वेब अनुप्रयोग फ़ायरवॉल

वेब अनुप्रयोग फ़ायरवॉल

वेब एप्लिकेशन फायरवॉल (WAFs) एक प्रकार की घुसपैठ का पता लगाने और रोकथाम प्रणाली है और या तो हार्डवेयर या सॉफ्टवेयर समाधान हो सकता है। यह विशेष रूप से HTTP (एस) का निरीक्षण करने और नीचे दिए गए भयावह पहचान तर्क का उपयोग करके GET और POST अनुरोधों का विश्लेषण करने के लिए डिज़ाइन किया गया है। वेब एप्लिकेशन फ़ायरवॉल सॉफ़्टवेयर आमतौर पर वेब सर्वर प्लगइन के रूप में उपलब्ध है।

WAF बेहद लोकप्रिय हो गया है और विभिन्न कंपनियां विभिन्न मूल्य श्रेणियों में छोटे व्यवसायों से लेकर बड़े निगमों तक कई तरह के समाधान पेश करती हैं। आधुनिक WAF लोकप्रिय है क्योंकि इसमें कई प्रकार के कवर कार्य हैं, इसलिए वेब एप्लिकेशन डेवलपर विभिन्न सुरक्षा मुद्दों के लिए इस पर भरोसा कर सकते हैं, लेकिन इस धारणा के साथ कि यह समाधान पूर्ण सुरक्षा की गारंटी नहीं दे सकता है। एक बुनियादी WAF वर्कफ़्लो नीचे दिखाया गया है।



इसका मुख्य कार्य प्रश्नों का पता लगाना और अवरुद्ध करना है, जिसमें WAF विश्लेषण के अनुसार, कुछ विसंगतियाँ हैं, या एक हमलावर वेक्टर का पता लगाया जाता है। इस तरह के विश्लेषण से वैध उपयोगकर्ताओं के लिए वेब एप्लिकेशन के साथ बातचीत करना मुश्किल नहीं होना चाहिए, लेकिन, एक ही समय में, किसी भी हमले का सही और समय पर पता लगाना चाहिए। इस कार्यक्षमता को लागू करने के लिए, WAF डेवलपर्स आमतौर पर नियमित अभिव्यक्ति, टोकन, व्यवहार विश्लेषण, प्रतिष्ठा विश्लेषण और मशीन सीखने का उपयोग करते हैं, और, अक्सर, इन सभी तकनीकों का एक साथ उपयोग किया जाता है।



इसके अलावा, WAF अन्य कार्यक्षमता भी प्रदान कर सकता है: DDoS से सुरक्षा, हमलावरों के आईपी-पतों को रोकना, संदिग्ध आईपी-पतों पर नज़र रखना, कुकी में HTTP-केवल ध्वज जोड़ना या CSRF- टोकन की कार्यक्षमता जोड़ना। प्रत्येक WAF व्यक्तिगत है और एक अद्वितीय आंतरिक व्यवस्था है, लेकिन विश्लेषण के लिए कुछ विशिष्ट तरीके उपयोग किए जाते हैं।

नियमित अभिव्यक्ति

मौजूदा डब्ल्यूएएफ में से अधिकांश नियमित अभिव्यक्ति के आधार पर नियमों पर आधारित हैं। उन्हें बनाने के लिए, हमलों के कुछ प्रसिद्ध सेटों का अध्ययन डब्ल्यूएएफ डेवलपर द्वारा किया जाता है और, परिणामस्वरूप, मुख्य वाक्य रचना का निर्माण निर्धारित किया जाता है, जिसकी उपस्थिति से हमले को अंजाम देने का दावा किया जा सकता है। प्राप्त परिणामों के आधार पर, नियमित अभिव्यक्तियाँ लिखी जाती हैं जो ऐसे निर्माणों का पता लगा सकती हैं। उदाहरण के लिए, HTTP हेडर जैसे कि सर्वर: Apache Tomcat / 7.0.x का विश्लेषण करके, WAF एक प्रतिक्रिया को अवरुद्ध कर सकता है और इस तरह सर्वर जानकारी के रिसाव को रोक सकता है या वैकल्पिक रूप से, अलर्ट बढ़ा सकता है।

