणहरू सहित। एप्लिकेसन फायरवालहरूले HTML, DHTML, र CSS लगायत वेब पृष्ठ सामग्रीको निगरानी गरेर र सम्भावित दुर्भावनापूर्ण HTTP/HTTPS अनुरोधहरूलाई फिल्टर गरेर सुरक्षा प्रदान गर्दछ।

पहिलो निर्णयहरू के थिए?

वेब एप्लिकेसन फायरवाल सिर्जना गर्ने पहिलो प्रयास ९० को दशकको शुरुमा फिर्ता गरिएको थियो। कम्तिमा तीन इन्जिनियरहरूले यस क्षेत्रमा काम गरेको थाहा छ। पहिलो पर्ड्यू विश्वविद्यालयका कम्प्युटर विज्ञान प्रोफेसर जीन स्पाफोर्ड हुन्। उनले प्रोक्सी एप्लिकेसन फायरवालको वास्तुकलाको वर्णन गरे र यसलाई 90 मा पुस्तकमा प्रकाशित गरे। "अभ्यासमा UNIX सुरक्षा".

दोस्रो र तेस्रो बेल ल्याब्सका सूचना सुरक्षा विशेषज्ञ विलियम चेसविक र मार्कस रानम थिए। तिनीहरूले पहिलो अनुप्रयोग फायरवाल प्रोटोटाइपहरू मध्ये एक विकास गरे। यो DEC द्वारा वितरण गरिएको थियो - उत्पादन SEAL (Secure External Access Link) नाममा जारी गरिएको थियो।

तर SEAL पूर्ण विकसित WAF समाधान थिएन। यो उन्नत कार्यक्षमता संग एक क्लासिक नेटवर्क फायरवाल थियो - FTP र RSH मा आक्रमण रोक्न क्षमता। यस कारणले गर्दा, आजको पहिलो WAF समाधानलाई Perfecto Technologies (पछि Sanctum) को उत्पादन मानिन्छ। सन् १९९९ मा उनी प्रस्तुत AppShield प्रणाली। त्यस समयमा, परफेक्टो टेक्नोलोजीहरूले ई-वाणिज्यको लागि सूचना सुरक्षा समाधानहरू विकास गरिरहेका थिए, र अनलाइन स्टोरहरू तिनीहरूको नयाँ उत्पादनको लक्षित दर्शक बने। AppShield गतिशील सूचना सुरक्षा नीतिहरूको आधारमा HTTP अनुरोधहरू र ब्लक गरिएका आक्रमणहरूको विश्लेषण गर्न सक्षम थियो।

AppShield (2002 मा) को रूपमा एकै समयमा, पहिलो खुला स्रोत WAF देखा पर्‍यो। उनी बने मोड सुरक्षा। यो WAF प्रविधिहरू लोकप्रिय बनाउने उद्देश्यले सिर्जना गरिएको थियो र अझै पनि IT समुदाय द्वारा समर्थित छ (यहाँ यो छ GitHub मा भण्डार)। ModSecurity ले नियमित अभिव्यक्ति (हस्ताक्षर) को मानक सेटमा आधारित अनुप्रयोगहरूमा आक्रमणहरू रोक्छ - ढाँचाहरूमा आधारित अनुरोधहरू जाँच गर्ने उपकरणहरू - OWASP कोर नियम सेट.

नतिजाको रूपमा, विकासकर्ताहरूले आफ्नो लक्ष्य हासिल गर्न व्यवस्थित गरे - नयाँ WAF समाधानहरू बजारमा देखा पर्न थाले, ModSecurity को आधारमा बनाइएकाहरू सहित।

तीन पुस्ता इतिहास भइसकेका छन्

प्रविधिको विकाससँगै विकसित भएका WAF प्रणालीहरूको तीन पुस्तालाई छुट्याउन प्रचलन छ।

पहिलो पुस्ता। नियमित अभिव्यक्ति (वा व्याकरण) संग काम गर्दछ। यसमा ModSecurity समावेश छ। प्रणाली प्रदायकले अनुप्रयोगहरूमा आक्रमणका प्रकारहरू अध्ययन गर्दछ र ढाँचाहरू उत्पन्न गर्दछ जसले वैध र सम्भावित रूपमा दुर्भावनापूर्ण अनुरोधहरू वर्णन गर्दछ। WAF ले यी सूचीहरू जाँच गर्दछ र निर्णय गर्दछ कि एक विशेष परिस्थितिमा के गर्ने - ट्राफिक रोक्न वा नगर्ने।

