В наше время информация стоит дорого, и ее защита – важнейшая задача для компаний. Угроза взлома растет, и нужно понимать, как защитить свои веб-приложения на разных этапах – при разработке и эксплуатации.
Когда разрабатываешь веб-приложение, важно использовать разные инструменты для проверки безопасности. Это может быть статический, динамический и интерактивный анализ кода. Эти методы помогают найти и исправить уязвимости еще на стадии разработки.
В этой статье мы простыми словами объясним, что такое межсетевой экран WAF и зачем он нужен.
Что такое WAF и зачем он нужен
WAF, или веб-аппликационный файрвол, помогает защитить ваши веб-приложения, фильтруя и отслеживая HTTP-трафик между вашим сайтом и Интернетом. Он работает на 7 уровне модели OSI, который еще называют прикладным уровнем. Это означает, что WAF не может защитить от всех видов атак, но он отлично справляется с защитой веб-приложений от многих угроз.
Как работает WAF
WAF обычно устанавливается перед вашим веб-приложением и выполняет роль щита между ним и интернетом. В отличие от обычного прокси, который защищает данные клиента, WAF действует как «обратный прокси». Это означает, что он защищает сервер, проверяя весь входящий трафик, прежде чем пропустить клиентов к вашему приложению.
Как работает файрвол и чем он отличается от IDS/IPS
WAF (веб-аппликационный файрвол) в основном занимается защитой веб-приложений, анализируя характерные для них сигнатуры. Он проверяет такие вещи, как формат JSON или XML, и обращает внимание на возможные ошибки, а не только на очевидные атаки.
В отличие от WAF, системы обнаружения и предотвращения вторжений (IDS/IPS) функционируют на сетевом уровне. Хотя в некоторых конфигурациях возможно дешифрование, это не так распространено, как в случае с WAF. Если дешифрование отсутствует, IDS/IPS может не обнаружить атаку на веб-приложение. Эти системы анализируют все уровни сети, что позволяет им выявлять такие атаки, как атаки, основанные на IP-фрагментации, которые WAF может пропустить. Поскольку IDS/IPS отслеживают весь трафик, они не ограничиваются только веб-приложениями и имеют более широкий спектр сигнатур. Однако у них может не быть такого подробного набора сигнатур для веб-приложений, как у WAF.
Обе технологии могут пересекаться: при атаке на определенный трафик могут среагировать и IDS/IPS, и WAF, но возможны случаи, когда только одна из систем распознает угрозу. И есть вероятность, что некоторые атаки пройдут незамеченными обеими системами.
От чего конкретно защищает WAF
WAF это важный инструмент, который защищает веб-приложения от множества различных атак. Далее рассмотрим некоторые из них.
- PHP-инъекции. PHP-инъекции нацелены на сайты, работающие на PHP. Они позволяют злоумышленникам внедрять и выполнять сторонний код на сервере, что может привести к компрометации системы.
- Инъекция файлов (LFI/RFI):
- LFI (Local File Inclusion) - позволяет атакующему выполнять локальные файлы на сервере, что может привести к утечке конфиденциальной информации;
- RFI (Remote File Inclusion) - позволяет выполнять удаленные файлы на сервере, что может быть использовано для внедрения вредоносного кода.
- RCE (удаленное выполнение кода). RCE - одна из самых серьезных угроз. При этой атаке злоумышленник удаленно выполняет произвольный код на сервере или другом устройстве, что дает ему полный контроль над системой.
- XSS (межсайтовый скриптинг). XSS атаки предполагают внедрение вредоносного кода в веб-страницы. Этот код может выполнять различные действия, например, кражу данных пользователей или выполнение нежелательных операций от их имени.
- SQL-инъекции. SQL-инъекции - распространенная атака, направленная на сайты и приложения, работающие с базами данных. Суть атаки в том, что злоумышленник вставляет вредоносный SQL-код в запрос, чтобы получить несанкционированный доступ к базе данных и манипулировать ею.
- Атаки перебором. Эти атаки направлены на подбор паролей, идентификаторов сессий и попытки выполнения DoS-атак.
- Автоматизированные действия. Автоматизированные атаки включают подбор логинов и паролей, промокодов и других данных. Например, в интернет-магазинах это может привести к автоматическому добавлению товаров в корзину с целью истощения запасов.
- Боты.Боты сканируют веб-приложения на предмет уязвимостей, извлекают данные и выполняют другие вредоносные действия. Они создают значительный объем вредоносного трафика в интернете.
Это лишь часть угроз, от которых может защитить WAF. Этот инструмент предоставляет комплексную защиту, помогая вам обезопасить ваши веб-приложения от множества различных атак.
Основные требования к современному WAF
Современный Web Application Firewall должен соответствовать таким критериям.
- Соответствие стандартам безопасности PCI DSS.
- Умение реагировать на угрозы из списка OWASP Top Ten.
- Проверка запросов и ответов согласно политике безопасности и ведение журналов событий.
- Предотвращение утечек данных через инспекцию ответов сервера на наличие конфиденциальной информации.
- Применение как позитивной, так и негативной модели безопасности.
- Инспекция содержимого веб-страниц, включая HTML, DHTML, CSS, а также нижележащих протоколов доставки контента (HTTP/HTTPS).
- Проверка сообщений веб-сервисов (SOAP, XML).
- Инспекция любых протоколов и данных, используемых для передачи информации веб-приложениями, вне зависимости от их стандартизации.
- Защита от атак, направленных непосредственно на сам WAF.
- Поддержка SSL/TLS-терминации соединений.
- Обнаружение и предотвращение подделки идентификаторов сессий.
- Автоматическое обновление сигнатур атак.
- Возможность установки режимов fail-open и fail-close.
- Поддержка клиентских SSL-сертификатов и аппаратного хранения ключей (FIPS).
Эволюция WAF
WAF – это защитный межсетевой экран на уровне приложений, который выявляет и блокирует современные атаки на веб-приложения. Его основная задача – не допустить несанкционированный доступ к вашему приложению, даже если в нем есть критичные уязвимости.
Эволюцией классического WAF стал WAAP, который предлагает более продвинутые автоматизированные механизмы защиты для постоянно меняющихся веб-приложений и их API.
Использование WAF и других защитных технологий помогает значительно снизить риски и защитить важные данные ваших веб-приложений от злоумышленников.
