आधुनिक अनुप्रयोग सुरक्षा प्रणालियों (WAF) की कार्यक्षमता OWASP शीर्ष 10 से कमजोरियों की सूची की तुलना में अधिक व्यापक होनी चाहिए

पूर्वप्रभावी

अनुप्रयोगों के लिए साइबर हमले के पैमाने, रचना और संरचना तेजी से विकसित हो रहे हैं। कई सालों से, उपयोगकर्ताओं ने लोकप्रिय वेब ब्राउज़र का उपयोग करके इंटरनेट पर वेब एप्लिकेशन एक्सेस किए हैं। प्रत्येक समय में, 2-5 वेब ब्राउज़र का समर्थन करना आवश्यक था, और वेब अनुप्रयोगों के विकास और परीक्षण के लिए मानकों का सेट पर्याप्त रूप से सीमित था। उदाहरण के लिए, SQL का उपयोग करके लगभग सभी डेटाबेस बनाए गए थे। दुर्भाग्य से, थोड़े समय के बाद, हैकर्स ने डेटा को चुराने, हटाने या संशोधित करने के लिए वेब एप्लिकेशन का उपयोग करना सीखा। उन्होंने विभिन्न तरीकों का उपयोग करके अवैध तरीके से पहुंच प्राप्त की और अनुप्रयोगों के उपयोगकर्ताओं को बरगलाकर, कार्यान्वयन और दूरस्थ रूप से निष्पादित कोड सहित विभिन्न तरीकों का उपयोग करते हुए क्षमताओं का दुरुपयोग किया। जल्द ही, वाणिज्यिक वेब एप्लिकेशन सुरक्षा उपकरण जिन्हें वेब एप्लिकेशन फायरवॉल (WAF) कहा जाता है, बाजार में दिखाई दिया, और समाज ने विकास मानकों और कार्यप्रणाली को परिभाषित करने और बनाए रखने के लिए एक ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट, ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट (OWASP) बनाकर प्रतिक्रिया व्यक्त की। सुरक्षित अनुप्रयोग।

बुनियादी अनुप्रयोग सुरक्षा

OWASP शीर्ष 10 सूची अनुप्रयोगों को हासिल करने के लिए शुरुआती बिंदु है और इसमें सबसे खतरनाक खतरों और गलत सेटिंग्स की एक सूची है जो आवेदन कमजोरियों के साथ-साथ हमलों का पता लगाने और निरस्त करने के लिए रणनीति भी बना सकती है। OWASP Top 10 दुनिया भर में साइबर सुरक्षा अनुप्रयोग उद्योग में एक मान्यता प्राप्त बेंचमार्क है और क्षमताओं की मूल सूची को परिभाषित करता है जो एक वेब अनुप्रयोग सुरक्षा प्रणाली (WAF) के पास होनी चाहिए।

इसके अलावा, WAF कार्यक्षमता को वेब अनुप्रयोगों पर अन्य सामान्य हमलों को ध्यान में रखना चाहिए, जिसमें क्रॉस-साइट अनुरोध जालसाजी (CSRF), क्लिकजैकिंग, वेब स्क्रैपिंग और फ़ाइल समावेशन (RFI / LFI) शामिल हैं।

आज के अनुप्रयोगों के लिए खतरे और सुरक्षा चुनौतियां

आज तक, सभी एप्लिकेशन नेटवर्क संस्करण में निष्पादित नहीं किए जाते हैं। क्लाउड एप्लिकेशन, मोबाइल एप्लिकेशन, एपीआई और नवीनतम आर्किटेक्चर में, यहां तक ​​कि व्यक्तिगत सॉफ़्टवेयर फ़ंक्शन भी हैं। इन सभी प्रकार के अनुप्रयोगों को सिंक्रनाइज़ और नियंत्रित करने की आवश्यकता है, क्योंकि वे हमारे डेटा को बनाते, संशोधित और संसाधित करते हैं। नई प्रौद्योगिकियों और प्रतिमानों के आगमन के साथ, एप्लिकेशन जीवन चक्र के सभी चरणों में नई चुनौतियां और चुनौतियां पैदा होती हैं। इसमें विकास और संचालन का एकीकरण (DevOps), कंटेनर, इंटरनेट ऑफ़ थिंग्स (IoT), ओपन सोर्स टूल, एपीआई, आदि शामिल हैं।

