OWASP प्रोएक्टिव नियंत्रण: सॉफ्टवेयर डेवलपर्स के लिए आवश्यक शर्तें की सूची

हम आपका ध्यान सॉफ्टवेयर डेवलपर्स के लिए शीर्ष 10 सक्रिय नियंत्रणों पर लाते हैं - 10 सुरक्षा पहलू जो सॉफ्टवेयर डेवलपर्स को ध्यान केंद्रित करना चाहिए। इस लेख में प्रत्येक नई परियोजना को विकसित करते समय कार्यान्वित की जाने वाली आवश्यक सुरक्षा तकनीकों की एक सूची है।

स्वास्थ्य की रक्षा, रक्षा, ऊर्जा, या वित्त जैसी महत्वपूर्ण बुनियादी सुविधाओं की सुरक्षा को अपर्याप्त रूप से संरक्षित सॉफ्टवेयर कमजोर करता है। हमारा वैश्विक डिजिटल बुनियादी ढांचा अधिक जटिल होता जा रहा है, इसके घटकों के बीच संबंधों की संख्या बढ़ रही है, इसलिए अनुप्रयोग सुरक्षा का महत्व तेजी से बढ़ रहा है। अपेक्षाकृत सरल सुरक्षा खतरों को अब नजरअंदाज नहीं किया जा सकता है।

OWASP

ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट (OWASP) एक ओपन सोर्स वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट है। OWASP समुदाय में निगम, शैक्षिक संगठन और दुनिया भर के व्यक्ति शामिल हैं। OWASP सार्वजनिक रूप से सुलभ लेख, ट्यूटोरियल, प्रलेखन, उपकरण और प्रौद्योगिकियों पर काम कर रहा है।

OWASP परियोजना को कई मानकों, उपकरणों और संगठनों द्वारा संदर्भित किया जाता है, जिसमें MITER, PCI DSS, DISA, FTC, और कई अन्य शामिल हैं।

प्रोएक्टिव डिफेंस: टॉप -10 ओडब्ल्यूएएसपी रिक्वायरमेंट्स प्रोजेक्ट ओडब्ल्यूएएसपी टॉप -10 प्रोजेक्ट के समान है, लेकिन यह खतरों से बचाने के लिए तरीकों और सिफारिशों पर केंद्रित है, न कि खुद खतरों पर। इस दस्तावेज़ में प्रत्येक विधि और सिफारिश OWASP टॉप -10 सूची से एक या अधिक खतरों से जुड़ी है।

लक्ष्य और उद्देश्य

प्रोएक्टिव डिफेंस का लक्ष्य: ओडब्ल्यूएएसपी टॉप 10 रिक्वायरमेंट्स प्रोजेक्ट का उद्देश्य सूचना सुरक्षा के सबसे महत्वपूर्ण पहलुओं को संबोधित करते हुए आवेदन सुरक्षा पर ध्यान आकर्षित करना है, जिस पर सॉफ्टवेयर डेवलपर्स को विचार करना चाहिए। हम संगठनों को ओडब्ल्यूएएसपी की सक्रिय रक्षा सिफारिशों का लाभ उठाने के लिए प्रोत्साहित करते हैं और डेवलपर्स को यह सिखाते हैं कि अन्य संगठनों में हुई त्रुटियों को महत्व देते हुए आवेदन सुरक्षा पर ध्यान कैसे दें। हमें उम्मीद है कि सुरक्षित एप्लिकेशन बनाते समय OWASP सिफारिशें आपके लिए उपयोगी होंगी।

दर्शकों को लक्षित करें

दस्तावेज़ मुख्य रूप से डेवलपर्स के लिए है। हालांकि, यह विकास प्रबंधकों, उत्पाद प्रबंधकों, गुणवत्ता आश्वासन विशेषज्ञों, परियोजना प्रबंधकों, साथ ही सॉफ्टवेयर निर्माण प्रक्रिया में अन्य प्रतिभागियों के लिए उपयोगी होगा।