नियमित अभिव्यक्तिमा आधारित पत्ता लगाउने उदाहरण पहिले नै उल्लेख गरिएको परियोजना हो मूल नियम सेट खुला स्रोत। अर्को उदाहरण - नक्सी, जुन खुला स्रोत पनि हो। रेगुलर एक्सप्रेशनहरू भएका प्रणालीहरूमा धेरै बेफाइदाहरू छन्, विशेष गरी, जब नयाँ भेद्यता पत्ता लगाइन्छ, प्रशासकले म्यानुअल रूपमा अतिरिक्त नियमहरू सिर्जना गर्नुपर्छ। ठूलो मात्रामा आईटी पूर्वाधारको मामलामा, त्यहाँ धेरै हजार नियमहरू हुन सक्छन्। यति धेरै नियमित अभिव्यक्तिहरू प्रबन्ध गर्न एकदम गाह्रो छ, तिनीहरूलाई जाँच गर्दा नेटवर्क प्रदर्शन कम गर्न सक्छ भन्ने तथ्यलाई उल्लेख नगर्न।

नियमित अभिव्यक्तिहरूको पनि एकदम उच्च झूटो सकारात्मक दर छ। प्रसिद्ध भाषाविद् नोआम चोम्स्कीले व्याकरणको वर्गीकरण प्रस्ताव गरे जसमा उनले तिनीहरूलाई जटिलताका चार सशर्त स्तरहरूमा विभाजन गरे। यस वर्गीकरणको अनुसार, नियमित अभिव्यक्तिले फायरवाल नियमहरू मात्र वर्णन गर्न सक्छ जुन ढाँचाबाट विचलनहरू समावेश गर्दैन। यसको मतलब आक्रमणकारीहरूले पहिलो पुस्ताको WAF लाई सजिलै "मूर्ख" बनाउन सक्छन्। यससँग लड्ने एउटा विधि भनेको अनुप्रयोग अनुरोधहरूमा विशेष क्यारेक्टरहरू थप्नु हो जसले दुर्भावनापूर्ण डेटाको तर्कलाई असर गर्दैन, तर हस्ताक्षर नियमको उल्लङ्घन गर्दछ।

दोस्रो पुस्ता। WAFs को कार्यसम्पादन र शुद्धताका समस्याहरूलाई रोक्नको लागि, दोस्रो पुस्ताको अनुप्रयोग फायरवालहरू विकास गरिएको थियो। तिनीहरूसँग अब पार्सरहरू छन् जुन कडा रूपमा परिभाषित प्रकारका आक्रमणहरू (HTML, JS, आदिमा) पहिचान गर्न जिम्मेवार छन्। यी पार्सरहरूले विशेष टोकनहरूसँग काम गर्छन् जसले प्रश्नहरू वर्णन गर्दछ (उदाहरणका लागि, चर, स्ट्रिङ, अज्ञात, नम्बर)। सम्भावित दुर्भावनापूर्ण टोकन अनुक्रमहरू छुट्टै सूचीमा राखिन्छन्, जसलाई WAF प्रणालीले नियमित रूपमा जाँच गर्छ। यो दृष्टिकोण पहिलो पटक C/C++ को रूपमा ब्ल्याक ह्याट 2012 सम्मेलनमा देखाइएको थियो libinjection पुस्तकालयहरू, जसले तपाईंलाई SQL इंजेक्शनहरू पत्ता लगाउन अनुमति दिन्छ।

पहिलो पुस्ताको WAF को तुलनामा, विशेष पार्सरहरू छिटो हुन सक्छन्। यद्यपि, तिनीहरूले नयाँ दुर्भावनापूर्ण आक्रमणहरू देखा पर्दा म्यानुअल रूपमा प्रणाली कन्फिगर गर्न सम्बन्धित कठिनाइहरू समाधान गरेनन्।

तेस्रो पीढी। तेस्रो-पुस्ता पत्ता लगाउने तर्कको विकासले मेसिन लर्निङ विधिहरूको प्रयोग समावेश गर्दछ जसले पत्ता लगाउन व्याकरणलाई सुरक्षित प्रणालीहरूको वास्तविक SQL/HTML/JS व्याकरणको नजिक ल्याउन सम्भव बनाउँछ। यो पत्ता लगाउने तर्कले ट्युरिङ मेसिनलाई पुनरावर्ती गनिने व्याकरणहरू कभर गर्नको लागि अनुकूल गर्न सक्षम छ। यसबाहेक, पहिले अनुकूलनीय ट्युरिङ मेसिन सिर्जना गर्ने कार्य न्यूरल ट्युरिङ मेसिनको पहिलो अध्ययन प्रकाशित नभएसम्म समाधान गर्न नसकिने थियो।

