Le fa'atupuina ole Upega Tafa'ilagi: mai fa'amalama i faiga puipui fa'avae i ao ma a'oa'oga masini

I a matou mea muamua i luga o mataupu ao, matou taʻu, faʻafefea ona puipuia punaoa IT i le ao lautele ma pe aisea e le fetaui atoatoa ai antiviruses masani mo nei faʻamoemoe. I lenei pou, o le a matou faʻaauauina le autu o le puipuiga o le ao ma talanoa e uiga i le faʻaleleia o le WAF ma le mea e sili atu le filifilia: meafaigaluega, polokalama poʻo le ao. 

O le a le WAF

E sili atu nai lo le 75% o osofaʻiga a tagata taʻavale o loʻo faʻatatau i faʻafitauli o le upega tafaʻilagi ma upega tafaʻilagi: o ia osofaʻiga e masani lava ona le vaaia i faʻamatalaga faʻamatalaga saogalemu ma auaunaga tau puipuiga. O fa'aletonu i luga o upegatafa'ilagi e feavea'i, i le isi itu, a'afiaga o le fetuutuuna'i ma le taufaasese o fa'amatalaga a tagata fa'aoga ma fa'amatalaga patino, upu fa'amaonia, ma numera o kata fai aitalafu. E le gata i lea, o faʻafitauli i luga o le upega tafaʻilagi e avea o se mea e ulufale ai tagata osofaʻi i totonu o fesoʻotaʻiga kamupani.

Web Application Firewall (WAF) o se puipui puipui e poloka ai osofaʻiga i luga o upega tafaʻilagi: tui SQL, faʻasologa o upega tafaʻilagi, faʻataunuʻuina o code mamao, malosi faʻamalosi ma le faʻatagaina. E aofia ai osofaʻiga e faʻaogaina ai le leai o se aso. O pa puipui o talosaga e maua ai le puipuiga e ala i le mataʻituina o mea e aofia ai itulau, e aofia ai le HTML, DHTML, ma le CSS, ma le faʻamamaina o talosaga HTTP/HTTPS e ono leaga.

O ā filifiliga muamua?

O taumafaiga muamua e fai se Uepi Talosaga Firewall na faia i tua i le amataga o le 90s. E le itiiti ifo ma le tolu inisinia ua iloa sa galulue i lenei matata. Muamua o le polofesa faakomepiuta science Gene Spafford mai le Iunivesite o Purdue. Na ia faamatalaina le fausaga o se firewall talosaga sui ma lomia i le 1991 i le tusi "UNIX Security i le Fa'atinoga".

O le lona lua ma le tolu o tagata tomai faapitoa mo le puipuiga o faamatalaga William Cheswick ma Marcus Ranum mai Bell Labs. Na latou atiina ae se tasi o faʻataʻitaʻiga faʻataʻitaʻiga muamua o le firewall. Na tufatufa atu e le DEC - o le oloa na faʻasalalau i lalo o le igoa SEAL (Secure External Access Link).

Ae o le SEAL e le o se vaifofo atoatoa a le WAF. Ose pa puipui feso'ota'iga masani ma galuega fa'atino - o le mafai ona poloka osofa'iga ile FTP ma le RSH. Mo lenei mafuaʻaga, o le vaifofo muamua WAF i aso nei ua manatu o le oloa a Perfecto Technologies (mulimuli ane Sanctum). I le 1999 sa ia tuuina atu AppShield faiga. I lena taimi, o le Perfecto Technologies o loʻo atiaʻe faʻamatalaga mo le puipuiga o faʻamatalaga mo e-fefaʻatauaʻiga, ma o faleoloa i luga ole laiga na avea ma tagata faʻatau mo a latou oloa fou. Na mafai e le AppShield ona suʻesuʻeina talosaga HTTP ma poloka osofaʻiga e faʻavae i luga o faiga faʻavae saogalemu o faʻamatalaga.

