{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"Evol\u00facia Web Application Firewall: od sie\u0165ov\u00fdch firewallov po cloudov\u00e9 syst\u00e9my ochrany s strojov\u00fdm u\u010den\u00edm","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

V na\u0161om predch\u00e1dzaj\u00facom materi\u00e1li o cloudov\u00fdch t\u00e9mach sme rozpr\u00e1vali<\/a><\/noindex>, ako chr\u00e1ni\u0165 IT zdroje v verejnom cloude a pre\u010do tradi\u010dn\u00e9 antiv\u00edrusy nie s\u00fa \u00faplne vhodn\u00e9 na tieto \u00fa\u010dely. V tomto pr\u00edspevku budeme pokra\u010dova\u0165 v t\u00e9me cloudovej bezpe\u010dnosti a porozpr\u00e1vame sa o evol\u00facii WAF a o tom, \u010do je lep\u0161ie zvoli\u0165: hardv\u00e9r, softv\u00e9r alebo cloud.\u00a0<\/b><\/p>\n

\"Evol\u00facia
\n<\/p>\n

\u010co je WAF<\/h3>\n

\nViac ako 75 % hackerov \u00fatokov je zameran\u00fdch na zranite\u013enosti webov\u00fdch aplik\u00e1ci\u00ed a str\u00e1nok: tak\u00e9to \u00fatoky s\u00fa zvy\u010dajne nezaznamenan\u00e9 infra\u0161trukt\u00farou a slu\u017ebami bezpe\u010dnosti inform\u00e1ci\u00ed. Zranite\u013enosti webov\u00fdch aplik\u00e1ci\u00ed pritom nes\u00fa rizik\u00e1 kompromitovania \u00fa\u010dtov a podvodov s osobn\u00fdmi \u00fadajmi pou\u017e\u00edvate\u013eov, heslami a \u010d\u00edslami kreditn\u00fdch kariet. Okrem toho zranite\u013enosti na webovej str\u00e1nke sl\u00fa\u017eia ako vstupn\u00fd bod pre \u00fato\u010dn\u00edkov do firemnej siete.<\/p>\n

Web Application Firewall (WAF) je ochrann\u00e1 bari\u00e9ra, ktor\u00e1 blokuje \u00fatoky na webov\u00e9 aplik\u00e1cie: SQL injekcie, cross-site scripting, vzdialen\u00e9 vykon\u00e1vanie k\u00f3du, bruteforce a obch\u00e1dzanie autoriz\u00e1cie (auth bypass). Zah\u0155\u0148a aj \u00fatoky vyu\u017e\u00edvaj\u00face zero-day zranite\u013enosti. Aplika\u010dn\u00e9 firewally poskytuj\u00fa ochranu monitorovan\u00edm obsahu webov\u00fdch str\u00e1nok, vr\u00e1tane HTML, DHTML a CSS, a filtrovan\u00edm potenci\u00e1lne \u0161kodliv\u00fdch po\u017eiadaviek cez HTTP\/HTTPS.
\n<\/a><\/noindex><\/p>\n

Ak\u00e9 boli prv\u00e9 rie\u0161enia?<\/h3>\n

\nPrv\u00e9 pokusy vytvori\u0165 Web Application Firewall sa uskuto\u010dnili u\u017e na za\u010diatku 90-tych rokov. Je zn\u00e1me o minim\u00e1lne troch in\u017einieroch, ktor\u00ed pracovali v tejto oblasti. Prv\u00fd \u2014 profesor po\u010d\u00edta\u010dov\u00fdch vied Gene Spafford z Purdue University. Ten pop\u00edsal architekt\u00faru aplika\u010dn\u00e9ho firewallu s proxy a v roku 1991 ju publikoval v knihe \u201ePraktick\u00e1 bezpe\u010dnos\u0165 UNIXu\u201c<\/a><\/noindex>.<\/p>\n