मेसिन लर्निङले पहिलो पुस्ताको पत्ता लगाउन आवश्यक भएअनुसार म्यानुअल रूपमा हस्ताक्षर सूचीहरू सिर्जना नगरी र मेम्कचेड, रेडिस, क्यासान्ड्रा, एसएसआरएफ इन्जेक्सनहरू जस्ता नयाँ आक्रमण प्रकारहरूका लागि नयाँ टोकनाइजर/पार्सरहरू विकास नगरी कुनै पनि प्रकारको आक्रमणलाई कभर गर्न कुनै पनि व्याकरणलाई अनुकूलन गर्ने अद्वितीय क्षमता प्रदान गर्दछ। , दोस्रो पुस्ता पद्धति द्वारा आवश्यक रूपमा।

पत्ता लगाउने तर्कका सबै तीन पुस्ताहरू संयोजन गरेर, हामी एउटा नयाँ रेखाचित्र बनाउन सक्छौं जसमा पत्ता लगाउने तेस्रो पुस्तालाई रातो रूपरेखा (चित्र 3) द्वारा प्रतिनिधित्व गरिएको छ। यो पुस्ताले वेब एप्स र Wallarm API को अनुकूली सुरक्षाको लागि प्लेटफर्मको विकासकर्ता Onsek सँगसँगै क्लाउडमा लागू गर्ने समाधानहरू मध्ये एउटा समावेश गर्दछ।

पत्ता लगाउने तर्कले अब स्वयं-ट्यून गर्न अनुप्रयोगबाट प्रतिक्रिया प्रयोग गर्दछ। मेसिन लर्निङमा, यो प्रतिक्रिया लुपलाई "सुदृढीकरण" भनिन्छ। सामान्यतया, त्यस्ता सुदृढीकरणका एक वा बढी प्रकारहरू छन्:

• आवेदन प्रतिक्रिया व्यवहार को विश्लेषण (निष्क्रिय)
• स्क्यान/फजर (सक्रिय)
• रिपोर्ट फाइलहरू/इन्टरसेप्टर प्रक्रियाहरू/जालहरू (तथ्य पछि)
• म्यानुअल (पर्यवेक्षक द्वारा परिभाषित)

नतिजाको रूपमा, तेस्रो-पुस्ता पत्ता लगाउने तर्कले पनि सटीकताको महत्त्वपूर्ण मुद्दालाई सम्बोधन गर्दछ। यो अब न केवल गलत सकारात्मक र गलत नकारात्मकहरूबाट बच्न सम्भव छ, तर वैध साँचो नकारात्मकहरू पत्ता लगाउन पनि सम्भव छ, जस्तै कन्ट्रोल प्यानलमा SQL आदेश तत्व प्रयोग पत्ता लगाउने, वेब पृष्ठ टेम्प्लेट लोडिङ, JavaScript त्रुटिहरूसँग सम्बन्धित AJAX अनुरोधहरू, र अन्य।

अर्को, हामी विभिन्न WAF कार्यान्वयन विकल्पहरूको प्राविधिक क्षमताहरू विचार गर्नेछौं।

हार्डवेयर, सफ्टवेयर वा क्लाउड - के छनौट गर्ने?

अनुप्रयोग फायरवालहरू लागू गर्नका लागि विकल्पहरू मध्ये एक हार्डवेयर समाधान हो। त्यस्ता प्रणालीहरू विशेष कम्प्युटिङ् उपकरणहरू हुन् जुन कम्पनीले आफ्नो डाटा सेन्टरमा स्थानीय रूपमा स्थापना गर्दछ। तर यस अवस्थामा, तपाईंले आफ्नै उपकरणहरू खरिद गर्नुपर्नेछ र यसलाई सेटअप गर्न र डिबग गर्नका लागि इन्टिग्रेटरहरूलाई पैसा तिर्नु पर्छ (यदि कम्पनीको आफ्नै आईटी विभाग छैन)। एकै समयमा, कुनै पनि उपकरण पुरानो हुन्छ र अनुपयोगी हुन्छ, त्यसैले ग्राहकहरू हार्डवेयर अपग्रेडको लागि बजेट गर्न बाध्य हुन्छन्।