शीर्ष 10 सक्रिय रक्षा आवश्यकताएँ

C1: सुरक्षा आवश्यकताओं की परिभाषा

सुरक्षा आवश्यकताएँ उन कार्यों का वर्णन करती हैं जिन्हें कुछ सॉफ़्टवेयर सुरक्षा सेटिंग्स प्रदान करने के लिए लागू किया जाना चाहिए। वे उद्योग मानकों, लागू कानूनों और भेद्यता डेटा पर आधारित हैं। आवश्यकताएं उन कार्यों को परिभाषित करती हैं जिन्हें विशिष्ट सुरक्षा समस्याओं को हल करने या संभावित खतरों को खत्म करने के लिए विकसित या आगे विकसित होने की आवश्यकता होती है।

OWASP अनुप्रयोग सुरक्षा प्रमाणन मानक (ASVS) उपलब्ध सुरक्षा आवश्यकताओं और सत्यापन विकल्पों की एक सूची है। OWASP ASVS विकास टीमों के लिए उन्नत सुरक्षा आवश्यकताएं प्रदान कर सकता है।

सुरक्षा आवश्यकताओं को सामान्य उच्च-स्तरीय सुरक्षा कार्यों के आधार पर वर्गीकृत किया गया है। उदाहरण के लिए, ASVS में निम्नलिखित श्रेणियां हैं: प्रमाणीकरण, अभिगम नियंत्रण, त्रुटि से निपटने और लॉगिंग, और वेब सेवाएँ। प्रत्येक श्रेणी के लिए मापदंडों की एक सूची है जिसे जांचने की सिफारिश की जाती है।

सुरक्षा आवश्यकताओं को सफलतापूर्वक लागू करने की प्रक्रिया में चार चरण शामिल हैं: खोज और चयन, प्रलेखन, कार्यान्वयन, नए सुरक्षा कार्यों के सही कार्यान्वयन और आवेदन की कार्यक्षमता की पुष्टि।

C2: सुरक्षित रूपरेखाओं और पुस्तकालयों का उपयोग करना

अंतर्निहित सुरक्षा सुविधाओं के साथ सुरक्षित पुस्तकालय और ढांचे विकास और कार्यान्वयन चरणों के दौरान डेवलपर्स को कमजोरियों से बचने में मदद करते हैं। खरोंच से एक एप्लिकेशन बनाने वाले डेवलपर्स के पास आवेदन की सुरक्षा को लागू करने या बनाए रखने के लिए पर्याप्त ज्ञान, समय या पैसा नहीं हो सकता है। सुरक्षित रूपरेखाओं का उपयोग करके आवेदन सुरक्षा के स्तर को बढ़ाया जा सकता है।

जब आप अपने सॉफ़्टवेयर में थर्ड-पार्टी लाइब्रेरी या फ्रेमवर्क शामिल करते हैं, तो निम्नलिखित सिफारिशों पर विचार किया जाना चाहिए:

• विश्वसनीय स्रोतों से पुस्तकालयों और रूपरेखाओं का उपयोग करें जो सक्रिय रूप से विकसित और व्यापक रूप से अनुप्रयोगों में उपयोग किए जाते हैं;
• संकलन करें और सभी तृतीय-पक्ष पुस्तकालयों के कैटलॉग को अद्यतित रखें;
• पुस्तकालयों और घटकों को अद्यतित रखें। परियोजनाओं में निर्भरता निर्धारित करने के लिए OWASP और Retire.JS निर्भरता जाँच जैसे उपकरणों का उपयोग करें, और तृतीय-पक्ष कोड में ज्ञात और प्रकाशित कमजोरियों की भी जाँच करें;
• हमलों की संभावना को कम करने के लिए अपने सॉफ़्टवेयर के लिए आवश्यक लाइब्रेरी एन्कैप्सुलेशन और केवल कार्यक्षमता का उपयोग करें।

C3: डेटाबेस तक सुरक्षित पहुँच प्रदान करना

यह खंड सभी डेटा वेयरहाउस को सुरक्षित पहुंच प्रदान करने के लिए समर्पित है, जिसमें रिलेशनल डेटाबेस और NoSQL डेटाबेस शामिल हैं।

