{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"Evolu\u021bia Firewall-ului de aplica\u021bie web: de la firewall-uri de re\u021bea la sisteme de protec\u021bie \u00een cloud cu \u00eenv\u0103\u021bare automat\u0103.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00cen materialul nostru anterior despre tema cloud-ului, am despre<\/a><\/noindex>, cum s\u0103 protej\u0103m resursele IT \u00een cloud-ul public \u0219i de ce antivirusurile tradi\u021bionale nu sunt tocmai potrivite \u00een acest scop. \u00cen aceast\u0103 postare, vom continua tema securit\u0103\u021bii cloud \u0219i vom discuta despre evolu\u021bia WAF \u0219i despre ce este mai bine s\u0103 alegem: hardware, software sau cloud.\u00a0<\/b><\/p>\n

\"Evolu\u021bia
\n<\/p>\n

Ce este WAF<\/h3>\n

\nPeste 75% din atacurile hackerilor vizeaz\u0103 vulnerabilit\u0103\u021bile aplica\u021biilor web \u0219i site-urilor: aceste atacuri sunt, \u00een general, invizibile pentru infrastructura de securitate IT \u0219i serviciile de securitate. Vulnerabilit\u0103\u021bile aplica\u021biilor web implic\u0103, la r\u00e2ndul lor, riscuri de compromitere \u0219i fraud\u0103 a conturilor \u0219i datelor personale ale utilizatorilor, parolelor, numerelor de carduri de credit. \u00cen plus, vulnerabilit\u0103\u021bile de pe un site web servesc ca punct de intrare pentru atacatori \u00een re\u021beaua corporativ\u0103.<\/p>\n

Web Application Firewall (WAF) reprezint\u0103 un scut de protec\u021bie care blocheaz\u0103 atacurile asupra aplica\u021biilor web: SQL injection, cross-site scripting, execu\u021bia de cod la distan\u021b\u0103, brute force \u0219i ocolirea autentific\u0103rii (auth bypass). Inclusiv atacuri care utilizeaz\u0103 vulnerabilit\u0103\u021bi zero-day. Firewall-urile pentru aplica\u021bii asigur\u0103 protec\u021bia, monitoriz\u00e2nd con\u021binutul paginilor web, inclusiv HTML, DHTML \u0219i CSS, \u0219i filtr\u00e2nd cererile poten\u021bial d\u0103un\u0103toare prin HTTP\/HTTPS.
\n<\/a><\/noindex><\/p>\n

Care au fost primele solu\u021bii?<\/h3>\n

\nPrimele \u00eencerc\u0103ri de a crea un Web Application Firewall au fost f\u0103cute \u00eenc\u0103 la \u00eenceputul anilor '90. Se \u0219tie despre cel pu\u021bin trei ingineri care au lucrat \u00een acest domeniu. Primul este profesorul de \u0219tiin\u021be computerizate Gene Spafford de la Universitatea Purdue. El a descris arhitectura firewall-ului de aplica\u021bii cu proxy \u0219i a publicat-o \u00een 1991 \u00een cartea sa \u201eSecuritatea UNIX \u00een practic\u0103\u201d<\/a><\/noindex>.<\/p>\n

Al doilea \u0219i al treilea erau speciali\u0219ti \u00een securitate IT, William Cheswick \u0219i Marcus Ranum de la Bell Labs. Ei au dezvoltat unul dintre primele prototipuri de firewall-uri pentru aplica\u021bii. Distribu\u021bia acestuia a fost realizat\u0103 de compania DEC \u2014 produsul fiind lansat sub denumirea SEAL (Secure External Access Link). <\/p>\n

