वेब अनुप्रयोग फ़ायरवॉल का विकास: फ़ायरवॉल से लेकर मशीन-लर्निंग क्लाउड-आधारित सुरक्षा प्रणाली

हमारे पिछले क्लाउड- संबंधित सामग्री में, हमने सार्वजनिक क्लाउड में आईटी संसाधनों की रक्षा करने के तरीके के बारे में बात की और पारंपरिक एंटीवायरस इस उद्देश्य के लिए काफी उपयुक्त नहीं हैं। इस पोस्ट में हम क्लाउड सुरक्षा के विषय को जारी रखेंगे और WAF के विकास के बारे में बात करेंगे और क्या चुनना बेहतर होगा: हार्डवेयर, सॉफ्टवेयर या क्लाउड।

WAF क्या है?

75% से अधिक हैकर हमलों का उद्देश्य वेब अनुप्रयोगों और साइटों में कमजोरियां हैं: ऐसे हमले आमतौर पर सूचना सुरक्षा बुनियादी ढांचे और सूचना सुरक्षा सेवाओं के लिए अदृश्य होते हैं। वेब एप्लिकेशन में कमजोरियां, बदले में, उपयोगकर्ता खातों और व्यक्तिगत डेटा, पासवर्ड, क्रेडिट कार्ड नंबर से समझौता और धोखाधड़ी के जोखिमों को ले जाती हैं। इसके अलावा, वेबसाइट में कमजोरियां कॉर्पोरेट नेटवर्क में साइबर अपराधियों के लिए प्रवेश बिंदु के रूप में काम करती हैं।

वेब एप्लिकेशन फ़ायरवॉल (WAF) एक फ़ायरवॉल है जो वेब अनुप्रयोगों पर हमलों को रोकता है: एसक्यूएल इंजेक्शन, क्रॉसाइट स्क्रिप्टिंग, रिमोट कोड निष्पादन, ब्रूट बल और ऑवर बाईपास। जिसमें शून्य-दिन की कमजोरियों का उपयोग करके हमले शामिल हैं। एप्लिकेशन फ़ायरवॉल HTML, DHTML और CSS सहित वेब पेजों की सामग्री की निगरानी करके और HTTP / HTTPS के माध्यम से संभावित दुर्भावनापूर्ण अनुरोधों को फ़िल्टर करके सुरक्षा प्रदान करते हैं।

पहले फैसले क्या थे?

एक वेब अनुप्रयोग फ़ायरवॉल बनाने के पहले प्रयास 90 के दशक में किए गए थे। इस क्षेत्र में काम करने वाले कम से कम तीन इंजीनियरों को जाना जाता है। पहले जीन स्पैफर्ड, पर्ड्यू विश्वविद्यालय में कंप्यूटर विज्ञान के प्रोफेसर हैं। उन्होंने प्रॉक्सी के साथ एप्लिकेशन फ़ायरवॉल की वास्तुकला का वर्णन किया और 1991 में इसे "UNIX सिक्योरिटी इन प्रैक्टिस" पुस्तक में प्रकाशित किया।

दूसरे और तीसरे - बेल लैब्स से सूचना सुरक्षा विशेषज्ञ विलियम चेसविक और मार्कस रानम थे। उन्होंने आवेदन फायरवॉल के पहले प्रोटोटाइप में से एक विकसित किया। DEC इसके वितरण में लगा हुआ था - उत्पाद SEAL (सिक्योर एक्सटर्नल एक्सेस लिंक) नाम से जारी किया गया था।