अनुप्रयोग सुरक्षा के लिए सबसे गंभीर खतरों में से एक SQL इंजेक्शन है। इस तरह के हमले को लागू करना आसान है: SQL कोड को इंजेक्ट किया जा सकता है यदि अविश्वासित इनपुट को गतिशील रूप से SQL प्रश्नों में जोड़ा जाता है, जो आमतौर पर उन्हें मुख्य लाइन से जोड़कर होता है। इस भेद्यता के शोषण से डेटाबेस की चोरी, विलोपन या परिवर्तन हो सकता है। एप्लिकेशन का उपयोग आपके डेटाबेस वाले सिस्टम पर दुर्भावनापूर्ण आदेशों को निष्पादित करने के लिए भी किया जा सकता है, जो एक हमलावर को नेटवर्क में पैर जमाने की अनुमति देगा।

SQL इंजेक्शन को रोकने के लिए, आपको SQL कमांड के भाग के रूप में असत्यापित इनपुट की व्याख्या करने से बचना चाहिए। सबसे अच्छा समाधान "क्वेरी पैरामीटराइजेशन" विधि का उपयोग करना होगा। इस विधि को SQL और OQL निर्माणों, साथ ही संग्रहीत प्रक्रियाओं पर लागू किया जाना चाहिए।

ASP, ColdFusion, C #, Delphi, .NET, Go, Java, Perl, PHP, PL / SQL, PostgreSQL, Python, R, Ruby, और योजना के लिए क्वेरी पैरामीटर के उदाहरण http:// http://obby-tables.com पर देखे जा सकते हैं। क्वेरी पैरामीटर के लिए OWASP ज्ञापन में ।

C4: डेटा एनकोडिंग और परिरक्षण

कोडिंग इंजेक्शन से कोडिंग और बचना सुरक्षा के तरीके हैं। एन्कोडिंग, जिसे "आउटपुट एन्कोडिंग" भी कहा जाता है, विशेष वर्णों के समकक्ष संयोजनों में रूपांतरण है जो दुभाषिया के लिए खतरनाक नहीं हैं। उदाहरण के लिए, चरित्र <एक संयोजन में परिवर्तित हो जाता है <जब इसे HTML पृष्ठ पर जोड़ा जाता है। बचने में पात्रों या रेखाओं के सामने विशेष वर्ण जोड़ने की गलत व्याख्या की जाती है, उदाहरण के लिए, \ "(डबल कोट्स) को जोड़ने से पहले आप उन्हें पाठ के भाग के रूप में व्याख्या करने की अनुमति देते हैं, न कि एक लाइन टर्मिनेटर के रूप में।

इंटरप्रेटर में डेटा पास करने से तुरंत पहले कोडिंग सबसे अच्छा लगाया जाता है। यदि आप अनुरोध के प्रसंस्करण में इस पद्धति को बहुत जल्दी लागू करते हैं, तो एन्कोडिंग या परिरक्षण कार्यक्रम के अन्य हिस्सों में सामग्री के उपयोग को प्रभावित कर सकता है। उदाहरण के लिए, यदि HTML सामग्री डेटाबेस में सहेजे जाने से पहले बच जाती है, और इंटरफ़ेस स्वचालित रूप से इस डेटा से बच जाता है, तो डबल भागने के कारण सामग्री सही ढंग से प्रदर्शित नहीं होगी।

सामग्री में एम्बेडिंग के अन्य रूपों को रोकने के लिए कोडिंग या भागने का उपयोग किया जा सकता है। उदाहरण के लिए, सिस्टम कमांड के लिए डेटा दर्ज करते समय आप कुछ विशेष मेटाचैकर्स को बेअसर कर सकते हैं। इसे "एस्केपिंग ओएस कमांड्स", "एस्केपिंग शेल" आदि कहा जाता है। इस तरह के संरक्षण का उपयोग "कमांड इंजेक्शन" को रोकने के लिए किया जा सकता है।

बचने के अन्य रूप हैं जो इंजेक्शन को रोकने के लिए इस्तेमाल किए जा सकते हैं, उदाहरण के लिए, XML विशेषताओं से बचना जो XML और XML पथों के एम्बेडिंग के विभिन्न रूपों से बचाता है और विभिन्न LDAP इंजेक्शनों को रोकने के लिए अद्वितीय LDAP नामों से बच रहा है।

C5: सभी इनपुट का अनिवार्य सत्यापन

इनपुट डेटा का सत्यापन एक प्रोग्रामिंग तकनीक का हिस्सा है जो यह सुनिश्चित करता है कि प्रोग्राम घटकों में केवल सही ढंग से स्वरूपित डेटा प्राप्त हो।

