आधुनिक अनुप्रयोग सुरक्षा प्रणाली (WAF) को कार्यक्षमता OWASP शीर्ष 10 बाट कमजोरीहरूको सूची भन्दा धेरै फराकिलो हुनुपर्छ।

पूर्वव्यापी

एप्लिकेसनहरूमा साइबर खतराहरूको मापन, संरचना, र संरचना द्रुत रूपमा विकसित हुँदैछ। धेरै वर्षदेखि, प्रयोगकर्ताहरूले लोकप्रिय वेब ब्राउजरहरू प्रयोग गरेर इन्टरनेटमा वेब अनुप्रयोगहरू पहुँच गरेका छन्। कुनै पनि समयमा 2-5 वेब ब्राउजरहरूलाई समर्थन गर्न आवश्यक थियो, र वेब अनुप्रयोगहरूको विकास र परीक्षणको लागि मापदण्डहरूको सेट एकदम सीमित थियो। उदाहरणका लागि, लगभग सबै डाटाबेसहरू SQL प्रयोग गरेर बनाइएका थिए। दुर्भाग्यवश, छोटो समय पछि, ह्याकरहरूले डेटा चोरी गर्न, मेटाउन वा परिवर्तन गर्न वेब अनुप्रयोगहरू प्रयोग गर्न सिके। तिनीहरूले गैरकानूनी पहुँच प्राप्त गरे र विभिन्न प्रविधिहरू प्रयोग गरेर अनुप्रयोग क्षमताहरूको दुरुपयोग गरे, जसमा एप्लिकेसन प्रयोगकर्ताहरूको धोका, इंजेक्शन, र रिमोट कोड कार्यान्वयन समावेश छ। चाँडै, वेब अनुप्रयोग फायरवाल (WAFs) भनिने व्यावसायिक वेब अनुप्रयोग सुरक्षा उपकरणहरू बजारमा आयो, र समुदायले विकास मापदण्ड र विधिहरू परिभाषित गर्न र कायम राख्न खुला वेब अनुप्रयोग सुरक्षा परियोजना, खुला वेब अनुप्रयोग सुरक्षा परियोजना (OWASP) सिर्जना गरेर प्रतिक्रिया दियो। सुरक्षित अनुप्रयोगहरू।

आधारभूत आवेदन सुरक्षा

OWASP शीर्ष 10 सूची अनुप्रयोगहरू सुरक्षित गर्नको लागि सुरूवात बिन्दु हो र यसले सबैभन्दा खतरनाक खतराहरू र गलत कन्फिगरेसनहरूको सूची समावेश गर्दछ जसले अनुप्रयोगको कमजोरीहरू निम्त्याउन सक्छ, साथै आक्रमणहरू पत्ता लगाउन र पराजित गर्ने रणनीतिहरू। OWASP शीर्ष 10 विश्वव्यापी अनुप्रयोग साइबर सुरक्षा उद्योगमा एक मान्यता प्राप्त बेन्चमार्क हो र वेब अनुप्रयोग सुरक्षा (WAF) प्रणालीमा हुनु पर्ने क्षमताहरूको कोर सूची परिभाषित गर्दछ।

थप रूपमा, WAF कार्यक्षमताले वेब अनुप्रयोगहरूमा अन्य सामान्य आक्रमणहरू, क्रस-साइट अनुरोध जालसाजी (CSRF), क्लिकज्याकिंग, वेब स्क्र्यापिङ, र फाइल समावेश (RFI/LFI) लगायतलाई ध्यानमा राख्नुपर्दछ।

आधुनिक अनुप्रयोगहरूको सुरक्षा सुनिश्चित गर्नका लागि खतराहरू र चुनौतीहरू

आज, सबै अनुप्रयोगहरू नेटवर्क संस्करणमा लागू हुँदैनन्। त्यहाँ क्लाउड एपहरू, मोबाइल एपहरू, एपीआईहरू, र नवीनतम आर्किटेक्चरहरूमा, अनुकूलन सफ्टवेयर प्रकार्यहरू छन्। यी सबै प्रकारका अनुप्रयोगहरूलाई सिङ्क्रोनाइज र नियन्त्रण गर्न आवश्यक छ किनभने तिनीहरूले हाम्रो डेटा सिर्जना, परिमार्जन र प्रशोधन गर्छन्। नयाँ प्रविधिहरू र प्रतिमानहरूको आगमनको साथ, अनुप्रयोग जीवनचक्रका सबै चरणहरूमा नयाँ जटिलताहरू र चुनौतीहरू उत्पन्न हुन्छन्। यसमा विकास र सञ्चालन एकीकरण (DevOps), कन्टेनरहरू, इन्टरनेट अफ थिंग्स (IoT), खुला स्रोत उपकरणहरू, APIs, र थप समावेश छन्।

