ਆਧੁਨਿਕ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰਣਾਲੀਆਂ (WAF) ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ OWASP ਸਿਖਰ 10 ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਸੂਚੀ ਨਾਲੋਂ ਬਹੁਤ ਜ਼ਿਆਦਾ ਵਿਆਪਕ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ।

ਪਿਛਾਖੜੀ

ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਸਾਈਬਰ ਖਤਰਿਆਂ ਦਾ ਪੈਮਾਨਾ, ਰਚਨਾ ਅਤੇ ਰਚਨਾ ਤੇਜ਼ੀ ਨਾਲ ਵਿਕਸਤ ਹੋ ਰਹੀ ਹੈ। ਕਈ ਸਾਲਾਂ ਤੋਂ, ਉਪਭੋਗਤਾਵਾਂ ਨੇ ਪ੍ਰਸਿੱਧ ਵੈੱਬ ਬ੍ਰਾਉਜ਼ਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੰਟਰਨੈਟ ਤੇ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਤੱਕ ਪਹੁੰਚ ਕੀਤੀ ਹੈ। ਕਿਸੇ ਵੀ ਸਮੇਂ 2-5 ਵੈਬ ਬ੍ਰਾਉਜ਼ਰਾਂ ਦਾ ਸਮਰਥਨ ਕਰਨਾ ਜ਼ਰੂਰੀ ਸੀ, ਅਤੇ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਅਤੇ ਟੈਸਟ ਕਰਨ ਲਈ ਮਾਪਦੰਡਾਂ ਦਾ ਸੈੱਟ ਕਾਫ਼ੀ ਸੀਮਤ ਸੀ। ਉਦਾਹਰਨ ਲਈ, ਲਗਭਗ ਸਾਰੇ ਡੇਟਾਬੇਸ SQL ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਣਾਏ ਗਏ ਸਨ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਥੋੜ੍ਹੇ ਸਮੇਂ ਬਾਅਦ, ਹੈਕਰਾਂ ਨੇ ਡਾਟਾ ਚੋਰੀ ਕਰਨ, ਮਿਟਾਉਣ ਜਾਂ ਬਦਲਣ ਲਈ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਸਿੱਖ ਲਿਆ। ਉਹਨਾਂ ਨੇ ਕਈ ਤਰ੍ਹਾਂ ਦੀਆਂ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਪਲੀਕੇਸ਼ਨ ਸਮਰੱਥਾਵਾਂ ਤੱਕ ਗੈਰ-ਕਾਨੂੰਨੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਅਤੇ ਦੁਰਵਿਵਹਾਰ ਕੀਤਾ, ਜਿਸ ਵਿੱਚ ਐਪਲੀਕੇਸ਼ਨ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਧੋਖਾ ਦੇਣਾ, ਇੰਜੈਕਸ਼ਨ ਅਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਸ਼ਾਮਲ ਹੈ। ਜਲਦੀ ਹੀ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (ਡਬਲਯੂਏਐਫ) ਨਾਮਕ ਵਪਾਰਕ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਟੂਲ ਮਾਰਕੀਟ ਵਿੱਚ ਆ ਗਏ, ਅਤੇ ਕਮਿਊਨਿਟੀ ਨੇ ਵਿਕਾਸ ਦੇ ਮਿਆਰਾਂ ਅਤੇ ਵਿਧੀਆਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਅਤੇ ਕਾਇਮ ਰੱਖਣ ਲਈ ਇੱਕ ਓਪਨ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰੋਜੈਕਟ, ਓਪਨ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰੋਜੈਕਟ (OWASP) ਬਣਾ ਕੇ ਜਵਾਬ ਦਿੱਤਾ। ਸੁਰੱਖਿਅਤ ਐਪਲੀਕੇਸ਼ਨ।