सिंथेटिक और शब्दार्थ मानदंड

एप्लिकेशन को उन्हें उपयोग करने से पहले सिंटैक्टिक और सिमेंटिक मानदंड (उस क्रम में) के अनुपालन के लिए डेटा की जांच करनी चाहिए (उपयोगकर्ता के लिए प्रदर्शन सहित)।

सिंटैक्टिक मानदंड का अर्थ है कि डेटा अपेक्षित प्रस्तुति से मेल खाता है। उदाहरण के लिए, किसी एप्लिकेशन में, उपयोगकर्ता कुछ कार्यों को करने के लिए एक चार-अंकीय "पहचानकर्ता" निर्दिष्ट कर सकता है। एक हमलावर डेटा दर्ज कर सकता है जो उसे एसक्यूएल कोड को इंजेक्ट करने की अनुमति देता है, इसलिए एप्लिकेशन को यह सत्यापित करना चाहिए कि दर्ज किया गया डेटा बिल्कुल संख्या और चार वर्णों की मात्रा में है (उपयुक्त क्वेरी पैरामीटर के उपयोग के अलावा)।

सिमेंटिक मानदंड का मतलब केवल इनपुट डेटा का उपयोग है जो एक निश्चित कार्यक्षमता और संदर्भ से आगे नहीं जाता है। उदाहरण के लिए, समय सीमा निर्दिष्ट करते समय, प्रारंभ तिथि को अंतिम तिथि से पहले होना चाहिए।

सफेद और काली सूची

इनपुट सिंटैक्स की जाँच करने के लिए दो मुख्य दृष्टिकोण हैं - ब्लैक लिस्ट और श्वेतसूची जाँच।

पहली विधि डेटा में "संभावित रूप से हानिकारक" सामग्री की खोज करने के लिए डिज़ाइन की गई है। उदाहरण के लिए, एक वेब एप्लिकेशन क्रॉस-साइट स्क्रिप्टिंग को रोकने के लिए SCRIPT शब्द वाले इनपुट को ब्लॉक कर सकता है। हालाँकि, इस सुरक्षा उपाय को स्क्रिप्ट टैग के लिए लोअरकेस अक्षर या लोअरकेस और अपरकेस अक्षरों के संयोजन का उपयोग करके देखा जा सकता है।

दूसरा तरीका "परीक्षण" नियमों के एक सेट की आवश्यकताओं के साथ डेटा के अनुपालन की पुष्टि करना है। उदाहरण के लिए, एक अमेरिकी राज्य श्वेतसूची मौजूदा अमेरिकी राज्यों की सूची में 2-अक्षर कोड की तलाश करेगी।

सुरक्षित सॉफ़्टवेयर बनाते समय, न्यूनतम के रूप में श्वेतसूची की सिफारिश की जाती है। ब्लैकलिस्ट में त्रुटियां हो सकती हैं, उन्हें विभिन्न तरीकों से दरकिनार किया जा सकता है, और स्वयं में वे खतरनाक हो सकते हैं। यद्यपि यह ब्लैकलिस्ट के प्रतिबंधों को बायपास करने के लिए संभव है, वे स्पष्ट हमलों का पता लगाने में उपयोगी हो सकते हैं। इस प्रकार, श्वेतसूची यह सुनिश्चित करने के लिए हमले की संभावना को सीमित करने में मदद करती है कि डेटा वाक्यात्मक और अर्थ संबंधी मानदंडों के अनुरूप है, जबकि ब्लैकलिस्ट स्पष्ट हमलों का पता लगाने और उन्हें रोकने में मदद करते हैं।

क्लाइंट और सर्वर साइड चेक

सुरक्षा सुनिश्चित करने के लिए, इनपुट सत्यापन हमेशा सर्वर साइड पर किया जाना चाहिए। क्लाइंट-साइड चेक कार्यक्षमता और सुरक्षा के संदर्भ में उपयोगी हो सकते हैं, लेकिन उन्हें अक्सर आसानी से दरकिनार किया जाता है। इसलिए, सुरक्षा के लिए सर्वर-साइड सत्यापन बेहतर है। उदाहरण के लिए, जावास्क्रिप्ट की जाँच उपयोगकर्ता को चेतावनी दे सकती है कि फ़ील्ड में केवल संख्याएँ होनी चाहिए, लेकिन सर्वर की तरफ के अनुप्रयोग को यह पुष्टि करनी चाहिए कि इनपुट डेटा मानों की स्वीकार्य सीमा में संख्याएँ हैं।