अनुप्रयोगहरूको वितरित परिनियोजन र प्रविधिहरूको विविधताले सूचना सुरक्षा पेशेवरहरूका लागि मात्र होइन, तर अब एकीकृत दृष्टिकोणमा भर पर्न नसक्ने सुरक्षा समाधान विक्रेताहरूका लागि पनि जटिल र जटिल चुनौतीहरू सिर्जना गर्दछ। अनुप्रयोग सुरक्षा उपायहरूले प्रयोगकर्ताहरूको लागि गलत सकारात्मक र सेवाहरूको गुणस्तरमा अवरोध हुनबाट रोक्नको लागि तिनीहरूको व्यापार विवरणहरूलाई ध्यानमा राख्नुपर्छ।

ह्याकरहरूको अन्तिम लक्ष्य सामान्यतया डाटा चोर्नु वा सेवाहरूको उपलब्धतामा बाधा पुर्‍याउनु हो। आक्रमणकारीहरूले प्राविधिक विकासबाट पनि फाइदा लिन्छन्। पहिलो, नयाँ प्रविधिको विकासले थप सम्भावित खाडल र कमजोरीहरू सिर्जना गर्छ। दोस्रो, तिनीहरूसँग परम्परागत सुरक्षा उपायहरू बाइपास गर्न तिनीहरूको शस्त्रागारमा थप उपकरण र ज्ञान छ। यसले तथाकथित "आक्रमण सतह" र संगठनहरूको नयाँ जोखिमहरूको जोखिमलाई धेरै बढाउँछ। प्रविधि र अनुप्रयोगहरूमा परिवर्तनहरूको प्रतिक्रियामा सुरक्षा नीतिहरू निरन्तर परिवर्तन हुनुपर्छ।

तसर्थ, एप्लिकेसनहरू आक्रमण विधिहरू र स्रोतहरूको निरन्तर बढ्दो विविधताबाट सुरक्षित हुनुपर्छ, र स्वचालित आक्रमणहरू वास्तविक समयमा सूचित निर्णयहरूमा आधारित हुनुपर्छ। नतिजा लेनदेन लागत र म्यानुअल श्रम, एक कमजोर सुरक्षा मुद्रा संग जोडिएको वृद्धि हो।

कार्य #1: बटहरू प्रबन्ध गर्दै

इन्टरनेट ट्राफिकको 60% भन्दा बढी बटहरू द्वारा उत्पन्न हुन्छ, जसमध्ये आधा "खराब" ट्राफिक हो (का अनुसार Radware सुरक्षा रिपोर्ट)। संस्थाहरूले सञ्जाल क्षमता बढाउनमा लगानी गर्छन्, अनिवार्य रूपमा काल्पनिक भार प्रदान गर्दै। वास्तविक प्रयोगकर्ता ट्राफिक र बोट ट्राफिक, साथै "राम्रो" बटहरू (उदाहरणका लागि, खोज रोबोटहरू र मूल्य तुलना सेवाहरू) र "खराब" बटहरू बीचको भिन्नताले महत्त्वपूर्ण लागत बचत र प्रयोगकर्ताहरूको लागि सेवाको गुणस्तर सुधार गर्न सक्छ।

बटहरूले यो कार्यलाई सजिलो बनाउँदैनन्, र तिनीहरूले वास्तविक प्रयोगकर्ताहरूको व्यवहारको नक्कल गर्न सक्छन्, क्याप्चाहरू र अन्य अवरोधहरूलाई बाइपास गर्न सक्छन्। यसबाहेक, गतिशील IP ठेगानाहरू प्रयोग गरेर आक्रमणहरूको अवस्थामा, IP ठेगाना फिल्टरिङमा आधारित सुरक्षा अप्रभावी हुन्छ। प्राय:, क्लाइन्ट-साइड जाभास्क्रिप्ट ह्यान्डल गर्न सक्ने खुला स्रोत विकास उपकरणहरू (उदाहरणका लागि, फ्यान्टम जेएस) ब्रूट-फोर्स आक्रमणहरू, क्रेडेन्सियल स्टफिङ आक्रमणहरू, DDoS आक्रमणहरू, र स्वचालित बोट आक्रमणहरू सुरु गर्न प्रयोग गरिन्छ।