I le taimi lava e tasi e pei o le AppShield (i le 2002), na faʻaalia ai le WAF puna muamua. Na avea o ia Mod Security. Na faia ma le faʻamoemoe o le faʻalauiloaina o tekonolosi WAF ma o loʻo lagolagoina pea e le IT community (lea fale teu oloa ile GitHub). ModSecurity poloka osofaʻiga i luga o talosaga e faʻavae i luga o se seti masani o faʻamatalaga masani (saini) - meafaigaluega mo le siakiina o talosaga e faʻatatau i mamanu - Seti Tulafono Autu ole OWASP.

O se taunuuga, na mafai e le au atinaʻe ona ausia a latou sini - o vaifofo fou WAF na amata ona faʻaalia i luga o le maketi, e aofia ai na fausia i luga o le faavae o ModSecurity.

E tolu augatupulaga ua leva ona avea ma talafaasolopito

O se aganuʻu le faʻavasegaina o augatupulaga e tolu o le WAF system, lea na faʻaleleia ma le atinaʻeina o tekinolosi.

Uluaʻi tupulaga. E galue i fa'amatalaga masani (po'o kalama). E aofia ai ModSecurity. E suʻesuʻeina e le 'auʻaunaga faiga ituaiga o osofaʻiga i luga o talosaga ma faʻatupuina faʻataʻitaʻiga e faʻamatalaina ai talosaga talafeagai ma ono leaga. E siaki e WAF nei lisi ma filifili le mea e fai i se tulaga faʻapitoa - e poloka ai feoaiga pe leai.

O se faʻataʻitaʻiga o le suʻesuʻeina e faʻavae i luga o faʻamatalaga masani o le poloketi ua uma ona taʻua Seti Tulafono Autu puna tatala. O le isi fa'ata'ita'iga- Naxsi, lea e tatala foʻi le puna. O faiga e iai fa'amatalaga masani e iai le tele o fa'aletonu, ae maise lava, pe a maua se fa'aletonu fou, e tatau i le pule ona faia ni tulafono fa'aopoopo ma le lima. I le tulaga o se atinaʻe IT tele, atonu e tele afe tulafono. O le puleaina o le tele o faʻamatalaga masani e fai si faigata, ae le o le mea moni o le siakiina o latou e mafai ona faʻaitiitia ai le faʻaogaina o fesoʻotaiga.

O fa'amatalaga masani e iai fo'i le maualuga o fua faatatau sese. O le ali'i ta'uta'ua o gagana o Noam Chomsky na ia fa'atulagaina se fa'avasegaga o kalama lea na ia vaevaeina ai i ni tulaga fa'apitoa o le lavelave. E tusa ai ma lenei faʻavasegaga, o faʻamatalaga masani e mafai ona naʻo le faʻamatalaina o tulafono afi e le aʻafia ai se eseesega mai le mamanu. O lona uiga e faigofie ona "faavalea" e le au osofaʻi le WAF muamua o augatupulaga. O se tasi o auala e faʻafefe ai lenei mea o le faʻaopoopoina lea o faʻamatalaga faʻapitoa i talosaga talosaga e le afaina ai le faʻaogaina o faʻamatalaga leaga, ae solia le tulafono saini.

Lua tupulaga. Ina ia faʻafefeteina le faʻatinoga ma le saʻo o mataupu o WAFs, na fausia ai puipui faʻaoga lona lua. O loʻo i ai nei a latou faʻasalalauga e nafa ma le faʻamalamalamaina o ituaiga o osofaʻiga (i HTML, JS, ma isi). O nei parser e galulue i faʻailoga faʻapitoa e faʻamatalaina ai fesili (mo se faʻataʻitaʻiga, fesuiaiga, manoa, le iloa, numera). O fa'asologa fa'ailoga fa'aleaga e tu'u i se isi lisi, lea e siaki e le WAF system i taimi uma. O lenei auala na faʻaalia muamua i le Black Hat 2012 conference i le tulaga o C / C ++ faletusi libinjection, lea e mafai ai ona e iloa tui SQL.