C6: डिजिटल पहचान को लागू करें

डिजिटल पहचान ऑनलाइन लेनदेन में उपयोगकर्ता (या किसी अन्य वस्तु) का एक अनूठा प्रतिनिधित्व है। प्रमाणीकरण यह पुष्टि करने की प्रक्रिया है कि कोई व्यक्ति या संस्था वह कौन है। सत्र प्रबंधन वह प्रक्रिया है जिसके द्वारा सर्वर उपयोगकर्ता की प्रमाणीकरण स्थिति की निगरानी करता है ताकि वह पुन: प्रमाणीकरण के बिना सिस्टम का उपयोग करना जारी रख सके। विशेष संस्करण NIST 800-63B : डिजिटल पहचान गाइड (प्रमाणीकरण और जीवन चक्र प्रबंधन) डिजिटल पहचान, प्रमाणीकरण और सत्र प्रबंधन आवश्यकताओं को लागू करने के लिए विस्तृत सिफारिशें प्रदान करता है।

C7: अनिवार्य अभिगम नियंत्रण

अभिगम नियंत्रण (या प्राधिकरण) में उपयोगकर्ताओं, कार्यक्रमों या प्रक्रियाओं से विशिष्ट अनुरोधों को अनुमति देने या प्रतिबंधित करने में शामिल है, और इस तरह के विशेषाधिकारों को जारी करने और निरस्त करने में भी शामिल है।

यह ध्यान दिया जाना चाहिए कि प्राधिकरण (विशेष कार्यों या संसाधनों तक पहुंच के अधिकार की पुष्टि) समान प्रमाणीकरण (पहचान का सत्यापन) नहीं करता है।

एक्सेस कंट्रोल सिस्टम की जटिलता के आधार पर एक्सेस कंट्रोल आमतौर पर सॉफ्टवेयर के कई पहलुओं को प्रभावित करता है। उदाहरण के लिए, स्केलेबिलिटी उद्देश्यों के लिए एक्सेस कंट्रोल मेटाडेटा प्रबंधन या कैशिंग आमतौर पर एक एक्सेस कंट्रोल सिस्टम के अतिरिक्त घटक होते हैं जिन्हें बनाने या बनाए रखने की आवश्यकता होती है। अभिगम नियंत्रण के कई अलग-अलग तरीके हैं:

• चयनात्मक अभिगम नियंत्रण (डीएसी) - इसमें पहचानकर्ता के आधार पर वस्तुओं (उदाहरण के लिए, फाइलें या डेटा तत्व) तक पहुंच को प्रतिबंधित करना शामिल है, साथ ही विषयों के "आवश्यक ज्ञान" का सिद्धांत (उदाहरण के लिए, उपयोगकर्ता या प्रक्रियाएं) और / या समूह जिसमें वस्तुएं हैं;
• अनिवार्य अभिगम नियंत्रण (एमएसी) - इसमें इन संसाधनों में निहित डेटा (लेबल द्वारा परिभाषित) की प्रणाली की उपयोगिता और निर्दिष्ट महत्व की जानकारी का उपयोग करने के लिए उपयोगकर्ताओं के औपचारिक प्राधिकरण (यानी पहुंच) के आधार पर सिस्टम संसाधनों तक पहुंच को प्रतिबंधित करना शामिल है;
• भूमिका-आधारित अभिगम नियंत्रण मॉडल (RBAC) - भूमिकाओं के आधार पर संसाधनों तक पहुंच को नियंत्रित करना शामिल है जो संसाधनों के साथ अनुमत क्रियाओं को परिभाषित करता है, न कि विषय पहचानकर्ताओं के आधार पर;
• विशेषता-आधारित अभिगम नियंत्रण (ABAC) - में उपयोगकर्ता विशेषताओं और ऑब्जेक्ट विशेषताओं के साथ-साथ उन पर्यावरणीय तत्वों के आधार पर उपयोगकर्ता के अनुरोधों को अनुमति देना या अस्वीकार करना शामिल है, जिन्हें वैश्विक स्तर पर परिभाषित किया जा सकता है और लागू नीतियों के लिए अधिक प्रासंगिक है।