हालांकि, इस दृष्टिकोण में कई कमियां हैं। एक नियमित अभिव्यक्ति की प्रयोज्यता की सीमा एक क्वेरी तक सीमित है, और अक्सर एक विशिष्ट क्वेरी पैरामीटर भी है, जो स्पष्ट रूप से इस तरह के अनुरोधों की प्रभावशीलता को कम करता है। दूसरे, नियमित अभिव्यक्तियों का वाक्यविन्यास, पाठ प्रोटोकॉल का जटिल तर्क, समान निर्माणों के प्रतिस्थापन और प्रतीकों के विभिन्न अभ्यावेदन के उपयोग की अनुमति देता है, ऐसे नियम बनाते समय त्रुटियों का कारण बनता है। नीचे दी गई तालिका सबसे आम बायपास तकनीकों को दिखाती है।



एसक्यूएल ऑबफ्यूशन। अभिव्यक्ति को बदलना संभव है ताकि भाषा के वाक्य विन्यास का उपयोग करके, यह रिक्त स्थान से छुटकारा पा सके। उदाहरण के लिए, SQL में, आप कोष्ठक और तारों का उपयोग कर सकते हैं:

s / * / e / ** // * * e * // * / l / * le * c * // * / ect ~~ / ** / 1 या id = 1 + un / ** / आयन + sel / ** / ect + 1,2,3--

दूसरा इस तरह से अलग-अलग एन्कोडिंग का उपयोग करने पर आधारित है कि WAF कुछ स्थानों पर डेटा को डिकोड नहीं करता है। उदाहरण के लिए, सामान्यीकरण प्रक्रिया में अपने वर्ण-कोड के साथ एक वर्ण को प्रतिस्थापित करने के बाद, WAF यह नहीं समझ पाएगा कि डेटा को डिकोड करना और अनुरोध को छोड़ना आवश्यक है, जबकि उसी पैरामीटर को वेब द्वारा स्वीकार और सफलतापूर्वक डिकोड किया जाएगा। आवेदन।



Atypical समतुल्य वाक्य रचना के लिए खोजें। इस पद्धति का उपयोग ऑपरेशन के एक तरीके को खोजने के लिए किया जाता है जिसे WAF डेवलपर्स द्वारा विचार नहीं किया जा सकता था, या वेक्टर मशीन लर्निंग के लिए अध्ययन के नमूने में अनुपस्थित था। इन निर्माणों में से एक गैर-अल्फ़ान्यूमेरिक जावास्क्रिप्ट कोड प्रतिनिधित्व है, जिसका एक उदाहरण नीचे दिखाया गया है।

भवन निर्माण की विधि

यह दृष्टिकोण हमलों का पता नहीं लगाता है, लेकिन यह अन्य तरीकों का पूरक है, जिससे उन्हें अधिक सटीक और लचीला बनाया जाता है। उपकरण की शुरूआत का कारण यह है कि किसी संदिग्ध डिजाइन की क्वेरी में उपस्थिति किसी हमले का पता लगाने के लिए अपर्याप्त है, या इसके विपरीत, यह बड़ी संख्या में गलत-सकारात्मक त्रुटियों का कारण बन सकता है। स्कोरिंग सिस्टम शुरू करने से यह समस्या हल हो जाती है। उदाहरण के लिए, नियमित अभिव्यक्तियों पर आधारित प्रत्येक नियम इसके संचालन की महत्वपूर्णता के बारे में जानकारी के साथ पूरक है; सभी काम किए गए नियमों की पहचान करने के बाद, उनकी आलोचना को संक्षेप में प्रस्तुत किया गया है। एक निश्चित सीमा मूल्य पर काबू पाने के मामले में, हमले का पता चला है और अनुरोध अवरुद्ध है।