Pe a fa'atusatusa i le WAFs muamua, e mafai ona vave tele atu fa'asalalauga fa'apitoa. Ae ui i lea, latou te leʻi foia faʻafitauli e fesoʻotaʻi ma le faʻatulagaina ma le lima o le faiga pe a aliali mai ni osofaʻiga leaga fou.

Tolu tupulaga. O le evolusione i le tolu-tupulaga faʻamatalaga faʻamatalaga e aofia ai le faʻaogaina o metotia aʻoaʻoga masini e mafai ai ona faʻalatalata le kalama o le suʻesuʻega i le kalama moni SQL / HTML / JS o faiga puipuia. E mafai e lenei su'esu'ega fa'atatau ona fetu'una'i se masini Turing e fa'apipi'i ai kalama e mafai ona fa'amauina. E le gata i lea, o le galuega muamua o le fatuina o se masini Turing fetuutuunai e le mafai ona foia seia oʻo ina lolomiina suʻesuʻega muamua o masini Turing neural.

O le aʻoaʻoina o masini e maua ai le tomai faʻapitoa e faʻafetaui ai soʻo se kalama e ufiufi ai soʻo se ituaiga o osofaʻiga e aunoa ma le fatuina ma le lima o lisi saini e pei ona manaʻomia i le suʻesuʻeina o augatupulaga muamua, ma e aunoa ma le atinaʻeina o tokenizers / parsers fou mo ituaiga osofaʻiga fou e pei o Memcached, Redis, Cassandra, tui SSRF. , e pei ona manaʻomia e le auala lona lua o augatupulaga.

E ala i le tuʻufaʻatasia o augatupulaga uma e tolu o le suʻesuʻeina o faʻamatalaga, e mafai ona tatou tusia se ata fou lea o loʻo faʻatusalia ai le lona tolu o augatupulaga o le suʻesuʻega e le ata mumu (Ata 3). O lenei augatupulaga e aofia ai se tasi o fofo o loʻo matou faʻatinoina i le ao faʻatasi ma Onsek, le faʻavaeina o le faʻavae mo le faʻaogaina o le puipuiga o talosaga i luga o le initaneti ma le Wallarm API.

O lo'o fa'aogaina nei e le fa'amatalaga fa'amatalaga fa'amatalaga mai le talosaga e fa'alogo ai ia lava. I le aʻoaʻoina o masini, o lenei faʻamatalaga tali e taʻua o le "faʻamalosia." E masani lava, e tasi pe sili atu ituaiga o ia faʻamalosia:

• Su'esu'ega o le fa'atinoga o le tali atu i le fa'atinoga (fa'asao)
• Va'ai/fuzzer (galue)
• Lipoti faila / faʻalavelave faʻalavelave / mailei (pe a uma le mea moni)
• Tusi Taiala (fa'amatala e le supavaisa)

O le i'uga, o lo'o fa'atalanoaina fo'i e le fa'atonuga o le su'esu'eina o tupulaga lona tolu le mataupu taua o le sa'o. Ua mafai nei e le gata ina aloese mai mea sese ma mea sese sese, ae ia iloa foi le aoga moni leaga, e pei o le mauaina o le faʻaogaina o le elemene faʻatonu SQL i le Pulea Pulea, utaina o faʻataʻitaʻiga itulau web, talosaga AJAX e fesoʻotaʻi ma mea sese JavaScript, ma isi.

O le isi, o le a tatou iloiloina le gafatia faʻatekonolosi o filifiliga eseese faʻatinoga WAF.

Meafaigaluega, polokalama po'o le ao - o le a le mea e filifili?