वितरित एप्लिकेशन परिनियोजन और विभिन्न प्रकार की प्रौद्योगिकियां न केवल सूचना सुरक्षा विशेषज्ञों के लिए, बल्कि सुरक्षा समाधान निर्माताओं के लिए भी जटिल और जटिल कार्य बनाती हैं जो अब एकीकृत दृष्टिकोण पर भरोसा नहीं कर सकते हैं। एप्लिकेशन सुरक्षा सुविधाओं को गलत संचालन को रोकने और उपयोगकर्ताओं के लिए सेवाओं की गुणवत्ता से समझौता करने के लिए अपने व्यापार की बारीकियों को ध्यान में रखना चाहिए।

हैकर्स का अंतिम लक्ष्य आमतौर पर डेटा चोरी या सेवाओं की उपलब्धता का उल्लंघन है। हमलावर भी तकनीकी विकास का लाभ उठाते हैं। सबसे पहले, नई प्रौद्योगिकियों का विकास अधिक संभावित अंतराल और कमजोरियां पैदा करता है। दूसरे, उनके शस्त्रागार में पारंपरिक उपायों को दरकिनार करने के लिए अधिक उपकरण और ज्ञान दिखाई देता है। यह तथाकथित "हमले की सतह" और नए जोखिमों के लिए संगठनों के संपर्क में बहुत वृद्धि करता है। सुरक्षा नीतियों को लगातार प्रौद्योगिकी और अनुप्रयोगों में बदलाव के बाद बदलना चाहिए।

इस प्रकार, अनुप्रयोगों को हमले के तरीकों और स्रोतों की एक बढ़ती-बढ़ती विविधता से संरक्षित किया जाना चाहिए, और स्वचालित हमलों को वास्तविक समय में सूचित निर्णयों के आधार पर प्रतिबिंबित किया जाना चाहिए। नतीजतन, कमजोर सुरक्षा स्थितियों के बीच परिचालन लागत और मैनुअल श्रम में वृद्धि हुई है।

टास्क नंबर 1: बॉट्स मैनेज करें

60% से अधिक इंटरनेट ट्रैफ़िक बॉट्स द्वारा उत्पन्न होता है, जिनमें से आधे को "खराब" ट्रैफ़िक ( रेडवेयर सुरक्षा रिपोर्ट के अनुसार ) के रूप में संदर्भित किया जाता है। संगठन बढ़े हुए नेटवर्क बैंडविड्थ में निवेश कर रहे हैं, अनिवार्य रूप से डमी लोड की सेवा कर रहे हैं। वास्तविक उपयोगकर्ता ट्रैफ़िक और बॉट ट्रैफ़िक के बीच सटीक अंतर, साथ ही साथ "अच्छा" बॉट्स (उदाहरण के लिए, खोज रोबोट और मूल्य तुलना सेवाएं) और "ख़राब" बॉट्स के परिणामस्वरूप महत्वपूर्ण लागत बचत और उपयोगकर्ताओं के लिए सेवाओं की गुणवत्ता में वृद्धि हो सकती है।

बॉट इस कार्य को सुविधाजनक बनाने के लिए नहीं जा रहे हैं, और वे वास्तविक उपयोगकर्ताओं के व्यवहार की नकल कर सकते हैं, कैप्चा और अन्य बाधाओं को दरकिनार कर सकते हैं। इसके अलावा, गतिशील आईपी पते का उपयोग करते हुए हमलों के मामले में, आईपी पते द्वारा फ़िल्टरिंग के आधार पर सुरक्षा अप्रभावी हो जाती है। अक्सर, ओपन सोर्स डेवलपमेंट टूल्स (उदाहरण के लिए, फैंटम जेएस) जो क्लाइंट-साइड जावास्क्रिप्ट को चला सकते हैं, का उपयोग ब्रूट-फोर्स हमलों, क्रेडेंशियल स्टफिंग हमलों, डीडीओएस हमलों और स्वचालित बॉट हमलों को लॉन्च करने के लिए किया जाता है। ।

