Захист WEB-додатків. Чому це актуально?
З року в рік, компанія CISCO у своєму щорічному звіті з питань інформаційної безпеки вказує на важливість захисту веб-додатків.
На сьогодні, веб-вразливості справді перевершують по кількості і можливій шкоді будь-які інші проблеми інформаційної безпеки. Більшість зовнішніх атак на корпоративні інформаційні системи націлені саме на вразливості веб-додатків.
Багато компаній, навіть з незвичних нам сегментів ринку, повністю переходять в онлайн. А поширення онлайн-платежів тільки підсилює цей тренд. Як показує досвід, там де є онлайн продажі, використання спеціалізованого обладнання для захисту є по-справжньому критичним та необхідним.
Серед основних загроз на рівні з використанням програмних вразливостей, зловмисники активно використовують і фішингові інструменти, які побудовані на помилках людей. Від цього нам нікуди не втекти, однак спеціалісти з інформаційної безпеки також не сидять склавши руки. Сьогодні на ринку вже доступні ефективні інструменти захисту веб-додатків.
Один з основних, це - WAF (Web Application Firewall). Суть якого полягає в захисті WEB ресурсів компанії, що виставлені назовні.
Це рішення дозволяє запобігати багатьом видам атак. Серед них SQL і PHP-ін'єкції, cross-site scripting (XSS), підбір пароля, експлуатація вразливостей zero-day в веб-додатках, DDoS-атаки рівня додатків і атаки на ресурсомісткі сторінки.
У деяких виробників є цілий ряд попередньо налаштованих політик доступу для захисту поширених додатків, таких як Microsoft Outlook Web Access, Sharepoint, Lotus Domino Mail Server, Oracle E-Business Financials та інших. Які можливості цих рішень і чим вони відрізняються від традиційних методів захисту, таких як IPS і NGFW?
Перш за все потрібно розуміти, що WAF - це вузькоспеціалізований пристрій і він активно контролює тільки HTTP / HTTPS протоколи.
Для атак на веб-додатки зловмисники активно використовують вразливості нульового дня (0-day), що робить марними сигнатурні методи аналізу. Замість цього потрібно аналізувати мережевий трафік і системні журнали для створення моделі нормального функціонування програми, і на основі цієї моделі виявляти аномальну поведінку системи. WAF у силу своєї архітектури може розібрати весь сеанс зв'язку користувача, і тому здатний на більш поглиблений поведінковий аналіз, ніж NGFW. Такий підхід дозволяє виявляти атаки з використанням автоматичних засобів (сканування, підбір паролів, DDoS, фрод, залучення в ботнети).
Існує також клас атак, наприклад CSRF, що спрямовані саме на клієнта веб-додатку. Оскільки трафік атаки не проходить через захисний периметр, на перший погляд захистити користувача доволі складно, однак все ж можливо.
Розглянемо наступний сценарій атаки: користувач заходить на сайт банку, проходить там аутентифікацію і після цього в іншій вкладці браузера відкривається заражений ресурс. Шляхом JavaScript, заражений ресурс в іншому вікні, може зробити запит на переказ грошей таємно від користувача, а браузер при цьому підставить всі необхідні аутентифікаційні параметри для здійснення фінансової транзакції, так як сеанс зв'язку користувача з банком ще не закінчився. В описаній ситуації - наявна вразливість в алгоритмі аутентифікації в банківському ПО. Якби для кожної форми, що міститься на сторінці сайту, генерувався унікальний токен - проблеми б не було.
На жаль, розробники ПЗ практично ніколи так глибоко про безпеку не дбають. Однак деякі WAF можуть самостійно впроваджувати подібний захист в веб-форми і таким чином захищати клієнта, а вірніше його запити, дані, URL і cookie-файли.
Грамотний захист завжди будується на розумінні слабкостей ПЗ, яке необхідно захистити. Це дозволяє відсіяти неактуальні спроби атак і виділити тільки ті, які стосуються реальних вразливостей, наявних в системі.