O se tasi o filifiliga mo le faʻaaogaina o firewalls o se fofo meafaigaluega. O ia faiga o masini komepiuta faʻapitoa e faʻapipiʻi e se kamupani i totonu o lona nofoaga autu. Ae i lenei tulaga, e tatau ona e faʻatau au lava meafaigaluega ma totogi tupe i tagata tuʻufaʻatasia mo le faʻatulagaina ma le faʻapipiʻiina (pe afai e leai se kamupani IT a le kamupani). I le taimi lava e tasi, soʻo se meafaigaluega ua tuai ma ua le mafai ona faʻaaogaina, o lea e faʻamalosia ai tagata faʻatau e paketiina mo faʻaleleia meafaigaluega.

O le isi filifiliga mo le faʻapipiʻiina o se WAF o se faʻatinoga polokalama. O le fofo o loʻo faʻapipiʻiina o se faʻaopoopoga mo nisi polokalama (mo se faʻataʻitaʻiga, ModSecurity ua faʻapipiʻiina i luga o Apache) ma taʻavale i luga o le server tutusa ma ia. I le avea ai o se tulafono, o ia fofo e mafai ona faʻapipiʻiina uma i luga o se faʻaumau faaletino ma i le ao. O latou fa'aletonu o le fa'atapula'aina o le scalability ma le fa'atau lagolago.

O le filifiliga lona tolu o le setiina o se WAF mai le ao. O ia fofo o loʻo tuʻuina atu e kamupani o loʻo tuʻuina atu ao e avea o se auʻaunaga tau saofaga. E le manaʻomia e le kamupani le faʻatau ma faʻapipiʻi meafaigaluega faʻapitoa; o nei galuega e paʻu i luga o tauau o le auʻaunaga. O se itu taua o le WAF ao faʻaonaponei e le faʻaalia ai le femalagaiga o punaoa i le faʻavae a le kamupani. O le saite e mafai ona faʻapipiʻiina i soʻo se mea, e oʻo lava ile fale.

O le a matou faʻamatalaina atili pe aisea ua faʻateleina ai le vaʻavaʻai o tagata i le ao WAF.

O le a le mea e mafai e WAF ona fai i le ao

I tulaga o tomai faatekinolosi:

• O le kamupani e nafa ma fa'afouga. WAF e tuʻuina atu e ala i le saofaga, o lea e mataʻituina e le auʻaunaga le talafeagai o faʻafouga ma laisene. O fa'afouga e fa'atatau e le gata i polokalame, ae fa'apea fo'i meafaigaluega. E fa'aleleia e le kamupani le paka server ma tausia. E nafa foʻi ma le paleni o uta ma le toe faʻaaogaina. Afai e le manuia le 'au'aunaga WAF, e vave fa'afeiloa'i le ta'avale i se isi masini. Fa'asoa fa'atatau o fefa'ataua'iga e fa'atagaina ai oe e 'alo'ese mai tulaga pe a o'o atu le pa puipui e fa'aletonu le fa'aogaina - e le mafai ona fa'afetaui le uta ma taofi le fa'amamaina o talosaga.
• Fa'apipi'i fa'apitoa. Fa'apipi'i fa'apitoa e fa'atapula'aina le avanoa i vaega fa'aletonu o le talosaga se'ia tapunia e le fa'atupuina le fa'aletonu. O le iʻuga, e maua e le tagata faʻatau a le ao tuʻuina atu le avanoa e faʻatali filemu ai seʻia oʻo i le kamupani faʻapipiʻi lenei poʻo lena polokalama faʻasalalau aloaia "patches". O le faia o lenei mea i se taimi vave e mafai ai o se mea e ave i ai le faamuamua mo le kamupani faʻapipiʻi polokalama. Mo se faʻataʻitaʻiga, i le Wallarm platform, o se isi masini komepiuta e nafa ma le faʻapipiʻiina. E mafai e le pule ona faʻaopoopo faʻamatalaga masani masani e poloka ai talosaga leaga. O le faiga e mafai ai ona makaina nisi o talosaga i le fuʻa "Faʻamatalaga Faʻalilolilo". Ona ufiufi lea o latou tapuni, ma e leai se tulaga e tuʻuina atu ai i fafo atu o le fale puipui.
• O lo'o fa'apipi'i i totonu ma le su'ega fa'aletonu. O lenei mea e mafai ai e oe ona fuafua tutoʻatasi tuaoi o fesoʻotaʻiga o atinaʻe IT e faʻaaoga ai faʻamatalaga mai fesili DNS ma le WHOIS protocol. Mulimuli ane, e otometi lava ona su'esu'e e WAF au'aunaga o lo'o fa'atinoina i totonu o le nofoaga (fa'atino su'esu'ega o le taulaga). O le firewall e mafai ona iloa uma ituaiga masani o faʻafitauli - SQLi, XSS, XXE, ma isi - ma faʻamaonia mea sese i le faʻatulagaina o polokalama, mo se faʻataʻitaʻiga, avanoa le faʻatagaina i Git ma BitBucket repositories ma le le iloa igoa i Elasticsearch, Redis, MongoDB.
• O osofaʻiga e mataʻituina e punaoa ao. I le avea ai o se tulafono, o loʻo tuʻuina atu ao e tele le malosi o le komepiuta. O lenei mea e mafai ai ona e suʻesuʻeina faʻamataʻu ma le maualuga maualuga ma le saoasaoa. O se fuifui o nodes faamama o loʻo faʻapipiʻiina i totonu o le ao, lea e pasia uma ai feoaiga. O nei nodes e poloka ai osofaʻiga i luga o upega tafaʻilagi ma auina atu fuainumera i le Analytics Center. E fa'aogaina masini a'oa'oga algorithms e fa'afou tulafono poloka mo talosaga uma puipuia. O le faʻatinoga o sea polokalame o loʻo faʻaalia i le Ata. 4. O ia tulafono fa'apitoa mo le puipuiga e fa'aitiitia ai le aofa'i o fa'ailo sese.