ਬੁਨਿਆਦੀ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ

OWASP ਸਿਖਰ 10 ਸੂਚੀ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਸ਼ੁਰੂਆਤੀ ਬਿੰਦੂ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਸਭ ਤੋਂ ਖ਼ਤਰਨਾਕ ਖਤਰਿਆਂ ਅਤੇ ਗਲਤ ਸੰਰਚਨਾਵਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਸ਼ਾਮਲ ਹੈ ਜੋ ਐਪਲੀਕੇਸ਼ਨ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੀਆਂ ਹਨ, ਨਾਲ ਹੀ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਹਰਾਉਣ ਲਈ ਰਣਨੀਤੀਆਂ। OWASP ਟੌਪ 10 ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਐਪਲੀਕੇਸ਼ਨ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਉਦਯੋਗ ਵਿੱਚ ਇੱਕ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਬੈਂਚਮਾਰਕ ਹੈ ਅਤੇ ਸਮਰੱਥਾਵਾਂ ਦੀ ਕੋਰ ਸੂਚੀ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ ਜੋ ਇੱਕ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ (WAF) ਸਿਸਟਮ ਵਿੱਚ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, WAF ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਹੋਰ ਆਮ ਹਮਲਿਆਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ (CSRF), ਕਲਿੱਕਜੈਕਿੰਗ, ਵੈੱਬ ਸਕ੍ਰੈਪਿੰਗ, ਅਤੇ ਫਾਈਲ ਇਨਕਲੂਜ਼ਨ (RFI/LFI) ਸ਼ਾਮਲ ਹਨ।

ਆਧੁਨਿਕ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਧਮਕੀਆਂ ਅਤੇ ਚੁਣੌਤੀਆਂ

ਅੱਜ, ਸਾਰੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਇੱਕ ਨੈਟਵਰਕ ਸੰਸਕਰਣ ਵਿੱਚ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇੱਥੇ ਕਲਾਉਡ ਐਪਸ, ਮੋਬਾਈਲ ਐਪਸ, API, ਅਤੇ ਨਵੀਨਤਮ ਆਰਕੀਟੈਕਚਰ ਵਿੱਚ, ਕਸਟਮ ਸੌਫਟਵੇਅਰ ਫੰਕਸ਼ਨ ਵੀ ਹਨ। ਇਹਨਾਂ ਸਾਰੀਆਂ ਕਿਸਮਾਂ ਦੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਸਮਕਾਲੀ ਅਤੇ ਨਿਯੰਤਰਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਕਿਉਂਕਿ ਉਹ ਸਾਡੇ ਡੇਟਾ ਨੂੰ ਬਣਾਉਂਦੇ, ਸੋਧਦੇ ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਹਨ। ਨਵੀਆਂ ਤਕਨੀਕਾਂ ਅਤੇ ਪੈਰਾਡਾਈਮਾਂ ਦੇ ਆਗਮਨ ਦੇ ਨਾਲ, ਐਪਲੀਕੇਸ਼ਨ ਜੀਵਨ ਚੱਕਰ ਦੇ ਸਾਰੇ ਪੜਾਵਾਂ 'ਤੇ ਨਵੀਆਂ ਗੁੰਝਲਾਂ ਅਤੇ ਚੁਣੌਤੀਆਂ ਪੈਦਾ ਹੁੰਦੀਆਂ ਹਨ। ਇਸ ਵਿੱਚ ਵਿਕਾਸ ਅਤੇ ਓਪਰੇਸ਼ਨ ਏਕੀਕਰਣ (DevOps), ਕੰਟੇਨਰ, ਇੰਟਰਨੈਟ ਆਫ ਥਿੰਗਸ (IoT), ਓਪਨ ਸੋਰਸ ਟੂਲ, API, ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ ਸ਼ਾਮਲ ਹੈ।

ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਵੰਡੀ ਤੈਨਾਤੀ ਅਤੇ ਤਕਨਾਲੋਜੀਆਂ ਦੀ ਵਿਭਿੰਨਤਾ ਨਾ ਸਿਰਫ਼ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਪੇਸ਼ੇਵਰਾਂ ਲਈ, ਸਗੋਂ ਸੁਰੱਖਿਆ ਹੱਲ ਵਿਕਰੇਤਾਵਾਂ ਲਈ ਵੀ ਗੁੰਝਲਦਾਰ ਅਤੇ ਗੁੰਝਲਦਾਰ ਚੁਣੌਤੀਆਂ ਪੈਦਾ ਕਰਦੀ ਹੈ ਜੋ ਹੁਣ ਇੱਕ ਏਕੀਕ੍ਰਿਤ ਪਹੁੰਚ 'ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹਨ। ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਗਲਤ ਸਕਾਰਾਤਮਕ ਅਤੇ ਸੇਵਾਵਾਂ ਦੀ ਗੁਣਵੱਤਾ ਵਿੱਚ ਵਿਘਨ ਨੂੰ ਰੋਕਣ ਲਈ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਕਾਰੋਬਾਰੀ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।

ਹੈਕਰਾਂ ਦਾ ਅੰਤਮ ਟੀਚਾ ਆਮ ਤੌਰ 'ਤੇ ਡੇਟਾ ਚੋਰੀ ਕਰਨਾ ਜਾਂ ਸੇਵਾਵਾਂ ਦੀ ਉਪਲਬਧਤਾ ਵਿੱਚ ਵਿਘਨ ਪਾਉਣਾ ਹੁੰਦਾ ਹੈ। ਹਮਲਾਵਰਾਂ ਨੂੰ ਤਕਨੀਕੀ ਵਿਕਾਸ ਤੋਂ ਵੀ ਫਾਇਦਾ ਹੁੰਦਾ ਹੈ। ਪਹਿਲਾਂ, ਨਵੀਆਂ ਤਕਨੀਕਾਂ ਦਾ ਵਿਕਾਸ ਵਧੇਰੇ ਸੰਭਾਵੀ ਪਾੜੇ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਦੂਜਾ, ਉਹਨਾਂ ਕੋਲ ਰਵਾਇਤੀ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਉਹਨਾਂ ਦੇ ਹਥਿਆਰਾਂ ਵਿੱਚ ਵਧੇਰੇ ਸਾਧਨ ਅਤੇ ਗਿਆਨ ਹੈ। ਇਹ ਅਖੌਤੀ "ਹਮਲੇ ਦੀ ਸਤਹ" ਅਤੇ ਸੰਗਠਨਾਂ ਦੇ ਨਵੇਂ ਜੋਖਮਾਂ ਦੇ ਸੰਪਰਕ ਵਿੱਚ ਬਹੁਤ ਵਾਧਾ ਕਰਦਾ ਹੈ। ਤਕਨਾਲੋਜੀ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦੇ ਜਵਾਬ ਵਿੱਚ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਲਗਾਤਾਰ ਬਦਲਣਾ ਚਾਹੀਦਾ ਹੈ।

ਇਸ ਤਰ੍ਹਾਂ, ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਹਮਲੇ ਦੇ ਤਰੀਕਿਆਂ ਅਤੇ ਸਰੋਤਾਂ ਦੀ ਇੱਕ ਲਗਾਤਾਰ ਵਧ ਰਹੀ ਕਿਸਮ ਤੋਂ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਸੂਚਿਤ ਫੈਸਲਿਆਂ ਦੇ ਅਧਾਰ 'ਤੇ ਸਵੈਚਲਿਤ ਹਮਲਿਆਂ ਦਾ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਮੁਕਾਬਲਾ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਨਤੀਜਾ ਇੱਕ ਕਮਜ਼ੋਰ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਦੇ ਨਾਲ, ਟ੍ਰਾਂਜੈਕਸ਼ਨ ਦੀਆਂ ਲਾਗਤਾਂ ਅਤੇ ਹੱਥੀਂ ਕਿਰਤ ਵਿੱਚ ਵਾਧਾ ਹੁੰਦਾ ਹੈ।