C8: सर्वव्यापी डेटा सुरक्षा

गोपनीय डेटा जैसे पासवर्ड, क्रेडिट कार्ड नंबर, मेडिकल रिकॉर्ड, व्यक्तिगत डेटा और व्यापार रहस्यों को अतिरिक्त सुरक्षा की आवश्यकता होती है, खासकर यदि वे डेटा गोपनीयता कानून के अधीन हैं, जैसे कि ईयू जनरल डेटा प्रोटेक्शन रेगुलेशन (जीडीपीआर), या सुरक्षा कानून। वित्तीय डेटा, जैसे भुगतान कार्ड डेटा सुरक्षा मानक (PCI DSS)।

हमलावर कई अलग-अलग तरीकों से वेब एप्लिकेशन और वेब सेवाओं से डेटा चुरा सकते हैं। उदाहरण के लिए, एक हमलावर साझा वायरलेस नेटवर्क से कनेक्ट कर सकता है और असुरक्षित इंटरनेट कनेक्शन के माध्यम से प्रसारित होने पर अन्य उपयोगकर्ताओं से गोपनीय डेटा को देख या चोरी कर सकता है। एक हमलावर SQL इंजेक्शन का उपयोग पासवर्ड और अन्य क्रेडेंशियल्स को चोरी करने के लिए भी कर सकता है, और फिर उन्हें सार्वजनिक डोमेन में डाल सकता है।

डेटा वर्गीकरण

आपको अपने सिस्टम में डेटा को वर्गीकृत करने और प्रत्येक डेटा ब्लॉक के महत्वपूर्ण स्तर को निर्धारित करने की आवश्यकता है। डेटा की प्रत्येक श्रेणी तब प्रत्येक महत्वपूर्ण स्तर के लिए परिभाषित सुरक्षा नियमों से जुड़ी हो सकती है। उदाहरण के लिए, सार्वजनिक विपणन जानकारी जो गोपनीय नहीं है, को सार्वजनिक रूप से उपलब्ध डेटा के लिए जिम्मेदार ठहराया जा सकता है जिसे सार्वजनिक रूप से उपलब्ध वेबसाइट पर पोस्ट किया जा सकता है। क्रेडिट कार्ड नंबर को उन उपयोगकर्ताओं के व्यक्तिगत डेटा के लिए जिम्मेदार ठहराया जा सकता है जिन्हें स्टोर करने या स्थानांतरित करने के लिए एन्क्रिप्शन की आवश्यकता होती है।

ट्रांसमिशन एन्क्रिप्शन

किसी भी नेटवर्क के माध्यम से संवेदनशील डेटा स्थानांतरित करते समय, एंड-टू-एंड कनेक्शन सुरक्षा (या एन्क्रिप्शन) को लागू किया जाना चाहिए। टीएलएस अब तक का सबसे व्यापक रूप से इस्तेमाल और समर्थित क्रिप्टोग्राफिक प्रोटोकॉल है जो सुरक्षित कनेक्शन प्रदान करता है। एक नेटवर्क पर सुरक्षित डेटा ट्रांसमिशन के लिए इसका उपयोग कई क्षेत्रों (वेब ​​एप्लिकेशन, वेब सेवाओं, मोबाइल एप्लिकेशन) में किया जाता है। टीएलएस कनेक्शन की सुरक्षा सुनिश्चित करने के लिए, आपको उन्हें सही ढंग से कॉन्फ़िगर करना होगा।

टीएलएस प्रोटोकॉल का मुख्य लाभ अनधिकृत पहुंच से वेब एप्लिकेशन डेटा की सुरक्षा है और क्लाइंट (वेब ​​ब्राउज़र) और वेब एप्लिकेशन सर्वर के साथ-साथ वेब एप्लिकेशन सर्वर और आंतरिक सर्वर या अन्य गैर-ब्राउज़र के बीच इसके हस्तांतरण के दौरान परिवर्तन होता है। , संगठन के घटक।