Dar SEAL nu a fost o solu\u021bie WAF complet\u0103. A fost un firewall clasic de re\u021bea cu func\u021bionalitate extins\u0103 \u2014 capacitatea de a bloca atacuri asupra FTP \u0219i RSH. Din aceast\u0103 cauz\u0103, prima solu\u021bie WAF este considerat\u0103 ast\u0103zi a fi produsul companiei Perfecto Technologies (ulterior Sanctum). \u00cen 1999, compania a lansat aceast\u0103 solu\u021bie. a prezentat<\/a><\/noindex> sistemul AppShield. \u00cen aceea\u0219i perioad\u0103, Perfecto Technologies se ocupa cu dezvoltarea solu\u021biilor de securitate pentru e-commerce, iar publicul \u021bint\u0103 al noului lor produs au fost magazinele online. AppShield putea analiza cererile HTTP \u0219i bloca atacurile pe baza politicilor de securitate dinamice.<\/p>\n

Aproape \u00een acela\u0219i timp cu AppShield (\u00een 2002) a ap\u0103rut primul WAF cu surs\u0103 deschis\u0103. Acesta a fost ModSecurity<\/a><\/noindex>. A fost creat cu scopul de a populariza tehnologiile WAF \u0219i este \u00eenc\u0103 sus\u021binut de comunitatea IT (iat\u0103-l repository-ul de pe GitHub<\/a><\/noindex>). ModSecurity blocheaz\u0103 atacurile asupra aplica\u021biilor, baz\u00e2ndu-se pe un set standard de expresii regulate (semn\u0103turi) \u2014 instrumente pentru a verifica cererile conform unui model \u2014 OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

\u00cen cele din urm\u0103, dezvoltatorii au reu\u0219it s\u0103 \u00ee\u0219i ating\u0103 scopul \u2014 pe pia\u021b\u0103 au \u00eenceput s\u0103 apar\u0103 noi solu\u021bii WAF, inclusiv cele bazate pe ModSecurity.<\/p>\n

Trei genera\u021bii \u2014 deja o istorie<\/h3>\n

\nEste acceptat s\u0103 se disting\u0103 trei genera\u021bii de sisteme WAF, care au evoluat pe m\u0103sur\u0103 ce tehnologiile au avansat.<\/p>\n

Prima genera\u021bie<\/b>. Lucreaz\u0103 cu expresii regulate (sau gramatici). Acesta include ModSecurity. Furnizorul sistemului studiaz\u0103 tipurile de atacuri asupra aplica\u021biilor \u0219i formeaz\u0103 modele care descriu cererile legitime \u0219i cele poten\u021bial mali\u021bioase. WAF se compar\u0103 cu aceste liste \u0219i decide ce trebuie f\u0103cut \u00een situa\u021bia specific\u0103 \u2014 s\u0103 blocheze traficul sau nu.<\/p>\n

Un exemplu de detectare pe baza expresiilor regulate este deja men\u021bionat proiectul Core Rule Set<\/a><\/noindex> cu surs\u0103 deschis\u0103. Un alt exemplu este Naxsi<\/a><\/noindex>, care este, de asemenea, open-source. Sistemele cu expresii regulate au o serie de dezavantaje, \u00een special, c\u00e2nd se descoper\u0103 o nou\u0103 vulnerabilitate, administratorul trebuie s\u0103 creeze reguli suplimentare manual. \u00cen cazul unei infrastructuri IT extinse, regulile pot num\u0103ra c\u00e2teva mii. Gestionarea unui astfel de num\u0103r de expresii regulate este destul de complicat\u0103, f\u0103r\u0103 a mai vorbi despre faptul c\u0103 verificarea lor poate reduce performan\u021ba re\u021belei.<\/p>\n

De asemenea, expresiile regulate au un nivel destul de ridicat de false alarme. Celebrul lingvist Noam Chomsky a propus o clasificare a gramaticilor, \u00een care le-a \u00eemp\u0103r\u021bit \u00een patru niveluri condi\u021bionate de complexitate. Conform acestei clasific\u0103ri, expresiile regulate pot descrie doar regulile firewall-ului care nu presupun devia\u021bii de la \u0219ablon. Aceasta \u00eenseamn\u0103 c\u0103 atacatorii pot \u201e\u00een\u0219ela\u201d cu u\u0219urin\u021b\u0103 WAF-ul de prim\u0103 genera\u021bie. Una dintre metodele de combatere a acestui lucru este de a ad\u0103uga caractere speciale \u00een cererile c\u0103tre aplica\u021bii, care nu afecteaz\u0103 logica datelor mali\u021bioase, dar \u00eencalc\u0103 regula de semn\u0103tur\u0103.<\/p>\n