प्रभावी बॉट ट्रैफिक प्रबंधन को अपने स्रोत (एक फिंगरप्रिंट की तरह) की एक विशिष्ट पहचान की आवश्यकता होती है। चूंकि एक बॉट हमले के मामले में कई प्रविष्टियां होती हैं, इसलिए इसका फिंगरप्रिंट आपको संदिग्ध गतिविधि की पहचान करने और अंक प्रदान करने की अनुमति देता है, जिसके आधार पर आवेदन संरक्षण प्रणाली एक न्यूनतम गलत सकारात्मक दर के साथ एक सूचित निर्णय - ब्लॉक / अनुमति देता है।

टास्क # 2: एपीआई सुरक्षा

कई एप्लिकेशन सेवाओं से जानकारी और डेटा एकत्र करते हैं जिसके साथ वे एपीआई के माध्यम से बातचीत करते हैं। एपीआई के माध्यम से गोपनीय डेटा स्थानांतरित करते समय, 50% से अधिक संगठन साइबर हमलों का पता लगाने के लिए एपीआई की जांच या सुरक्षा नहीं करते हैं।

एपीआई उपयोग के उदाहरण:

• IoT एकीकरण
• मशीन बातचीत
• सर्वरहित वातावरण
• मोबाइल ऐप
• इवेंट संचालित एप्लिकेशन

एपीआई भेद्यता आवेदन कमजोरियों के समान है और इसमें इंजेक्शन, प्रोटोकॉल हमले, पैरामीटर जोड़तोड़, पुनर्निर्देश और बॉट हमले शामिल हैं। समर्पित एपीआई गेटवे एपीआई के माध्यम से संचार करने वाली एप्लिकेशन सेवाओं की संगतता की गारंटी देता है। हालांकि, वे आवेदन के लिए एंड-टू-एंड सुरक्षा प्रदान नहीं करते हैं, क्योंकि आवश्यक सुरक्षा उपकरणों के साथ WAF का उपयोग किया जा सकता है, जैसे HTTP हेडर, लेयर 7 एक्सेस कंट्रोल लिस्ट (ACL), पार्सिंग और चेकिंग JSON / XML पेलोड, और सभी कमजोरियों से सुरक्षा के लिए। OWASP शीर्ष 10 सूची। यह सकारात्मक और नकारात्मक मॉडल का उपयोग करके प्रमुख एपीआई मूल्यों का निरीक्षण करके प्राप्त किया जाता है।

कार्य 3: सेवा से इनकार

सेवा से पुराना इनकार (DoS) हमला वेक्टर अनुप्रयोगों पर हमलों में अपनी प्रभावशीलता साबित करने के लिए जारी है। हमलावरों के पास HTTP या HTTPS बाढ़, कम और धीमी गति से होने वाले हमलों (उदाहरण के लिए, SlowLoris, LOIC, Torshammer), गतिशील आईपी पते का उपयोग करके हमलों, बफर टॉफ़्लो, ब्रूट फ़ोर्स सहित अनुप्रयोग सेवाओं को बाधित करने के लिए कई सफल तकनीकें हैं। -टैक्स, और कई अन्य। इंटरनेट ऑफ़ थिंग्स के विकास और IoT बॉटनेट के बाद के उद्भव के साथ, अनुप्रयोगों पर हमले DDDS हमलों का मुख्य केंद्र बन गए हैं। अधिकांश कनेक्शन-ट्रैकिंग WAFs केवल सीमित मात्रा में लोड का सामना कर सकते हैं। हालाँकि, वे HTTP / S ट्रैफ़िक प्रवाह का निरीक्षण कर सकते हैं और आक्रमण ट्रैफ़िक और दुर्भावनापूर्ण कनेक्शन को निकाल सकते हैं। एक बार एक हमले का पता चला है, यह इस यातायात को फिर से पारित करने के लिए कोई मतलब नहीं है। चूँकि हमलों को रोकने के लिए WAF की बैंडविड्थ सीमित है, नेटवर्क के परिधि पर एक अतिरिक्त समाधान की आवश्यकता है ताकि अगले "खराब" पैकेटों को स्वचालित रूप से ब्लॉक किया जा सके। इस सुरक्षा परिदृश्य के लिए, दोनों समाधानों को हमलों के बारे में जानकारी का आदान-प्रदान करने के लिए एक-दूसरे के साथ बातचीत करने में सक्षम होना चाहिए।


