Rikthim
Shkalla, përbërja dhe struktura e kërcënimeve kibernetike për aplikacionet po evolucionojnë shpejt. Për shumë vite, përdoruesit kanë marrë qasje në aplikacionet web përmes internetit duke përdorur shfletues popullorë. Në çdo moment, ishte e nevojshme të mbaheshin 2-5 shfletues web, dhe grupi i standardeve për zhvillimin dhe testimin e aplikacioneve web ishte mjaft i kufizuar. Për shembull, pothuajse të gjitha bazat e të dhënave ishin ndërtuar duke përdorur SQL. Fatkeqësisht, pak pas kësaj, hakerët mësuan të përdorin aplikacionet web për të vjedhur, fshirë ose modifikuar të dhëna. Ata fituan qasje të paligjshme dhe abuzuan me mundësitë e aplikacioneve duke përdorur teknika të ndryshme, duke përfshirë mashtrimin e përdoruesve të aplikacioneve, injektimin dhe ekzekutimin e kodit nga distanca. Shpejt, në treg u shfaqën mjete komerciale për mbrojtjen e aplikacioneve web, të quajtura Web Application Firewalls (WAF), dhe shoqëria reagoi duke krijuar një projekt të hapur për sigurimin e aplikacioneve web, Open Web Application Security Project (OWASP), me qëllim të përcaktimit dhe mbajtjes së standardeve dhe metodologjive për zhvillimin e aplikacioneve të sigurta.
Mbrojtje e Bazës së Aplikacioneve
është një pikënisje për sigurimin e aplikacioneve dhe përmban një listë të kërcënimeve më të rrezikshme dhe konfigurimeve të gabuara që mund të çojnë në dobësi të aplikacioneve, si dhe taktika për zbulesën dhe reflektimin e sulmeve. OWASP Top 10 është një pikëreference e njohur në industrinë e kibernetikës për aplikacione në mbarë botën dhe përcakton një listë bazë të aftësive që duhet të ketë një sistem mbrojtës të aplikacioneve web (WAF).
Për më tepër, funksionaliteti i WAF duhet të marrë parasysh sulmet e tjera të zakonshme ndaj aplikacioneve web, duke përfshirë falsifikimin e kërkesave ndërsite (CSRF), klikimin e mashtrimeve (Clickjacking), scrapingun e webit (web scraping) dhe përfshirjen e skedarëve (RFI/LFI).
Kërcënimet dhe sfidat e sigurimit të aplikacioneve moderne
Sot ditëve, jo të gjitha aplikacionet janë të zhvilluar në formën rrjetore. Ka aplikacione cloud, aplikacione mobile, API, dhe në arkitekturën e fundit, funksione programore individuale. Të gjitha këto lloje aplikacionesh duhet të sinkronizohen dhe kontrollohen, sepse ato krijojnë, ndryshojnë dhe procesojnë të dhënat tona. Me shfaqjen e teknologjive dhe paradigmat e reja, lindin sfida dhe detyra të reja në të gjitha fazat e ciklit të jetës së aplikacioneve. Kjo përfshin integrimin e zhvillimit dhe operacioneve (DevOps), konteinerët, Internetin e Gjërave (IoT), mjetet me burim të hapur, API dhe të tjera.
Vendosja e shpërndarë e aplikacioneve dhe larmia e teknologjive krijon detyra komplekse dhe të ndërlidhura jo vetëm për specialistët e sigurisë së informacionit, por edhe për prodhuesit e zgjidhjeve të sigurimeve, të cilët nuk mund të mbështeten më në një qasje të unifikuar. Mjetet e mbrojtjes së aplikacioneve duhet të marrin parasysh specifikat e biznesit të tyre për të parandaluar aktivizimet e gabuara dhe ndikimin në cilësinë e shërbimeve për përdoruesit.
Qëllimi final i hakerëve zakonisht është ose vjedhja e të dhënave, ose shkelja e disponueshmërisë së shërbimeve. Keqbërësit gjithashtu përfitojnë gjatë evolucionit teknologjik. Së pari, zhvillimi i teknologjive të reja krijon më shumë mundësi për vrima dhe dobësi. Në të dytë, në arsenalin e tyre ka më shumë mjete dhe njohuri për të anashkaluar mjetet tradicionale të mbrojtjes. Kjo rrit shumë të ashtuquajturën 'sipërfaqe sulmi' dhe ekspozimin e organizatave ndaj rreziqeve të reja. Politikat e sigurisë duhet të ndryshojnë vazhdimisht në përputhje me ndryshimet në teknologji dhe aplikacione.
Prandaj, aplikacionet duhet të mbrohen nga një larmi gjithnjë e më të madhe metodash dhe burimesh sulmi, dhe pasqyrimi i sulmeve automatike duhet të realizohet në kohë reale mbi baza të vendimeve të informuara. Si rezultat, rriten kostot operacionale dhe puna manuale përballë pozicioneve të dobësuara në siguri.