Druh\u00fdmi a tret\u00edmi boli \u0161pecialisti na bezpe\u010dnos\u0165 inform\u00e1ci\u00ed William Cheswick a Marcus Ranum z Bell Labs. Vyvinuli jeden z prv\u00fdch prototypov aplika\u010dn\u00fdch firewallov. Jeho distrib\u00faciu zabezpe\u010dovala spolo\u010dnos\u0165 DEC \u2014 produkt vydala pod n\u00e1zvom SEAL (Secure External Access Link). <\/p>\n

Ale SEAL nebol plnohodnotn\u00fdm WAF rie\u0161en\u00edm. Predstavoval klasick\u00fd sie\u0165ov\u00fd firewall s roz\u0161\u00edrenou funk\u010dnos\u0165ou \u2014 schopnos\u0165ou blokova\u0165 \u00fatoky na FTP a RSH. Z tohto d\u00f4vodu sa prv\u00fdm WAF rie\u0161en\u00edm dnes pova\u017euje produkt spolo\u010dnosti Perfecto Technologies (nesk\u00f4r Sanctum). V roku 1999 vytvorila. predstavila<\/a><\/noindex> syst\u00e9m AppShield. V tom \u010dase sa Perfecto Technologies zaoberali v\u00fdvojom IT rie\u0161en\u00ed pre e-commerce a cie\u013eovou skupinou ich nov\u00e9ho produktu sa stali online obchody. AppShield vedel analyzova\u0165 HTTP po\u017eiadavky a blokoval \u00fatoky na z\u00e1klade dynamick\u00fdch IT polit\u00edk.<\/p>\n

Pribli\u017ene v rovnakom \u010dase s AppShield (v roku 2002) sa objavil prv\u00fd WAF s otvoren\u00fdm zdrojov\u00fdm k\u00f3dom. Stal sa n\u00edm ModSecurity<\/a><\/noindex>. Bol vytvoren\u00fd s cie\u013eom populariz\u00e1cie WAF technol\u00f3gi\u00ed a je podporovan\u00fd IT komunitou dodnes (tu je jeho repozit\u00e1r na GitHub<\/a><\/noindex>). ModSecurity blokuje \u00fatoky na aplik\u00e1cie na z\u00e1klade \u0161tandardnej sady regul\u00e1rnych v\u00fdrazov (sigant\u00far) \u2014 n\u00e1strojov na overovanie po\u017eiadaviek pod\u013ea vzoru \u2014 OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

Nakoniec sa v\u00fdvoj\u00e1rom podarilo dosiahnu\u0165 svoj cie\u013e \u2014 na trhu sa za\u010dali objavova\u0165 nov\u00e9 WAF rie\u0161enia, vr\u00e1tane t\u00fdch postaven\u00fdch na z\u00e1klade ModSecurity.<\/p>\n

Tri gener\u00e1cie \u2014 u\u017e hist\u00f3ria<\/h3>\n

\nZvy\u010dajne sa rozli\u0161uj\u00fa tri gener\u00e1cie WAF syst\u00e9mov, ktor\u00e9 sa vyv\u00edjali s technologick\u00fdm pokrokom.<\/p>\n

Prv\u00e1 gener\u00e1cia<\/b>. Pracuje s regul\u00e1rnymi v\u00fdrazmi (alebo gramatikami). Patr\u00ed sem ModSecurity. Poskytovate\u013e syst\u00e9mu \u0161tuduje typy \u00fatokov na aplik\u00e1cie a vytv\u00e1ra vzory, ktor\u00e9 opisuj\u00fa legit\u00edmne a potenci\u00e1lne \u0161kodliv\u00e9 po\u017eiadavky. WAF sa porovn\u00e1va s t\u00fdmito zoznamami a rozhoduje, \u010do robi\u0165 v konkr\u00e9tnej situ\u00e1cii \u2014 blokova\u0165 prev\u00e1dzku alebo nie.<\/p>\n