WAF को तैनाती को लागी अर्को विकल्प एक सफ्टवेयर कार्यान्वयन हो। समाधान केही सफ्टवेयरको लागि एड-अनको रूपमा स्थापना गरिएको छ (उदाहरणका लागि, ModSecurity Apache को शीर्षमा कन्फिगर गरिएको छ) र यसको साथ एउटै सर्भरमा चल्छ। नियमको रूपमा, त्यस्ता समाधानहरू दुवै भौतिक सर्भर र क्लाउडमा तैनात गर्न सकिन्छ। तिनीहरूको हानि सीमित स्केलेबिलिटी र विक्रेता समर्थन हो।

तेस्रो विकल्प क्लाउडबाट WAF सेटअप गर्दैछ। त्यस्ता समाधानहरू क्लाउड प्रदायकहरू द्वारा सदस्यता सेवाको रूपमा प्रदान गरिन्छ। कम्पनीले विशेष हार्डवेयर खरिद र कन्फिगर गर्न आवश्यक छैन; यी कार्यहरू सेवा प्रदायकको काँधमा आउँछन्। एउटा महत्त्वपूर्ण बिन्दु यो हो कि आधुनिक क्लाउड WAF ले प्रदायकको प्लेटफर्ममा स्रोतहरूको स्थानान्तरणलाई संकेत गर्दैन। साइटलाई कहीं पनि तैनाथ गर्न सकिन्छ, प्रिमिसमा पनि।

हामी थप व्याख्या गर्नेछौं किन मानिसहरू अब क्लाउड WAF तिर हेरिरहेका छन्।

WAF ले क्लाउडमा के गर्न सक्छ

प्राविधिक क्षमताहरूको सन्दर्भमा:

• प्रदायक अद्यावधिकहरूको लागि जिम्मेवार छ। WAF सदस्यता द्वारा प्रदान गरिएको छ, त्यसैले सेवा प्रदायकले अद्यावधिक र इजाजतपत्रहरूको सान्दर्भिकता निगरानी गर्दछ। अपडेटहरूले सफ्टवेयर मात्र होइन, हार्डवेयर पनि चिन्ता गर्दछ। प्रदायकले सर्भर पार्क अपग्रेड गर्छ र यसलाई मर्मत गर्दछ। यो लोड सन्तुलन र रिडन्डन्सीको लागि पनि जिम्मेवार छ। यदि WAF सर्भर असफल भयो भने, ट्राफिक तुरुन्तै अर्को मेसिनमा रिडिरेक्ट हुन्छ। ट्राफिकको तर्कसंगत वितरणले फायरवाल असफल खुला मोडमा प्रवेश गर्दा परिस्थितिहरूबाट बच्न अनुमति दिन्छ - यसले लोडसँग सामना गर्न सक्दैन र अनुरोधहरू फिल्टर गर्न रोक्छ।
• भर्चुअल प्याचिङ। भर्चुअल प्याचहरूले विकासकर्ताले भेद्यता बन्द नगरेसम्म अनुप्रयोगको सम्झौता गरिएका भागहरूमा पहुँचलाई प्रतिबन्धित गर्दछ। नतिजाको रूपमा, क्लाउड प्रदायकको ग्राहकले यो वा त्यो सफ्टवेयरको आपूर्तिकर्ताले आधिकारिक "प्याचहरू" प्रकाशित नगरेसम्म शान्त रूपमा पर्खने अवसर पाउँछ। यसलाई सकेसम्म चाँडो गर्नु सफ्टवेयर आपूर्तिकर्ताको लागि प्राथमिकता हो। उदाहरणका लागि, Wallarm प्लेटफर्ममा, भर्चुअल प्याचिङका लागि छुट्टै सफ्टवेयर मोड्युल जिम्मेवार छ। व्यवस्थापकले दुर्भावनापूर्ण अनुरोधहरू रोक्न अनुकूलन नियमित अभिव्यक्तिहरू थप्न सक्छ। प्रणालीले "गोपनीय डेटा" झण्डाको साथ केही अनुरोधहरू चिन्ह लगाउन सम्भव बनाउँछ। त्यसपछि तिनीहरूका प्यारामिटरहरू मास्क गरिएका छन्, र कुनै पनि परिस्थितिमा तिनीहरू फायरवाल कार्य क्षेत्र बाहिर प्रसारित छैनन्।
• बिल्ट-इन परिधि र जोखिम स्क्यानर। यसले तपाईंलाई DNS क्वेरीहरू र WHOIS प्रोटोकलबाट डाटा प्रयोग गरेर IT पूर्वाधारको नेटवर्क सीमाहरू स्वतन्त्र रूपमा निर्धारण गर्न अनुमति दिन्छ। पछि, WAF ले परिधि भित्र चलिरहेको सेवाहरू स्वचालित रूपमा विश्लेषण गर्दछ (पोर्ट स्क्यानिङ प्रदर्शन गर्दछ)। फायरवालले सबै सामान्य प्रकारका कमजोरीहरू पत्ता लगाउन सक्षम छ - SQLi, XSS, XXE, आदि - र सफ्टवेयर कन्फिगरेसनमा त्रुटिहरू पहिचान गर्न, उदाहरणका लागि, Git र BitBucket भण्डारहरूमा अनाधिकृत पहुँच र Elasticsearch, Redis, MongoDB लाई बेनामी कलहरू।
• आक्रमणहरू क्लाउड स्रोतहरूद्वारा निगरानी गरिन्छ। नियमको रूपमा, क्लाउड प्रदायकहरूसँग ठूलो मात्रामा कम्प्युटिङ पावर हुन्छ। यसले तपाईंलाई उच्च सटीकता र गतिको साथ खतराहरूको विश्लेषण गर्न अनुमति दिन्छ। फिल्टर नोडहरूको क्लस्टर क्लाउडमा तैनात गरिएको छ, जसको माध्यमबाट सबै ट्राफिकहरू जान्छ। यी नोडहरूले वेब अनुप्रयोगहरूमा आक्रमणहरू रोक्छन् र विश्लेषण केन्द्रमा तथ्याङ्कहरू पठाउँछन्। यसले सबै सुरक्षित अनुप्रयोगहरूको लागि अवरुद्ध नियमहरू अद्यावधिक गर्न मेसिन लर्निङ एल्गोरिदमहरू प्रयोग गर्दछ। यस्तो योजनाको कार्यान्वयन चित्रमा देखाइएको छ। 4. त्यस्ता अनुकूल सुरक्षा नियमहरूले झूटा फायरवाल अलार्महरूको संख्या कम गर्दछ।