एक उदाहरण के रूप में रेडवेयर समाधानों का उपयोग करते हुए चित्रा 1. व्यापक नेटवर्क और अनुप्रयोग सुरक्षा का संगठन।

कार्य 4: निरंतर सुरक्षा

अनुप्रयोग अक्सर परिवर्तन के अधीन होते हैं। विकास और कार्यान्वयन के तरीके, जैसे कि निरंतर अद्यतन, का अर्थ है कि संशोधन मानव भागीदारी और नियंत्रण के बिना किए जाते हैं। इस तरह की गतिशील परिस्थितियों में, उच्च सकारात्मक झूठी नीतियों के बिना पर्याप्त रूप से काम करने वाली सुरक्षा नीतियों को बनाए रखना मुश्किल है। मोबाइल एप्लिकेशन वेब अनुप्रयोगों की तुलना में बहुत अधिक बार अपडेट किए जाते हैं। आपकी जानकारी के बिना तृतीय-पक्ष एप्लिकेशन बदल सकते हैं। कुछ संगठन संभावित जोखिम के बराबर रहने के लिए अधिक नियंत्रण और दृश्य चाहते हैं। हालांकि, यह हमेशा प्राप्त करने योग्य नहीं है, और विश्वसनीय अनुप्रयोग सुरक्षा को मशीन सीखने की क्षमताओं का उपयोग करना चाहिए और वर्तमान में उपलब्ध संसाधनों का उपयोग करना चाहिए, संभावित खतरों का विश्लेषण करना चाहिए, और आवेदन संशोधनों के मामले में सुरक्षा नीतियों का निर्माण और अनुकूलन करना चाहिए।

निष्कर्ष

जैसे-जैसे एप्लिकेशन रोजमर्रा की जिंदगी में तेजी से महत्वपूर्ण भूमिका निभाते हैं, वे हैकर्स के लिए मुख्य लक्ष्य बन जाते हैं। साइबर अपराधियों के लिए संभावित खजाना और व्यापार के लिए संभावित नुकसान बहुत बड़ा है। आवेदन सुरक्षा और आवेदनों और खतरों की संख्या को देखते हुए, आवेदन सुरक्षा सुनिश्चित करने के कार्य की जटिलता को अतिरंजित नहीं किया जा सकता है।

सौभाग्य से, हम ऐसे समय में हैं जब कृत्रिम बुद्धिमत्ता हमारी सहायता के लिए आ सकती है। मशीन लर्निंग-आधारित एल्गोरिदम अनुप्रयोगों के उद्देश्य से सबसे उन्नत साइबर खतरों के खिलाफ वास्तविक समय अनुकूली सुरक्षा प्रदान करते हैं। वे वेब, मोबाइल और क्लाउड एप्लिकेशन की सुरक्षा के लिए सुरक्षा नीतियों को स्वचालित रूप से अपडेट करते हैं - साथ ही साथ गलत पॉज़िटिव के बिना - एपीआई।

यह अनुमान लगाना मुश्किल है कि अगली पीढ़ी के साइबर हमले अनुप्रयोगों के लिए क्या होंगे (संभवतः मशीन सीखने पर भी आधारित)। लेकिन संगठन निश्चित रूप से ग्राहक डेटा, बौद्धिक संपदा की रक्षा के लिए कदम उठा सकते हैं और व्यापार के लिए महान लाभ के साथ सेवाओं की उपलब्धता की गारंटी दे सकते हैं।

अनुप्रयोग सुरक्षा सुनिश्चित करने के लिए प्रभावी तरीके और तरीके, हमलों के मुख्य प्रकार और वैक्टर, वेब अनुप्रयोगों की साइबर सुरक्षा में जोखिम क्षेत्र और अंतराल, साथ ही साथ अंतर्राष्ट्रीय अनुभव और सर्वोत्तम प्रथाओं को रेडवेयर अध्ययन में प्रस्तुत किया गया है और " डिजिटली कनेक्टेड वर्ल्ड में वेब एप्लीकेशन सिक्योरिटी " रिपोर्ट।