Pr\u00edklad detekcie na z\u00e1klade regul\u00e1rnych v\u00fdrazov je u\u017e spomenut\u00fd projekt Core Rule Set<\/a><\/noindex> s otvoren\u00fdm zdrojov\u00fdm k\u00f3dom. \u010eal\u0161\u00ed pr\u00edklad je Naxsi<\/a><\/noindex>, ktor\u00fd je taktie\u017e open source. Syst\u00e9my s regul\u00e1rnymi v\u00fdrazmi maj\u00fa nieko\u013eko nedostatkov, najm\u00e4 pri odha\u013eovan\u00ed novej zranite\u013enosti mus\u00ed administr\u00e1tor vytvori\u0165 \u010fal\u0161ie pravidl\u00e1 manu\u00e1lne. V pr\u00edpade roz\u0161\u00edrenej IT infra\u0161trukt\u00fary m\u00f4\u017ee by\u0165 pravidiel nieko\u013eko tis\u00edc. Spravova\u0165 tak\u00e9to mno\u017estvo regul\u00e1rnych v\u00fdrazov je pomerne n\u00e1ro\u010dn\u00e9, nehovoriac o tom, \u017ee ich overovanie m\u00f4\u017ee zni\u017eova\u0165 v\u00fdkon siete.<\/p>\n

Regul\u00e1rne v\u00fdrazy maj\u00fa tie\u017e pomerne vysok\u00fa mieru falo\u0161n\u00fdch pozit\u00edv. Sl\u00e1vny lingvista Noam Chomsky navrhol klasifik\u00e1ciu gramat\u00edk, v ktorej ich rozdelil na \u0161tyri podmienen\u00e9 \u00farovne zlo\u017eitosti. Pod\u013ea tejto klasifik\u00e1cie je mo\u017en\u00e9 regul\u00e1rnymi v\u00fdrazmi op\u00edsa\u0165 iba pravidl\u00e1 firewallu, ktor\u00e9 nepredpokladaj\u00fa odch\u00fdlky od vzoru. To znamen\u00e1, \u017ee \u00fato\u010dn\u00edci m\u00f4\u017eu \u013eahko \"o\u010di\u0165\" WAF prvej gener\u00e1cie. Jednou z met\u00f3d boja proti tomu je prida\u0165 do po\u017eiadaviek na aplik\u00e1cie \u0161peci\u00e1lne znaky, ktor\u00e9 neovplyv\u0148uj\u00fa logiku \u0161kodliv\u00fdch \u00fadajov, ale naru\u0161uj\u00fa podpisov\u00e9 pravidlo.<\/p>\n

\"Evol\u00facia
\n
\nDruh\u00e1 gener\u00e1cia<\/b>. Aby sa prekonali probl\u00e9my spojen\u00e9 s v\u00fdkonom a presnos\u0165ou WAF, boli vyvinut\u00e9 firewally aplik\u00e1ci\u00ed druhej gener\u00e1cie. Tieto firewally maj\u00fa pars\u00e9ry, ktor\u00e9 s\u00fa zodpovedn\u00e9 za odha\u013eovanie pr\u00edsne definovan\u00fdch typov \u00fatokov (na HTML, JS at\u010f.). Tieto pars\u00e9ry pracuj\u00fa so \u0161peci\u00e1lnymi tokenmi, ktor\u00e9 popisuj\u00fa po\u017eiadavky (napr\u00edklad variable, string, unknown, number). Potenci\u00e1lne \u0161kodliv\u00e9 sekvencie tokenov s\u00fa umiestnen\u00e9 do samostatn\u00e9ho zoznamu, s ktor\u00fdm sa WAF syst\u00e9m pravidelne porovn\u00e1va. Tento pr\u00edstup bol prv\u00fdkr\u00e1t predstaven\u00fd na konferencii Black Hat 2012 vo forme C\/C++\u00a0kni\u017enice libinjection<\/a><\/noindex>, ktor\u00e1 umo\u017e\u0148uje identifikova\u0165 SQL injekcie.<\/p>\n