डेटा एन्क्रिप्शन

संवेदनशील डेटा के प्रबंधन के लिए पहला नियम यह है कि जब भी संभव हो संवेदनशील डेटा संग्रहीत करने से बचें। यदि आपको गोपनीय डेटा को बचाने की आवश्यकता है, तो सुनिश्चित करें कि उनके पास अनधिकृत पहुंच और परिवर्तनों के खिलाफ क्रिप्टोग्राफ़िक सुरक्षा है।

क्रिप्टोग्राफी सूचना सुरक्षा के सबसे उन्नत क्षेत्रों में से एक है, इसकी समझ के लिए व्यापक ज्ञान और अनुभव की आवश्यकता होती है। एक एकल समाधान चुनना मुश्किल है, क्योंकि एन्क्रिप्शन के लिए कई अलग-अलग दृष्टिकोण हैं, और उनमें से प्रत्येक के पास इसके फायदे और नुकसान हैं, जिन्हें वेब आर्किटेक्ट और वेब डेवलपर्स को स्पष्ट रूप से समझना चाहिए। इसके अलावा, गंभीर क्रिप्टोग्राफिक अनुसंधान आमतौर पर उच्च गणित और संख्या सिद्धांत पर आधारित होता है, जो एक उच्च इनपुट सीमा बनाता है।

C9: सुरक्षा इवेंट लॉगिंग और निगरानी लागू करें

अधिकांश डेवलपर्स पहले से ही डिबगिंग और डायग्नोस्टिक्स के लिए लॉगिंग का उपयोग करते हैं। एप्लिकेशन चलने के दौरान सुरक्षा घटनाओं (सुरक्षा से संबंधित डेटा) को रिकॉर्ड करना भी महत्वपूर्ण है। मॉनिटरिंग विभिन्न स्वचालन टूल का उपयोग करके एप्लिकेशन और सुरक्षा लॉग का लाइव विश्लेषण है। उसी उपकरण और टेम्पलेट्स को चल रहे संचालन, डिबगिंग और सुरक्षा पर लागू किया जा सकता है।

सुरक्षा इवेंट लॉगिंग के लाभ

सुरक्षा ईवेंट लॉग का उपयोग किया जा सकता है:

• डेटा के साथ एक हमले का पता लगाने प्रणाली की आपूर्ति;
• घटनाओं का विश्लेषण और जांच;
• नियामक आवश्यकताओं का अनुपालन।

सुरक्षा इवेंट लॉगिंग को लागू करना

सुरक्षा इवेंट लॉगिंग को लागू करने के लिए अनुशंसाएँ निम्न हैं।

• सिस्टम में और अपने संगठन के सिस्टम के बीच रिकॉर्डिंग की घटनाओं के लिए मानक रूपों और विधियों का उपयोग करें। मानक ईवेंट लॉगिंग प्लेटफ़ॉर्म का एक उदाहरण Apache Logging Services है, जो Java, PHP, .NET और C ++ अनुप्रयोगों के बीच लॉगिंग संगतता प्रदान करता है।
• बहुत अधिक या बहुत कम डेटा रजिस्टर न करें। उदाहरण के लिए, टाइमस्टैम्प और क्रेडेंशियल्स को पंजीकृत करना सुनिश्चित करें, जैसे कि स्रोत आईपी पता और उपयोगकर्ता आईडी, लेकिन कभी भी व्यक्तिगत या गोपनीय डेटा रिकॉर्ड न करें।
• टाइमस्टैम्प स्थिरता सुनिश्चित करने के लिए नोड्स के बीच समय सिंक्रनाइज़ेशन पर विशेष ध्यान दें।

हमलों का पता लगाने और उनका सामना करने के लिए लॉगिंग

दुर्भावनापूर्ण उपयोगकर्ता व्यवहार को इंगित करने वाली गतिविधि निर्धारित करने के लिए लॉगिंग का उपयोग करें। दर्ज की जाने वाली संभावित खतरनाक गतिविधि:

• इनपुट डेटा अपेक्षित संख्यात्मक सीमा के बाहर है;
• इनपुट डेटा उन घटकों को संशोधित करता है जो अपरिवर्तित रहना चाहिए (चयन सूची, चेक बॉक्स, सीमित इनपुट वाले अन्य घटक);
• सर्वर-साइड एक्सेस कंट्रोल नियमों का उल्लंघन करने वाले अनुरोध;
• हमले के मार्करों की अधिक विस्तृत सूची यहां पाई जा सकती है ।