व्यवहार विश्लेषण

क्वेरी मापदंडों में कमजोरियों का फायदा उठाने के प्रयासों का पता लगाना केवल WAF का कार्य नहीं है। स्वयं भेद्यता खोज प्रक्रिया की पहचान करना महत्वपूर्ण है, जो स्कैन करने के प्रयास में खुद को प्रकट कर सकता है, डायरेक्टरी ब्रूट फ़ोर्स, पैरामीटर फ़ज़िंग, और भेद्यता का पता लगाने के अन्य तरीके जो अक्सर स्वचालित टूल द्वारा उपयोग किए जाते हैं, और उनके अनुसार प्रतिक्रिया करते हैं। अधिक उन्नत WAFs यह भी जानते हैं कि क्वेरी चेन के साथ XML फ़ाइल कैसे बनाई जाए जो सामान्य उपयोगकर्ता व्यवहार के लिए विशिष्ट हो और मानक व्यवहार की तुलना में किसी भिन्न क्रम में अनुरोध भेजने के प्रयास को अवरुद्ध करता हो। यह तंत्र न केवल हमलों का मुकाबला करता है, बल्कि एक भेद्यता खोजने की प्रक्रिया को भी जटिल करता है।

टोकनर पार्सर एनालाइजर

हमलों का पता लगाने के लिए यह दृष्टिकोण एक जटिल अवधारणा है; हालाँकि, इसे Libinjection लाइब्रेरी के C ++ प्राइमर पर डिसाइड करना आसान नहीं है, जो SQL इंजेक्शन के हमलों का जल्दी और सही पता लगाने की अनुमति देता है। वर्तमान में, Libinjection पुस्तकालय के लिए, जावा, सी और पायथन सहित विभिन्न प्रोग्रामिंग भाषाओं के लिए पोर्ट हैं। टोकन के अनुक्रम के रूप में दर्शाए गए हस्ताक्षर के लिए खोज के लिए तंत्र कम हो गया है। कुछ हस्ताक्षर बिल्ट-इन ब्लैक लिस्ट में जोड़े जाते हैं और उन्हें अस्वीकार्य या दुर्भावनापूर्ण माना जाता है। दूसरे शब्दों में, किसी भी प्रश्न का विश्लेषण करने से पहले, यह पहले टोकन के एक सेट की ओर जाता है। टोकन को विभिन्न प्रकारों में विभाजित किया जाता है, स्ट्रिंग, चार, नियमित ऑपरेटर, संख्या, टिप्पणी, चर, आदि।

इस पद्धति की मुख्य कमियों में से एक यह है कि इस तरह के डिजाइन का निर्माण संभव है जो टोकन के गलत गठन को जन्म देगा; इसलिए, अनुरोध का हस्ताक्षर अपेक्षित से अलग होगा।

टोकन पर निर्देशित अटैक टोकन-ब्रेकर का उपयोग करके टोकन में अनुरोध को तोड़कर तर्क को तोड़ने के प्रयासों से जुड़े हैं। ये ऐसे प्रतीक हैं जो आपको एक विशिष्ट टोकन से मेल करने के लिए एक स्ट्रिंग तत्व की पसंद को प्रभावित करने की अनुमति देते हैं, और इस प्रकार, हस्ताक्षर द्वारा खोज को बायपास करते हैं। खुली पहुंच में, कुछ धोखा शीट्स हैं, जो कि मैसिनक्ल फ़ज़िंग द्वारा प्राप्त की गई हैं और बाद में लीबिनेंस में क्वेरी की जाँच की गई है।

प्रतिष्ठा विश्लेषण

प्रतिष्ठा तंत्र सीधे फायरवॉल और एंटीवायरस से विरासत में मिला है। आज, लगभग किसी भी WAF में वीपीएन सेवाओं, अनामियों, टोर नेटवर्क नोड्स और बॉटनेट प्रतिभागियों के पतों की सूची शामिल है, जिनका उपयोग संदिग्ध पतों से उत्पन्न अनुरोधों को ब्लॉक करने के लिए किया जा सकता है। अधिक उन्नत WAFs अपने डेटाबेस को स्वचालित रूप से अपडेट करने और विश्लेषण किए गए ट्रैफ़िक के आधार पर अतिरिक्त प्रविष्टियां करने में सक्षम हैं।