बोट ट्राफिकलाई प्रभावकारी रूपमा व्यवस्थापन गर्न, यसको स्रोतको एक अद्वितीय पहिचान (जस्तै फिंगरप्रिन्ट) आवश्यक छ। बोट आक्रमणले धेरै रेकर्डहरू उत्पन्न गरेको हुनाले, यसको फिंगरप्रिन्टले यसलाई शंकास्पद गतिविधि पहिचान गर्न र स्कोरहरू तोक्न अनुमति दिन्छ, जसको आधारमा अनुप्रयोग सुरक्षा प्रणालीले सूचित निर्णय गर्छ - ब्लक/अनुमति दिनुहोस् - झूटा सकारात्मकहरूको न्यूनतम दरको साथ।

चुनौती #2: API को सुरक्षा

धेरै अनुप्रयोगहरूले API मार्फत अन्तरक्रिया गर्ने सेवाहरूबाट जानकारी र डेटा सङ्कलन गर्छन्। एपीआई मार्फत संवेदनशील डाटा प्रसारण गर्दा, 50% भन्दा बढी संगठनहरूले साइबर आक्रमणहरू पत्ता लगाउन एपीआईहरू मान्य वा सुरक्षित गर्दैनन्।

API प्रयोग गर्ने उदाहरणहरू:

• चीजहरूको इन्टरनेट (IoT) एकीकरण
• मेसिन देखि मेसिन संचार
• सर्भररहित वातावरण
• मोबाइल अनुप्रयोगहरू
• घटना-संचालित अनुप्रयोगहरू

API कमजोरीहरू एप्लिकेसन कमजोरीहरू जस्तै छन् र इंजेक्शनहरू, प्रोटोकल आक्रमणहरू, प्यारामिटर हेरफेर, रिडिरेक्टहरू, र बोट आक्रमणहरू समावेश छन्। समर्पित API गेटवेहरूले API मार्फत अन्तरक्रिया गर्ने एप्लिकेसन सेवाहरू बीच अनुकूलता सुनिश्चित गर्न मद्दत गर्दछ। यद्यपि, तिनीहरूले WAF ले आवश्यक सुरक्षा उपकरणहरू जस्तै HTTP हेडर पार्सिङ, लेयर 7 एक्सेस कन्ट्रोल लिस्ट (ACL), JSON/XML पेलोड पार्सिङ र निरीक्षण, र सबै कमजोरीहरू विरुद्ध सुरक्षा प्रदान गर्न सक्ने जस्ता अनुप्रयोग सुरक्षा प्रदान गर्दैनन्। OWASP शीर्ष 10 सूची। यो सकारात्मक र नकारात्मक मोडेलहरू प्रयोग गरेर प्रमुख API मानहरू निरीक्षण गरेर प्राप्त गरिन्छ।

चुनौती #3: सेवा अस्वीकार

एक पुरानो आक्रमण भेक्टर, सेवा अस्वीकार (DoS), आक्रमण अनुप्रयोगहरूमा यसको प्रभावकारिता प्रमाणित गर्न जारी छ। आक्रमणकारीहरूसँग HTTP वा HTTPS बाढी, कम र ढिलो आक्रमणहरू (जस्तै SlowLoris, LOIC, Torshammer), डायनामिक IP ठेगानाहरू प्रयोग गरेर आक्रमणहरू, बफर ओभरफ्लो, ब्रूट फोर्स-आक्रमणहरू, र धेरै अन्यहरू सहित अनुप्रयोग सेवाहरू अवरुद्ध गर्न सफल प्रविधिहरूको दायरा छ। । चीजहरूको इन्टरनेटको विकास र IoT बोटनेटहरूको पछिल्ला उदयको साथ, अनुप्रयोगहरूमा आक्रमणहरू DDoS आक्रमणहरूको मुख्य केन्द्रबिन्दु बनेको छ। धेरै स्टेटफुल WAF ले सीमित मात्रामा भार मात्र ह्यान्डल गर्न सक्छ। यद्यपि, तिनीहरूले HTTP/S ट्राफिक प्रवाहहरू निरीक्षण गर्न सक्छन् र आक्रमण ट्राफिक र मालिसियस जडानहरू हटाउन सक्छन्। एक पटक आक्रमणको पहिचान गरिसकेपछि, यो ट्राफिक पुन: पास गर्नुको कुनै मतलब छैन। आक्रमणहरू हटाउन WAF को क्षमता सीमित भएकोले, अर्को "खराब" प्याकेटहरू स्वचालित रूपमा ब्लक गर्न नेटवर्क परिधिमा थप समाधान आवश्यक छ। यस सुरक्षा परिदृश्यको लागि, दुवै समाधानहरू आक्रमणको बारेमा जानकारी आदानप्रदान गर्न एकअर्कासँग सञ्चार गर्न सक्षम हुनुपर्छ।