अब संगठनात्मक मुद्दाहरू र व्यवस्थापनको सन्दर्भमा क्लाउड WAF को सुविधाहरूको बारेमा थोरै:

• OpEx मा संक्रमण। क्लाउड WAF को मामलामा, कार्यान्वयनको लागत शून्य हुनेछ, किनकि सबै हार्डवेयर र इजाजतपत्रहरू प्रदायकद्वारा भुक्तान गरिएको छ; सेवाको लागि भुक्तानी सदस्यताद्वारा गरिन्छ।
• विभिन्न ट्यारिफ योजनाहरू। क्लाउड सेवा प्रयोगकर्ता छिटो सक्षम वा अतिरिक्त विकल्प असक्षम गर्न सक्नुहुन्छ। कार्यहरू एकल नियन्त्रण प्यानलबाट व्यवस्थित गरिन्छ, जुन पनि सुरक्षित छ। यो HTTPS मार्फत पहुँच गरिन्छ, साथै त्यहाँ TOTP (समय-आधारित वन-टाइम पासवर्ड एल्गोरिदम) प्रोटोकलमा आधारित दुई-कारक प्रमाणीकरण संयन्त्र छ।
• DNS मार्फत जडान। तपाईं आफैले DNS परिवर्तन गर्न सक्नुहुन्छ र नेटवर्क राउटिङ कन्फिगर गर्न सक्नुहुन्छ। यी समस्याहरू समाधान गर्न व्यक्तिगत विशेषज्ञहरू भर्ती र तालिम दिन आवश्यक छैन। नियमको रूपमा, प्रदायकको प्राविधिक समर्थनले सेटअपमा मद्दत गर्न सक्छ।

WAF प्रविधिहरू सामान्य फायरवालहरूबाट मेसिन लर्निङ एल्गोरिदमहरूका साथ जटिल सुरक्षा प्रणालीहरूमा थम्ब नियमहरू भएका छन्। एप्लिकेसन फायरवालहरूले अब 90 को दशकमा लागू गर्न गाह्रो हुने सुविधाहरूको विस्तृत दायरा प्रदान गर्दछ। धेरै तरिकामा, क्लाउड टेक्नोलोजीहरूको लागि नयाँ कार्यक्षमताको उदय सम्भव भयो। WAF समाधानहरू र तिनीहरूका घटकहरू विकसित हुन जारी छन्। सूचना सुरक्षाको अन्य क्षेत्रहरू जस्तै।

पाठ क्लाउड प्रदायक #CloudMTS मा सूचना सुरक्षा उत्पादन विकास प्रबन्धक, अलेक्जेंडर कार्पुजिकोभ द्वारा तयार गरिएको थियो।

स्रोत: www.habr.com