सारांश

सामान्य तौर पर, वेब एप्लिकेशन फ़ायरवॉल एक आधुनिक और अच्छा सुरक्षा उपकरण है, और यह वेब अनुप्रयोगों के लिए कभी भी अधिक नहीं होगा। WAF को बायपास करने के तरीके खोजने का मुख्य विचार अनुरोधित क्वेरी को एक ऐसे रूप में लाना है जिसमें यह अभी भी हमला किए गए वेब एप्लिकेशन के लिए समझ में आता है, लेकिन यह समझ में नहीं आता है या WAF के लिए हानिरहित नहीं लगता है।

हालांकि, कमजोरियों के कई वर्ग हैं जो WAF का पता नहीं लगा सकते हैं। यह कोई तार्किक भेद्यता हो सकती है, इस मामले में अनुरोधों में कोई असामान्य व्यवहार नहीं है। इसके अलावा, WAF नियमों के अनुकूलन के लिए किए गए कुछ अध्ययन भी निरीक्षण प्रक्रिया से वैध अनुरोधों को बाहर करने के तरीकों को दिखाते हैं, जो संभावित रूप से खतरनाक हो सकते हैं। WAF भी प्रतिद्वंद्वियों की पहचान करने में कोई फायदा नहीं होने की संभावना है, जैसे कि दौड़ की स्थिति और असुरक्षित उपयोगकर्ता प्रमाणीकरण।

संदर्भ

व्लादिमीर इवानोव (2016) एसक्यूएल अभिव्यक्ति के विभिन्न इनपुटों में अनुमत प्रतीकों के तालिकाओं, फ़र्ज़ी तालिकाओं को पार्स करने का परिणाम। यहाँ उपलब्ध है: www.blackhat.com/docs/us-16/materials/us- 16-Ivanov-Web-Application-Firewalls-Analysis-Of-Detection-Logic.pdf

टोरानो-जिमेनेज़, सी।, पेरेज़-विलेगास, ए और अल्वारेज़, जी (2009) 'ए सेल्फ-लर्निंग अनोमली-बेस्ड वेब एप्लीकेशन फ़ायरवॉल', स्प्रिंगर, बर्लिन, हीडलबर्ग। doi: doi.org/10.1007/978-3-642-04091-7_11 ।

रामसिंह, सी। और सेंटोन्ज़, पी। (2017) 'प्रोग्राम एनालिसिस फ़ॉर डेटाबेस इनजेक्शंस', इंटरनेशनल जौनल ऑफ़ कंप्यूटर एंड टेक्नोलॉजी, 16 (6), पीपी। 6977–6986। डोई: 10.24297 / ijct.v16i6.6332।

प्रोखोरेंको, वी।, चू, केकेआर और एशमैन, एच। (2016) 'वेब एप्लीकेशन प्रोटेक्शन तकनीक: ए टैक्सोनॉमी', जर्नल ऑफ नेटवर्क एंड कंप्यूटर एप्लीकेशन, 60, पीपी। 95-112। डोई: 10.1016 / j.jnca.2015.11.11.017।

प्रैंडल, एस।, लज़ारेस्कु, एम। और फाम, डी। (2015)। वेब अनुप्रयोग फ़ायरवॉल समाधान का एक अध्ययन। सूचना प्रणाली सुरक्षा, पीपी 501-510। डोई: 10.1007 / 978-3-319-26961-0_29

पॉजिटिव-टेक्नोलॉजीज (2016a) 'वेब एप्लीकेशन फायरवॉल: अटैक डिटेक्शन लॉजिक मैकेनिज्म'। यहाँ उपलब्ध है: www.blackhat.com/docs/us-16/materials/us-16-Ivanov- वेब-अनुप्रयोग-फ़ायरवॉल-विश्लेषण-का-पता लगाना-Logic.pdf।

OWASP (2017) SQL इंजेक्शन बायपासिंग WAF। यहां उपलब्ध है: www.owasp.org/index.php/SQL_Injection_Bypassing_WAF ।