Detyra Nr. 1: Menaxhimi i botëve
MĂ« shumĂ« se 60% e trafikut nĂ« internet gjenerohet nga botĂ«t, gjysma e tĂ« cilit i pĂ«rket trafikĂ«ve 'tĂ« keq' (sipas tĂ« dhĂ«nave ). Organizatat investojnĂ« nĂ« rritjen e kapacitetit tĂ« rrjetit, duke shĂ«rbyer nĂ« thelb ngarkesĂ«n fiktive. Diferencimi i saktĂ« midis trafikut real tĂ« pĂ«rdoruesve dhe trafikut tĂ« robotĂ«ve, si dhe midis robotĂ«ve âtĂ« mirĂ«â (p.sh., robotĂ«t e kĂ«rkimit dhe shĂ«rbimet e krahasimit tĂ« çmimeve) dhe robotĂ«ve âtĂ« kĂ«qijâ mund tĂ« rezultojĂ« nĂ« kursime tĂ« konsiderueshme dhe pĂ«rmirĂ«sim tĂ« cilĂ«sisĂ« sĂ« shĂ«rbimeve pĂ«r pĂ«rdoruesit.
Robotët nuk janë të gatshëm ta lehtësojnë këtë detyrë, dhe ata mund të imitojnë sjelljen e përdoruesve të vërtetë, duke kaluar CAPTCHA-në dhe pengesa të tjera. Më tej, në rastin e sulmeve që përdorin IP adresa dinamike, mbrojtja e bazuar në filtrimin e IP adrese bëhet e pamundur. Shpesh, mjetet për zhvillim me burim të hapur (p.sh., Phantom JS), të cilat mund të ekzekutojnë JavaScript-in e klientit, përdoren për të realizuar sulme brute force, sulme me akredito të mbushura (credential stuffing), sulme DDoS dhe sulme automatike me robotë.
PĂ«r njĂ« menaxhim tĂ« efektshĂ«m tĂ« trafikut tĂ« robotĂ«ve nevojitet identifikimi unik i burimit tĂ« tij (si njĂ« gisht ndihmĂ«se). Pasi nĂ« rastin e njĂ« sulmi me robotĂ« ndodhin shumĂ« regjistrime, ai gisht ndihmĂ«se mund tĂ« pĂ«rdoret pĂ«r tĂ« zbuluar aktivitetin e dyshimtĂ« dhe pĂ«r tĂ« atribuar pikĂ«zime tĂ« cilat aplikacioni i mbrojtjes do tĂ« pĂ«rdorĂ« pĂ«r tĂ« marrĂ« njĂ« vendim tĂ« informuar â tĂ« bllokojĂ«/lejojĂ« â me njĂ« normĂ« minimale tĂ« rezultateve pozitive tĂ« falsifikuara.
Detyra Nr. 2: Mbrojtja e API
Shumë aplikacione mblidhen informacione dhe të dhëna nga shërbimet me të cilat bashkëveprojnë përmes API. Kur transmetojnë të dhëna të ndjeshme përmes API, më shumë se 50% e organizatave nuk realizojnë as verifikimin, as mbrojtjen e API-ve për të zbuluar sulmet kibernetike.
Shembuj të përdorimit të API:
- Integrimi i Internetit të Gjërave (IoT)
- Ndërveprimi midis makinave
- Mjediset pa server
- Aplikacionet mobile
- Aplikacione të menaxhuara nga ngjarjet
Vulnerabilitetet e API-ve janë të ngjashme me vulnerabilitetet e aplikacioneve dhe përfshijnë injeksione, sulme në protokolle, manipulim parametrash, ridrejtime dhe sulme nga bota e bllokimeve. Gateway-t e API-ve të dedikuar lejojnë të sigurohet përputhshmëria e shërbimeve të aplikacioneve që ndërveprojnë përmes API-ve. Megjithatë, ato nuk ofrojnë sigurinë e plotë të aplikacioneve, siç e bën WAF me mjetet e nevojshme të sigurisë, si përpunimi i headers HTTP, lista e kontrollit të aksesit Layer 7 (ACL), përpunimi dhe verifikimi i ngarkesës JSON/XML, si dhe mbrojtja nga të gjitha vulnerabilitetet nga lista OWASP Top 10. Kjo arrihet përmes inspektimit të çelzave të API-ve duke përdorur modele pozitive dhe negative.