जब कोई एप्लिकेशन ऐसी गतिविधि का पता लगाता है, तो उसे कम से कम इस घटना को पंजीकृत करना चाहिए और इसे खतरनाक के रूप में चिह्नित करना चाहिए। आदर्श रूप से, एप्लिकेशन को उपयोगकर्ता के सत्र को रद्द करने और उसके खाते को अवरुद्ध करके, उदाहरण के लिए, हमले का मुकाबला करना चाहिए। प्रतिवाद तंत्र कार्यक्रम को वास्तविक समय में पता लगाने योग्य हमलों का जवाब देने की अनुमति देता है।

C10: सभी त्रुटियों और अपवादों की अनिवार्य हैंडलिंग

एक्सेप्शन हैंडलिंग विभिन्न तरीकों से एक एप्लिकेशन को विभिन्न त्रुटियों (उदाहरण के लिए, नेटवर्क विफलता या डेटाबेस से कनेक्ट करने) का जवाब देने की अनुमति देता है। अपने कोड की विश्वसनीयता और सुरक्षा सुनिश्चित करने के लिए अपवादों और त्रुटियों को ठीक करना आवश्यक है।

आवेदन के सभी स्तरों पर त्रुटियों और अपवादों को नियंत्रित किया जाता है, जिसमें महत्वपूर्ण व्यावसायिक तर्क, सुरक्षा विशेषताएं और रूपरेखा शामिल हैं।

हमलों का पता लगाने के मामले में त्रुटि से निपटने भी महत्वपूर्ण है। अनुप्रयोगों पर कुछ हमले त्रुटियों का कारण बन सकते हैं जो प्रक्रिया में एक हमले का पता लगा सकते हैं।

गलत त्रुटि से निपटने

टोरंटो विश्वविद्यालय के शोधकर्ताओं ने पाया है कि त्रुटियों को संसाधित करने या उन्हें अनदेखा करने पर एक छोटी सी निगरानी भी वितरित प्रणालियों में महत्वपूर्ण खराबी पैदा कर सकती है ।

गलत त्रुटि हैंडलिंग विभिन्न कमजोरियों का कारण बन सकती है।

• . . , , , . (, ) . , , , .
• TLS. Apple «goto fail» , TLS- Apple.
• . . . .

• , try/catch . .
• सुनिश्चित करें कि प्रदर्शित किए गए त्रुटि संदेश में महत्वपूर्ण डेटा शामिल नहीं है, लेकिन उन्हें उचित रूप से प्रतिक्रिया देने के लिए पर्याप्त जानकारी है।
• सुनिश्चित करें कि अपवाद लॉग किए गए हैं ताकि तकनीकी सहायता, गुणवत्ता नियंत्रण, घटना की जांच, या प्रतिक्रिया टीम के पास समस्या को हल करने के लिए पर्याप्त डेटा हो।
• त्रुटि हैंडलिंग कोड को ध्यान से परखें और सत्यापित करें।

निष्कर्ष

इस दस्तावेज़ को एक प्रारंभिक बिंदु के रूप में माना जाना चाहिए, न कि तरीकों और प्रथाओं के विस्तृत सेट के रूप में। एक बार फिर, हम ध्यान देना चाहते हैं कि प्रस्तुत सामग्री का उद्देश्य सुरक्षित सॉफ़्टवेयर विकसित करने की मूल बातें से परिचित होना है।

एप्लिकेशन सुरक्षा प्रोग्राम बनाते समय, यह अनुशंसा की जाती है कि आप निम्नलिखित चरणों को पूरा करें:

• -10 OWASP -10 OWASP ( ) , -;
• № 1 , , , - OWASP (ASVS) OWASP (MASVS) ;
• OWASP OpenSAMM .

---

अनुवाद और मूल का पूर्ण संस्करण । अनुवाद और अनुकूलन में भाग लिया: JZDLin , एलेक्सी Skachkov , इवान Kochurkin और टारस Ivashchenko ।

---

यह दस्तावेज़ क्रिएटिव कॉमन्स एट्रिब्यूशन शेयरएलाइल 3.0 लाइसेंस के तहत जारी किया गया था, जिसका अनुवाद ओडब्ल्यूएएसपी कंसोर्टियम की रूसी शाखा की भागीदारी के साथ किया गया था ।