ਟਾਸਕ #1: ਬੋਟਾਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨਾ

60% ਤੋਂ ਵੱਧ ਇੰਟਰਨੈਟ ਟ੍ਰੈਫਿਕ ਬੋਟਾਂ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚੋਂ ਅੱਧਾ "ਮਾੜਾ" ਟ੍ਰੈਫਿਕ ਹੈ (ਦੇ ਅਨੁਸਾਰ ਰੈਡਵੇਅਰ ਸੁਰੱਖਿਆ ਰਿਪੋਰਟ). ਸੰਸਥਾਵਾਂ ਨੈੱਟਵਰਕ ਸਮਰੱਥਾ ਵਧਾਉਣ ਵਿੱਚ ਨਿਵੇਸ਼ ਕਰਦੀਆਂ ਹਨ, ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਇੱਕ ਫਰਜ਼ੀ ਲੋਡ ਦੀ ਸੇਵਾ ਕਰਦੀਆਂ ਹਨ। ਅਸਲ ਉਪਭੋਗਤਾ ਟ੍ਰੈਫਿਕ ਅਤੇ ਬੋਟ ਟ੍ਰੈਫਿਕ ਦੇ ਨਾਲ-ਨਾਲ "ਚੰਗੇ" ਬੋਟਸ (ਉਦਾਹਰਨ ਲਈ, ਖੋਜ ਇੰਜਣ ਅਤੇ ਕੀਮਤ ਤੁਲਨਾ ਸੇਵਾਵਾਂ) ਅਤੇ "ਬੁਰੇ" ਬੋਟਸ ਵਿਚਕਾਰ ਸਹੀ ਫਰਕ ਕਰਨ ਨਾਲ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਮਹੱਤਵਪੂਰਣ ਲਾਗਤ ਬਚਤ ਅਤੇ ਸੇਵਾ ਦੀ ਗੁਣਵੱਤਾ ਵਿੱਚ ਸੁਧਾਰ ਹੋ ਸਕਦਾ ਹੈ।

ਬੋਟਸ ਇਸ ਕੰਮ ਨੂੰ ਆਸਾਨ ਬਣਾਉਣ ਲਈ ਨਹੀਂ ਜਾ ਰਹੇ ਹਨ, ਅਤੇ ਉਹ ਅਸਲ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਵਿਵਹਾਰ ਦੀ ਨਕਲ ਕਰ ਸਕਦੇ ਹਨ, ਕੈਪਟਚਾ ਅਤੇ ਹੋਰ ਰੁਕਾਵਟਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦੇ ਹਨ. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਗਤੀਸ਼ੀਲ IP ਐਡਰੈੱਸ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹਮਲਿਆਂ ਦੇ ਮਾਮਲੇ ਵਿਚ, IP ਐਡਰੈੱਸ ਫਿਲਟਰਿੰਗ 'ਤੇ ਆਧਾਰਿਤ ਸੁਰੱਖਿਆ ਬੇਅਸਰ ਹੋ ਜਾਂਦੀ ਹੈ। ਅਕਸਰ, ਓਪਨ ਸੋਰਸ ਡਿਵੈਲਪਮੈਂਟ ਟੂਲ (ਉਦਾਹਰਨ ਲਈ, ਫੈਂਟਮ ਜੇਐਸ) ਜੋ ਕਿ ਕਲਾਇੰਟ-ਸਾਈਡ JavaScript ਨੂੰ ਹੈਂਡਲ ਕਰ ਸਕਦੇ ਹਨ, ਨੂੰ ਬਰੂਟ-ਫੋਰਸ ਅਟੈਕ, ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਸਟਫਿੰਗ ਹਮਲੇ, DDoS ਹਮਲੇ, ਅਤੇ ਆਟੋਮੇਟਿਡ ਬੋਟ ਹਮਲਿਆਂ ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਬੋਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਢੰਗ ਨਾਲ ਪ੍ਰਬੰਧਿਤ ਕਰਨ ਲਈ, ਇਸਦੇ ਸਰੋਤ ਦੀ ਇੱਕ ਵਿਲੱਖਣ ਪਛਾਣ (ਜਿਵੇਂ ਇੱਕ ਫਿੰਗਰਪ੍ਰਿੰਟ) ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਕਿਉਂਕਿ ਇੱਕ ਬੋਟ ਹਮਲਾ ਕਈ ਰਿਕਾਰਡ ਤਿਆਰ ਕਰਦਾ ਹੈ, ਇਸਦਾ ਫਿੰਗਰਪ੍ਰਿੰਟ ਇਸਨੂੰ ਸ਼ੱਕੀ ਗਤੀਵਿਧੀ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਸਕੋਰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਜਿਸਦੇ ਅਧਾਰ 'ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰਣਾਲੀ ਇੱਕ ਸੂਚਿਤ ਫੈਸਲਾ ਲੈਂਦੀ ਹੈ - ਬਲਾਕ/ਇਜਾਜ਼ਤ - ਗਲਤ ਸਕਾਰਾਤਮਕ ਦੀ ਘੱਟੋ-ਘੱਟ ਦਰ ਨਾਲ।