Кращі зразки WAF мають в своєму розпорядженні інтегровані сканери вразливостей, що працюють в режимі чорного ящика, або динамічного аналізу (DAST). Такий сканер може використовуватися в режимі реального часу для швидкої перевірки тих вразливостей, які «промацують» зловмисники.
Навіть відомі уразливості неможливо усунути відразу: виправлення коду вимагає коштів і часу, а часто і зупинки важливих бізнес-процесів. Іноді, в разі використання стороннього ПЗ виправлення неможливо взагалі. У найбільш сучасних WAF використовують автоматизований підхід до віртуального патчинга. Для цього використовується аналізатор вихідних кодів додатка (SAST, IAST), який не просто показує в звіті рядки уразливого коду, але тут же генерує експлойт, тобто виклик з конкретними значеннями для експлуатації виявленої уразливості. Ці експлойти передаються в WAF для автоматичного створення віртуальних патчів, які забезпечують негайне «закриття дірки» ще до виправлення коду.
Сучасний WAF може групувати подібні спрацьовування і виявляти ланцюжок розвитку атаки - від розвідки до крадіжки важливих даних або установки закладок. В результаті замість списку з тисяч підозрілих подій ІБ-фахівці отримують кілька десятків дійсно важливих повідомлень.
- Альтернативи децентралізації енергогенерації в Україні не існує Олексій Гнатенко вчора о 15:31
- Відкриті дані: прозорість проти корупції Діана Граділь вчора о 13:39
- Способи захисту прав власника від самочинного будівництва на земельній ділянці Євген Морозов вчора о 10:45
- Власть, наука, интеллект – инвестиции в средний и малый бизнес и устойчивое развитие Вільям Задорський вчора о 04:01
- Прифронтовий Миколаїв. Яку допомогу можна отримати у місті, де лінія фронту зовсім близько Галина Скіпальська 25.07.2024 13:53
- На що дивляться інвестори? Олександр Висоцький 25.07.2024 12:22
- Де нормальний начпрод, там якісні продукти харчування Дана Ярова 25.07.2024 12:06
- Розвиток європейського ринку водню: Нові ініціативи та перспективи Олексій Гнатенко 25.07.2024 10:17
- Внесіть зміни у свій щоденний "to do list" Катерина Кошкіна 25.07.2024 09:59
- Гранти на відновлення та енергоефективність житла: можливості від Фонду енергоефективності Єгор Фаренюк 24.07.2024 21:44
- Порушення прав власника земельної ділянки внаслідок самочинного будівництва Євген Морозов 24.07.2024 19:48
- Як застосувати методи відбору постачальників НАТО у наших реаліях? Євгеній Сільверстов 24.07.2024 18:00
- Кого підтримуватиме Ізраїль під час виборів у США? Олег Вишняков 24.07.2024 13:22
- Європейська рада схвалила висновки щодо інфраструктури електромережі ЄС Олексій Гнатенко 24.07.2024 12:30
- Спільна власність чоловіка та жінки, які проживають без реєстрації шлюбу Євген Морозов 23.07.2024 19:26
- Boris Johnson: Запрошення до усвідомлення – домовлянь з РФ не буде 1882
- Суди проти рф – реалії, фантазії, міфи. Перспективи Арбітражу 299
- Як застосувати методи відбору постачальників НАТО у наших реаліях? 91
- Чому конкурентні закупівлі – це більше ніж просто вимога закону 65
- Дизайн дитячого простору 63
-
11 млрд доларів тому, кого немає. На що просила гроші Україна в Берліні
Бізнес 87043
-
У Харкові обрали нові назви для трьох станцій метро
Бізнес 11232
-
Помпео виклав своє бачення мирного плану Трампа: лендліз на $500 млрд і реальні санкції
Бізнес 9244
-
Криза мобільного зв’язку. Скільки коштуватиме подовження зв'язку під час відключень
Бізнес 5710
-
Київський підприємець почав розбирати Tesla, щоб заряджати оселі – FT
Технології 5393