O lenei laʻititi e uiga i foliga o le WAF o ao i tulaga o faʻalapotopotoga faʻapitoa ma pulega:

• Suiga ile OpEx. I le tulaga o cloud WAFs, o le tau o le faʻatinoga o le a leai se mea, talu ai o meafaigaluega uma ma laisene ua uma ona totogiina e le kamupani; totogi mo le tautua e faia e ala i le saofaga.
• Fuafuaga o tau eseese. E mafai e le tagata fa'aoga o le ao ona vave fa'agaoioia pe fa'amalo isi filifiliga. O galuega fa'atino e fa'afoeina mai se fa'atonuga e tasi, lea e malupuipuia fo'i. E mafai ona maua e ala i le HTTPS, faʻatasi ai ma se faʻamaoniga faʻamaonia e lua e faʻavae i luga o le TOTP (Time-based One-Time Password Algorithm) protocol.
• So'oga e ala ile DNS. E mafai ona e suia DNS oe lava ma faʻapipiʻi le faʻaogaina o fesoʻotaʻiga. Ina ia foia nei faʻafitauli e le manaʻomia le faʻafaigaluegaina ma aʻoaʻoina tagata tomai faapitoa. I le avea ai ma tulafono, e mafai ona fesoasoani le lagolago faʻapitoa a le kamupani ile seti.

O tekonolosi WAF ua fa'atupula'ia mai fa'amalama fa'amalama fa'atasi ma tulafono o lima matua i faiga fa'alavelave lavelave fa'atasi ma masini a'oa'oga algorithms. O firewalls o lo'o ofoina atu nei le tele o vaega sa faigata ona fa'atinoina i le 90s. I le tele o auala, o le tulaʻi mai o galuega fou na mafai ona faʻafetai i tekinolosi ao. O fofo WAF ma o latou vaega o loʻo faʻaauau pea ona faʻaleleia. E pei lava o isi vaega o le saogalemu o faʻamatalaga.

O le tusitusiga na saunia e Alexander Karpuzikov, faʻamatalaga tau puipuiga o oloa atinaʻe pule ile cloud provider #CloudMTS.

puna: www.habr.com