ਚੁਣੌਤੀ #2: API ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ

ਬਹੁਤ ਸਾਰੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਉਹਨਾਂ ਸੇਵਾਵਾਂ ਤੋਂ ਜਾਣਕਾਰੀ ਅਤੇ ਡੇਟਾ ਇਕੱਠਾ ਕਰਦੀਆਂ ਹਨ ਜਿਨ੍ਹਾਂ ਨਾਲ ਉਹ APIs ਰਾਹੀਂ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ। APIs ਦੁਆਰਾ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਪ੍ਰਸਾਰਿਤ ਕਰਦੇ ਸਮੇਂ, 50% ਤੋਂ ਵੱਧ ਸੰਸਥਾਵਾਂ ਸਾਈਬਰ ਅਟੈਕਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਨਾ ਤਾਂ ਪ੍ਰਮਾਣਿਤ ਕਰਦੀਆਂ ਹਨ ਅਤੇ ਨਾ ਹੀ ਸੁਰੱਖਿਅਤ ਕਰਦੀਆਂ ਹਨ।

API ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀਆਂ ਉਦਾਹਰਨਾਂ:

• ਚੀਜ਼ਾਂ ਦਾ ਇੰਟਰਨੈਟ (IoT) ਏਕੀਕਰਣ
• ਮਸ਼ੀਨ-ਟੂ-ਮਸ਼ੀਨ ਸੰਚਾਰ
• ਸਰਵਰ ਰਹਿਤ ਵਾਤਾਵਰਣ
• ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨ
• ਇਵੈਂਟ-ਸੰਚਾਲਿਤ ਐਪਲੀਕੇਸ਼ਨ

API ਕਮਜ਼ੋਰੀਆਂ ਐਪਲੀਕੇਸ਼ਨ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸਮਾਨ ਹਨ ਅਤੇ ਇਸ ਵਿੱਚ ਇੰਜੈਕਸ਼ਨ, ਪ੍ਰੋਟੋਕੋਲ ਹਮਲੇ, ਪੈਰਾਮੀਟਰ ਹੇਰਾਫੇਰੀ, ਰੀਡਾਇਰੈਕਟਸ, ਅਤੇ ਬੋਟ ਹਮਲੇ ਸ਼ਾਮਲ ਹਨ। ਸਮਰਪਿਤ API ਗੇਟਵੇ ਐਪਲੀਕੇਸ਼ਨ ਸੇਵਾਵਾਂ ਦੇ ਵਿਚਕਾਰ ਅਨੁਕੂਲਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ ਜੋ APIs ਦੁਆਰਾ ਇੰਟਰੈਕਟ ਕਰਦੇ ਹਨ। ਹਾਲਾਂਕਿ, ਉਹ ਐਂਡ-ਟੂ-ਐਂਡ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦੇ ਹਨ ਜਿਵੇਂ ਕਿ WAF ਜ਼ਰੂਰੀ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਜਿਵੇਂ ਕਿ HTTP ਹੈਡਰ ਪਾਰਸਿੰਗ, ਲੇਅਰ 7 ਐਕਸੈਸ ਕੰਟਰੋਲ ਲਿਸਟ (ACL), JSON/XML ਪੇਲੋਡ ਪਾਰਸਿੰਗ ਅਤੇ ਨਿਰੀਖਣ, ਅਤੇ ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। OWASP ਸਿਖਰ 10 ਸੂਚੀ। ਇਹ ਸਕਾਰਾਤਮਕ ਅਤੇ ਨਕਾਰਾਤਮਕ ਮਾਡਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਮੁੱਖ API ਮੁੱਲਾਂ ਦੀ ਜਾਂਚ ਕਰਕੇ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਚੁਣੌਤੀ #3: ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ

ਇੱਕ ਪੁਰਾਣਾ ਹਮਲਾ ਵੈਕਟਰ, ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ (DoS), ਹਮਲਾ ਕਰਨ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਆਪਣੀ ਪ੍ਰਭਾਵਸ਼ੀਲਤਾ ਨੂੰ ਸਾਬਤ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ। ਹਮਲਾਵਰਾਂ ਕੋਲ ਐਪਲੀਕੇਸ਼ਨ ਸੇਵਾਵਾਂ ਵਿੱਚ ਵਿਘਨ ਪਾਉਣ ਲਈ ਕਈ ਸਫਲ ਤਕਨੀਕਾਂ ਹਨ, ਜਿਸ ਵਿੱਚ HTTP ਜਾਂ HTTPS ਹੜ੍ਹ, ਘੱਟ ਅਤੇ ਹੌਲੀ ਹਮਲੇ (ਜਿਵੇਂ ਕਿ SlowLoris, LOIC, Torshammer), ਡਾਇਨਾਮਿਕ IP ਪਤਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹਮਲੇ, ਬਫਰ ਓਵਰਫਲੋ, ਬਰੂਟ ਫੋਰਸ-ਅਟੈਕ ਅਤੇ ਹੋਰ ਬਹੁਤ ਸਾਰੇ ਸ਼ਾਮਲ ਹਨ। . ਚੀਜ਼ਾਂ ਦੇ ਇੰਟਰਨੈਟ ਦੇ ਵਿਕਾਸ ਅਤੇ IoT ਬੋਟਨੈੱਟ ਦੇ ਬਾਅਦ ਦੇ ਉਭਾਰ ਦੇ ਨਾਲ, ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਹਮਲੇ DDoS ਹਮਲਿਆਂ ਦਾ ਮੁੱਖ ਕੇਂਦਰ ਬਣ ਗਏ ਹਨ. ਜ਼ਿਆਦਾਤਰ ਸਟੇਟਫੁੱਲ ਡਬਲਯੂਏਐਫ ਸਿਰਫ ਸੀਮਤ ਮਾਤਰਾ ਵਿੱਚ ਲੋਡ ਨੂੰ ਸੰਭਾਲ ਸਕਦੇ ਹਨ। ਹਾਲਾਂਕਿ, ਉਹ HTTP/S ਟ੍ਰੈਫਿਕ ਪ੍ਰਵਾਹ ਦੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਹਮਲੇ ਦੇ ਟ੍ਰੈਫਿਕ ਅਤੇ ਖਤਰਨਾਕ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਹਟਾ ਸਕਦੇ ਹਨ। ਇੱਕ ਵਾਰ ਹਮਲੇ ਦੀ ਪਛਾਣ ਹੋ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਇਸ ਟ੍ਰੈਫਿਕ ਨੂੰ ਦੁਬਾਰਾ ਪਾਸ ਕਰਨ ਦਾ ਕੋਈ ਮਤਲਬ ਨਹੀਂ ਹੈ। ਕਿਉਂਕਿ WAF ਦੀ ਹਮਲਿਆਂ ਨੂੰ ਦੂਰ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਸੀਮਤ ਹੈ, ਅਗਲੇ "ਬੁਰੇ" ਪੈਕੇਟਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਬਲੌਕ ਕਰਨ ਲਈ ਨੈੱਟਵਰਕ ਘੇਰੇ 'ਤੇ ਇੱਕ ਵਾਧੂ ਹੱਲ ਦੀ ਲੋੜ ਹੈ। ਇਸ ਸੁਰੱਖਿਆ ਦ੍ਰਿਸ਼ ਲਈ, ਦੋਵੇਂ ਹੱਲ ਹਮਲਿਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਇੱਕ ਦੂਜੇ ਨਾਲ ਸੰਚਾਰ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ।