V porovnan\u00ed s WAF prvej gener\u00e1cie m\u00f4\u017eu \u0161pecializovan\u00e9 pars\u00e9ry pracova\u0165 r\u00fdchlej\u0161ie. Av\u0161ak nevyrie\u0161ili \u0165a\u017ekosti spojen\u00e9 s ru\u010dn\u00fdm nastaven\u00edm syst\u00e9mu pri vzniku nov\u00fdch \u0161kodliv\u00fdch \u00fatokov. <\/p>\n

\"Evol\u00facia
\n
\nTretia gener\u00e1cia<\/b>. Evol\u00facia v logike detekcie tretej gener\u00e1cie spo\u010d\u00edva v aplik\u00e1cii met\u00f3d strojov\u00e9ho u\u010denia, ktor\u00e9 umo\u017e\u0148uj\u00fa maxim\u00e1lne pribl\u00ed\u017ei\u0165 gramatiku detekcie k skuto\u010dnej gramatike SQL\/HTML\/JS chr\u00e1nen\u00fdch syst\u00e9mov. T\u00e1to logika detekcie je schopn\u00e1 prisp\u00f4sobi\u0165 Turingovu ma\u0161inu na pokrytie rekurz\u00edvne uveden\u00fdch gramat\u00edk. Predt\u00fdm bola \u00faloha vytvori\u0165 prisp\u00f4sobite\u013en\u00fa Turingovu ma\u0161inu nerie\u0161ite\u013en\u00e1, k\u00fdm neboli publikovan\u00e9 prv\u00e9 v\u00fdskumy neur\u00f3nov\u00fdch strojov Turinga.<\/p>\n

Strojov\u00e9 u\u010denie poskytuje jedine\u010dn\u00fa pr\u00edle\u017eitos\u0165 prisp\u00f4sobi\u0165 ak\u00fako\u013evek gramatiku tak, aby pokryla ak\u00fdko\u013evek typ \u00fatokov bez toho, aby bolo potrebn\u00e9 manu\u00e1lne vytv\u00e1ra\u0165 zoznamy podpisov, ako to bolo potrebn\u00e9 pri detekcii prvej gener\u00e1cie, a bez v\u00fdvoja nov\u00fdch tokeniz\u00e1torov\/parzrov pre nov\u00e9 typy \u00fatokov, ako s\u00fa vkl\u00e1dania Memcached, Redis, Cassandra, SSRF, ako to po\u017eadovala metodol\u00f3gia druhej gener\u00e1cie. <\/p>\n

Kombinovan\u00edm v\u0161etk\u00fdch troch gener\u00e1ci\u00ed logiky detekcie m\u00f4\u017eeme nakresli\u0165 nov\u00fa diagramu, na ktorej je \u010derven\u00fdm obrysom zobrazen\u00e1 tretia gener\u00e1cia detekcie (obr\u00e1zok 3). K tejto gener\u00e1cii patr\u00ed jedno z rie\u0161en\u00ed, ktor\u00e9 realizujeme v cloude spolo\u010dne s \u201eOnsec\u201c, v\u00fdvoj\u00e1rom platformy adapt\u00edvnej ochrany webov\u00fdch aplik\u00e1ci\u00ed a API Valarm. <\/p>\n

Teraz sa v logike detekcie vyu\u017e\u00edva sp\u00e4tn\u00e1 v\u00e4zba z aplik\u00e1cie na sebadoladenie. V r\u00e1mci strojov\u00e9ho u\u010denia sa tento cyklus sp\u00e4tnej v\u00e4zby naz\u00fdva \u201eposilnenie\u201c. Zvy\u010dajne existuje jeden alebo viac typov tohto posilnenia:<\/p>\n