\"Evolu\u021bia
\n
\nA doua genera\u021bie<\/b>. Pentru a dep\u0103\u0219i problemele legate de performan\u021b\u0103 \u0219i acurate\u021be ale WAF-ului, au fost dezvoltate firewall-uri de aplica\u021bie de a doua genera\u021bie. Acestea au introdus parseri care sunt responsabili pentru detectarea unor tipuri stricte de atacuri (pe HTML, JS etc.). Ace\u0219ti parseri opereaz\u0103 cu tokeni speciali, care descriu cererile (de exemplu, variable, string, unknown, number). Secven\u021bele poten\u021bial mali\u021bioase de tokeni sunt listate separat, cu care sistemul WAF se compar\u0103 \u00een mod regulat. Acest tip de abordare a fost prezentat pentru prima dat\u0103 la conferin\u021ba Black Hat 2012 sub forma unei biblioteci C\/C++\u00a0libinjection<\/a><\/noindex>, care permite detectarea injec\u021biilor SQL.<\/p>\n

Comparativ cu WAF-ul de prim\u0103 genera\u021bie, parserii specializa\u021bi pot func\u021biona mai repede. Cu toate acestea, ei nu au rezolvat dificult\u0103\u021bile legate de configurarea manual\u0103 a sistemului la apari\u021bia unor noi atacuri mali\u021bioase. <\/p>\n

\"Evolu\u021bia
\n
\nA treia genera\u021bie<\/b>. Evolu\u021bia logicii de detectare a treizei genera\u021bii const\u0103 \u00een aplicarea de metode de \u00eenv\u0103\u021bare automat\u0103, care permit adaptarea gramaticii de detectare la gramaticile reale SQL\/HTML\/JS ale sistemelor protejate. Aceast\u0103 logic\u0103 de detectare este capabil\u0103 s\u0103 adapteze ma\u0219ina Turing pentru a acoperi gramaticile enumerate recursiv. De altfel, \u00eenainte, problema cre\u0103rii unei ma\u0219ini Turing adaptabile era nerezolvabil\u0103, p\u00e2n\u0103 c\u00e2nd au fost publicate primele cercet\u0103ri despre ma\u0219inile neuronale Turing.<\/p>\n

\u00cenv\u0103\u021barea automat\u0103 ofer\u0103 o oportunitate unic\u0103 de a adapta orice gramatic\u0103 pentru a acoperi orice tip de atac, f\u0103r\u0103 a crea liste de semn\u0103turi manual, a\u0219a cum era necesar \u00een detectarea primei genera\u021bii, \u0219i f\u0103r\u0103 a dezvolta noi tokenizatori\/parsers pentru noi tipuri de atacuri, cum ar fi atacurile prin Memcached, Redis, Cassandra, SSRF, a\u0219a cum cerea metodologia celei de-a doua genera\u021bii. <\/p>\n

\u00cembin\u00e2nd toate cele trei genera\u021bii de logic\u0103 de detectare, putem desena un nou diagram\u0103, \u00een care conturul ro\u0219u reprezint\u0103 a treia genera\u021bie de detectare (fig. 3). La aceast\u0103 genera\u021bie apar\u021bine una dintre solu\u021biile pe care le implement\u0103m \u00een cloud \u00eempreun\u0103 cu \u00abOnsec\u00bb, dezvoltatorul platformei de protec\u021bie adaptiv\u0103 a aplica\u021biilor web \u0219i API-urilor Valarm. <\/p>\n

Acum, \u00een logica de detectare se folose\u0219te feedback-ul de la aplica\u021bie pentru auto-configurare. \u00cen cadrul \u00eenv\u0103\u021b\u0103rii automate, acest ciclu de feedback se nume\u0219te \u00ab\u00eenv\u0103\u021bare prin \u00eent\u0103rire\u00bb. \u00cen general, exist\u0103 unul sau mai multe tipuri de astfel de \u00eent\u0103riri:<\/p>\n