चित्र 1. Radware समाधानहरूको उदाहरण प्रयोग गरेर व्यापक नेटवर्क र अनुप्रयोग सुरक्षाको संगठन

चुनौती #4: निरन्तर संरक्षण

आवेदन बारम्बार परिवर्तन। विकास र कार्यान्वयन विधिहरू जस्तै रोलिङ अद्यावधिकहरूको अर्थ मानव हस्तक्षेप वा नियन्त्रण बिना परिमार्जनहरू हुन्छन्। यस्तो गतिशील वातावरणमा, धेरै संख्यामा गलत सकारात्मकताहरू बिना पर्याप्त रूपमा कार्य गर्ने सुरक्षा नीतिहरू कायम राख्न गाह्रो छ। मोबाइल अनुप्रयोगहरू वेब अनुप्रयोगहरू भन्दा धेरै पटक अद्यावधिक हुन्छन्। तेस्रो पक्ष अनुप्रयोगहरू तपाईंको जानकारी बिना परिवर्तन हुन सक्छ। केही संस्थाहरूले सम्भावित जोखिमहरूको शीर्षमा रहन थप नियन्त्रण र दृश्यता खोजिरहेका छन्। यद्यपि, यो सँधै प्राप्त गर्न मिल्दैन, र भरपर्दो अनुप्रयोग सुरक्षाले मेसिन लर्निङको शक्ति प्रयोग गर्नै पर्छ उपलब्ध स्रोतहरूको हिसाब र कल्पना गर्न, सम्भावित खतराहरूको विश्लेषण गर्न, र अनुप्रयोग परिमार्जनको घटनामा सुरक्षा नीतिहरू सिर्जना र अनुकूलन गर्न।

निष्कर्ष

अनुप्रयोगहरूले दैनिक जीवनमा बढ्दो महत्त्वपूर्ण भूमिका खेल्ने हुनाले, तिनीहरू ह्याकरहरूको लागि मुख्य लक्ष्य बन्छन्। अपराधीहरूको लागि सम्भावित पुरस्कार र व्यवसायहरूको लागि सम्भावित हानि ठूलो छ। एप्लिकेसन सुरक्षा कार्यको जटिलतालाई एप्लिकेसन र धम्कीहरूको संख्या र भिन्नता दिएर अतिरंजित गर्न सकिँदैन।

सौभाग्यवश, हामी समयको एउटा बिन्दुमा छौं जहाँ कृत्रिम बुद्धिमत्ता हाम्रो सहायतामा आउन सक्छ। मेसिन लर्निङ-आधारित एल्गोरिदमहरूले वास्तविक-समय, सबैभन्दा उन्नत साइबर खतराहरू लक्षित अनुप्रयोगहरू विरुद्ध अनुकूली सुरक्षा प्रदान गर्दछ। तिनीहरूले वेब, मोबाइल, र क्लाउड अनुप्रयोगहरू — र API हरू — झूटा सकारात्मक बिना सुरक्षित गर्न सुरक्षा नीतिहरू स्वचालित रूपमा अपडेट गर्छन्।

अनुप्रयोग साइबर थ्रेटहरूको अर्को पुस्ता (सम्भवतः मेसिन लर्निङमा आधारित) के हुनेछ भन्ने निश्चितताका साथ भविष्यवाणी गर्न गाह्रो छ। तर संस्थाहरूले पक्कै पनि ग्राहक डेटाको सुरक्षा गर्न, बौद्धिक सम्पत्तिको सुरक्षा गर्न र उत्कृष्ट व्यापारिक लाभहरू सहित सेवा उपलब्धता सुनिश्चित गर्न कदमहरू चाल्न सक्छन्।

अनुप्रयोग सुरक्षा सुनिश्चित गर्न प्रभावकारी दृष्टिकोण र विधिहरू, आक्रमणका मुख्य प्रकारहरू र भेक्टरहरू, जोखिम क्षेत्रहरू र वेब अनुप्रयोगहरूको साइबर सुरक्षामा अन्तरहरू, साथै विश्वव्यापी अनुभव र उत्कृष्ट अभ्यासहरू Radware अध्ययन र रिपोर्टमा प्रस्तुत गरिएका छन्।डिजिटल जडान भएको संसारमा वेब अनुप्रयोग सुरक्षा"।

स्रोत: www.habr.com