Detyra Nr.3: Refuzimi i shërbimit
Vektori i vjetĂ«r i sulmeve â refuzimi i shĂ«rbimit (DoS) â vazhdon tĂ« provohet se Ă«shtĂ« efektiv nĂ« sulmet ndaj aplikacioneve. KriminelĂ«t kanĂ« nĂ« dispozicion njĂ« grup tĂ« tĂ«rĂ« teknikash tĂ« suksesshme pĂ«r tĂ« ndĂ«rprerĂ« operimin e shĂ«rbimeve tĂ« aplikacioneve, duke pĂ«rfshirĂ« pĂ«rmbytjet HTTP ose HTTPS, sulmet me energji tĂ« ulĂ«t dhe tĂ« ngadalta (âlow-and-slowâ, siç janĂ« SlowLoris, LOIC, Torshammer), sulmet me adresa IP dinamikĂ«, mbipopullimin e memorie, sulmet bruteforce dhe shumĂ« tĂ« tjera. Me zhvillimin e Internetit tĂ« GjĂ«rave dhe shfaqjen e botnetĂ«ve IoT, sulmet ndaj aplikacioneve janĂ« bĂ«rĂ« drejtimi kryesor i sulmeve DDoS. Shumica e WAF-eve me monitorim tĂ« gjendjes sĂ« lidhjeve mund tĂ« pĂ«rballojnĂ« vetĂ«m njĂ« volum tĂ« kufizuar ngarkese. SidoqoftĂ«, ato mund tĂ« inspektojnĂ« rrjedhat e trafikut HTTP/S dhe tĂ« eliminojnĂ« trafikun e sulmit dhe lidhjet e dĂ«mshme. Pasi tĂ« zbulohet njĂ« sulm, nuk ka asnjĂ« kuptim tĂ« lejohet pĂ«rsĂ«ri ky trafik. Duke qenĂ« se kapaciteti i WAF pĂ«r tĂ« reflektuar sulmet Ă«shtĂ« i kufizuar, nevojitet njĂ« zgjidhje shtesĂ« nĂ« perimetrin e rrjetit pĂ«r tĂ« bllokuar automatikisht paketat e
Fig 1. Organizimi i mbrojtjes komplekse të rrjetit dhe aplikacioneve në shembullin e zgjidhjeve Radware
Detyra Nr.4: Mbrojtja e vazhdueshme
Aplikacionet shpesh përballen me ndryshime. Metodologjitë e zhvillimit dhe zbatimit, si vazhdimësia e përditësimeve, do të thotë se modifikimet realizohen pa ndërhyrjen dhe kontrollin e njeriut. Në këto kushte dinamike, është e vështirë të mbahen politika sigurie funksionale pa pasur një numër të lartë rastesht të rremë. Aplikacionet mobile përditësohen shumë më shpesh se aplikacionet web. Aplikacionet e palëve të treta mund të ndryshojnë pa dijeninë tuaj. Disa organizata përpiqen të fitojnë më shumë kontroll dhe vizualizim për të qëndruar në dijeni të rreziqeve potenciale. Megjithatë, kjo nuk është gjithmonë e arritshme, dhe mbrojtja e besueshme e aplikacioneve duhet të shfrytëzojë mundësitë e mësimit të makinerive për të marrë dhe paraqitur vizualisht burimet e disponueshme, për të analizuar kërcënimet potenciale, si dhe për të krijuar dhe optimizuar politikat e sigurisë në rast modifikimi të aplikacioneve.
PĂ«rfundimet
Me kalimin e kohës, aplikacionet po luajnë një rol gjithnjë e më të rëndësishëm në jetën e përditshme, duke u bërë një objektiv kryesor për hakerat. Shansi potencial për sulmuesit dhe humbjet e mundshme për biznesin janë të mëdha. Kompleksiteti i detyrës për sigurimin e aplikacioneve nuk mund të mbivlerësohet, duke marrë parasysh numrin dhe variacionet e aplikacioneve dhe kërcënimeve.
Faleminderit, jemi nĂ« njĂ« moment kur inteligjenca artificiale mund tĂ« na ndihmojĂ«. Algoritmet e bazuara nĂ« mĂ«simin e makinerive ofrojnĂ« mbrojtje adaptuese nĂ« kohĂ« reale kundĂ«r kĂ«rcĂ«nimeve kibernetike mĂ« tĂ« avancuara qĂ« drejtohen ndaj aplikacioneve. Ato gjithashtu pĂ«rditĂ«sojnĂ« automatikisht politikat e sigurisĂ« pĂ«r tĂ« mbrojtur aplikacionet web, mobile dhe nĂ« cloud â si dhe API â pa rastesht tĂ« rremĂ«.
ĂshtĂ« e vĂ«shtirĂ« tĂ« parashikosh me saktĂ«si se si do tĂ« duket brezi i ri i kĂ«rcĂ«nimeve kibernetike pĂ«r aplikacionet (ndoshta gjithashtu tĂ« bazuara nĂ« mĂ«simin e makinerive). Por organizatat me siguri mund tĂ« ndĂ«rmarrin hapa pĂ«r tĂ« mbrojtur tĂ« dhĂ«nat e klientĂ«ve, pronĂ«n intelektuale dhe pĂ«r tĂ« garantuar disponueshmĂ«rinĂ« e shĂ«rbimeve me pĂ«rfitime tĂ« mĂ«dha pĂ«r biznesin.
Praktikat dhe metodat efektive pĂ«r sigurimin e aplikacioneve, llojet kryesore dhe vektorĂ«t e sulmeve, zonat e rrezikut dhe boshllĂ«qet nĂ« mbrojtjen kibernetike tĂ« aplikacioneve nĂ« internet, si dhe pĂ«rvoja dhe praktikat mĂ« tĂ« mira botĂ«rore janĂ« paraqitur nĂ« studimin dhe raportin e Radware "â.
Burimi: habr.com