ਚਿੱਤਰ 1. ਰੈਡਵੇਅਰ ਹੱਲਾਂ ਦੀ ਉਦਾਹਰਣ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵਿਆਪਕ ਨੈਟਵਰਕ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਦਾ ਸੰਗਠਨ

ਚੁਣੌਤੀ #4: ਨਿਰੰਤਰ ਸੁਰੱਖਿਆ

ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਕਸਰ ਬਦਲਦੀਆਂ ਰਹਿੰਦੀਆਂ ਹਨ। ਵਿਕਾਸ ਅਤੇ ਲਾਗੂ ਕਰਨ ਦੀਆਂ ਵਿਧੀਆਂ ਜਿਵੇਂ ਕਿ ਰੋਲਿੰਗ ਅਪਡੇਟਸ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸੋਧਾਂ ਮਨੁੱਖੀ ਦਖਲ ਜਾਂ ਨਿਯੰਤਰਣ ਤੋਂ ਬਿਨਾਂ ਹੁੰਦੀਆਂ ਹਨ। ਅਜਿਹੇ ਗਤੀਸ਼ੀਲ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ, ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਗਲਤ ਸਕਾਰਾਤਮਕਤਾਵਾਂ ਦੇ ਬਿਨਾਂ ਢੁਕਵੀਂ ਕਾਰਜਸ਼ੀਲ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਕਾਇਮ ਰੱਖਣਾ ਮੁਸ਼ਕਲ ਹੈ। ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨਾਲੋਂ ਬਹੁਤ ਜ਼ਿਆਦਾ ਵਾਰ ਅੱਪਡੇਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਤੀਜੀ ਧਿਰ ਦੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਤੁਹਾਡੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਬਦਲ ਸਕਦੀਆਂ ਹਨ। ਕੁਝ ਸੰਸਥਾਵਾਂ ਸੰਭਾਵੀ ਜੋਖਮਾਂ ਦੇ ਸਿਖਰ 'ਤੇ ਰਹਿਣ ਲਈ ਵਧੇਰੇ ਨਿਯੰਤਰਣ ਅਤੇ ਦਿੱਖ ਦੀ ਮੰਗ ਕਰ ਰਹੀਆਂ ਹਨ। ਹਾਲਾਂਕਿ, ਇਹ ਹਮੇਸ਼ਾ ਪ੍ਰਾਪਤੀਯੋਗ ਨਹੀਂ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਭਰੋਸੇਮੰਦ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਲਈ ਮਸ਼ੀਨ ਸਿਖਲਾਈ ਦੀ ਸ਼ਕਤੀ ਦੀ ਵਰਤੋਂ ਉਪਲਬਧ ਸਰੋਤਾਂ ਦੀ ਕਲਪਨਾ ਕਰਨ, ਸੰਭਾਵੀ ਖਤਰਿਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸੋਧਾਂ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਬਣਾਉਣ ਅਤੇ ਅਨੁਕੂਲ ਬਣਾਉਣ ਲਈ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

ਸਿੱਟਾ

ਜਿਵੇਂ ਕਿ ਐਪਸ ਰੋਜ਼ਾਨਾ ਜੀਵਨ ਵਿੱਚ ਵੱਧਦੀ ਮਹੱਤਵਪੂਰਨ ਭੂਮਿਕਾ ਨਿਭਾਉਂਦੇ ਹਨ, ਉਹ ਹੈਕਰਾਂ ਲਈ ਇੱਕ ਪ੍ਰਮੁੱਖ ਨਿਸ਼ਾਨਾ ਬਣ ਜਾਂਦੇ ਹਨ। ਅਪਰਾਧੀਆਂ ਲਈ ਸੰਭਾਵੀ ਇਨਾਮ ਅਤੇ ਕਾਰੋਬਾਰਾਂ ਲਈ ਸੰਭਾਵੀ ਨੁਕਸਾਨ ਬਹੁਤ ਜ਼ਿਆਦਾ ਹਨ। ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਕਾਰਜ ਦੀ ਗੁੰਝਲਤਾ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਤੇ ਧਮਕੀਆਂ ਦੀ ਸੰਖਿਆ ਅਤੇ ਭਿੰਨਤਾਵਾਂ ਦੇ ਕਾਰਨ ਜ਼ਿਆਦਾ ਨਹੀਂ ਦੱਸਿਆ ਜਾ ਸਕਦਾ।

ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਅਸੀਂ ਸਮੇਂ ਦੇ ਇੱਕ ਬਿੰਦੂ 'ਤੇ ਹਾਂ ਜਿੱਥੇ ਨਕਲੀ ਬੁੱਧੀ ਸਾਡੀ ਸਹਾਇਤਾ ਲਈ ਆ ਸਕਦੀ ਹੈ। ਮਸ਼ੀਨ ਸਿਖਲਾਈ-ਅਧਾਰਿਤ ਐਲਗੋਰਿਦਮ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਵਾਲੇ ਸਭ ਤੋਂ ਉੱਨਤ ਸਾਈਬਰ ਖਤਰਿਆਂ ਦੇ ਵਿਰੁੱਧ ਅਸਲ-ਸਮੇਂ, ਅਨੁਕੂਲ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ। ਉਹ ਵੈੱਬ, ਮੋਬਾਈਲ, ਅਤੇ ਕਲਾਉਡ ਐਪਲੀਕੇਸ਼ਨਾਂ—ਅਤੇ APIs—ਨੂੰ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਤੋਂ ਬਿਨਾਂ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਵੀ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਅੱਪਡੇਟ ਕਰਦੇ ਹਨ।

ਇਹ ਨਿਸ਼ਚਤਤਾ ਨਾਲ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣਾ ਮੁਸ਼ਕਲ ਹੈ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਸਾਈਬਰ ਧਮਕੀਆਂ ਦੀ ਅਗਲੀ ਪੀੜ੍ਹੀ (ਸੰਭਵ ਤੌਰ 'ਤੇ ਮਸ਼ੀਨ ਸਿਖਲਾਈ 'ਤੇ ਵੀ) ਕੀ ਹੋਵੇਗੀ। ਪਰ ਸੰਸਥਾਵਾਂ ਗਾਹਕਾਂ ਦੇ ਡੇਟਾ ਦੀ ਸੁਰੱਖਿਆ, ਬੌਧਿਕ ਸੰਪੱਤੀ ਦੀ ਸੁਰੱਖਿਆ, ਅਤੇ ਵਧੀਆ ਕਾਰੋਬਾਰੀ ਲਾਭਾਂ ਦੇ ਨਾਲ ਸੇਵਾ ਦੀ ਉਪਲਬਧਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਕਦਮ ਚੁੱਕ ਸਕਦੀਆਂ ਹਨ।

ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਪ੍ਰਭਾਵੀ ਪਹੁੰਚ ਅਤੇ ਤਰੀਕਿਆਂ, ਹਮਲਿਆਂ ਦੀਆਂ ਮੁੱਖ ਕਿਸਮਾਂ ਅਤੇ ਵੈਕਟਰ, ਖਤਰੇ ਦੇ ਖੇਤਰ ਅਤੇ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਵਿੱਚ ਅੰਤਰ, ਨਾਲ ਹੀ ਵਿਸ਼ਵ ਅਨੁਭਵ ਅਤੇ ਵਧੀਆ ਅਭਿਆਸਾਂ ਨੂੰ ਰੈਡਵੇਅਰ ਅਧਿਐਨ ਅਤੇ ਰਿਪੋਰਟ ਵਿੱਚ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਹੈ "ਡਿਜੀਟਲੀ ਕਨੈਕਟਡ ਵਰਲਡ ਵਿੱਚ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ".

ਸਰੋਤ: www.habr.com