लेकिन SEAL पूर्ण WAF समाधान नहीं था। यह उन्नत कार्यक्षमता के साथ एक क्लासिक नेटवर्क फ़ायरवॉल था - एफ़टीपी और आरएसएच पर हमलों को अवरुद्ध करने की क्षमता। इस कारण से, आज पहले WAF समाधान को Perfecto Technologies (बाद में Sanctum) का उत्पाद माना जाता है। 1999 में, उन्होंने AppShield सिस्टम की शुरुआत की। उस समय, परफेक्टो टेक्नोलॉजीज ई-कॉमर्स के लिए सूचना सुरक्षा समाधान विकसित कर रहा था, और ऑनलाइन स्टोर अपने नए उत्पाद के लिए लक्षित दर्शक बन गए। AppShield HTTP अनुरोधों का विश्लेषण करने और गतिशील सूचना सुरक्षा नीतियों के आधार पर हमलों को रोकने में सक्षम था।

लगभग उसी समय AppShield (2002 में) के रूप में, पहला खुला स्रोत WAF दिखाई दिया। वे ModSecurity बन गए। यह WAF प्रौद्योगिकियों को लोकप्रिय बनाने के लिए बनाया गया था और अभी भी आईटी समुदाय द्वारा समर्थित है (यहाँ GitHub पर इसका भंडार है )। मॉडर्सेक्यूरिटी नियमित अभिव्यक्ति (हस्ताक्षर) के एक मानक सेट के आधार पर अनुप्रयोगों पर हमला करता है - एक पैटर्न के खिलाफ प्रश्नों की जांच के लिए उपकरण - ओडब्ल्यूएएसपी कोर नियम सेट ।

नतीजतन, डेवलपर्स अपने लक्ष्य को प्राप्त करने में कामयाब रहे - नए WAF समाधान बाजार पर दिखाई देने लगे, जिनमें मॉडसएक्वायरिटी के आधार पर बनाया गया था।

तीन पीढ़ियों का इतिहास है

यह WAF सिस्टम की तीन पीढ़ियों को अलग करने के लिए प्रथागत है जो प्रौद्योगिकी विकसित होते ही विकसित हुई है।

पहली पीढ़ी । नियमित अभिव्यक्ति (या व्याकरण) के साथ काम करता है। इसमें ModSecurity शामिल है। सिस्टम आपूर्तिकर्ता अनुप्रयोगों पर हमलों के प्रकारों की जांच करता है और ऐसे पैटर्न उत्पन्न करता है जो वैध और संभावित रूप से दुर्भावनापूर्ण अनुरोधों का वर्णन करते हैं। WAF इन सूचियों की जाँच करता है और निर्णय लेता है कि किसी विशेष स्थिति में क्या करना है - यातायात को अवरुद्ध करना या नहीं करना।

नियमित अभिव्यक्ति खोज का एक उदाहरण खुला स्रोत कोर नियम सेट परियोजना है जो पहले ही उल्लेख किया गया है। एक अन्य उदाहरण नक्सली है , जो खुला स्रोत भी है। नियमित अभिव्यक्ति वाले सिस्टम में कई कमियां हैं, विशेष रूप से, जब एक नई भेद्यता की खोज की जाती है, तो व्यवस्थापक को मैन्युअल रूप से अतिरिक्त नियम बनाने होते हैं। बड़े पैमाने पर आईटी बुनियादी ढांचे के मामले में, कई हजार नियम हो सकते हैं। इतने सारे नियमित अभिव्यक्तियों को प्रबंधित करना काफी मुश्किल है, यह उल्लेख नहीं करने के लिए कि उन्हें जाँचने से नेटवर्क प्रदर्शन कम हो सकता है।

नियमित अभिव्यक्तियों में झूठी सकारात्मकता का स्तर काफी अधिक होता है। प्रसिद्ध भाषाविद् नोम चोम्स्की ने व्याकरण के वर्गीकरण का प्रस्ताव रखा, जिसमें उन्होंने उन्हें चार सशर्त कठिनाई स्तरों में विभाजित किया। इस वर्गीकरण के अनुसार, नियमित अभिव्यक्ति केवल फ़ायरवॉल नियमों का वर्णन कर सकती हैं जो पैटर्न से विचलन नहीं करते हैं। इसका मतलब यह है कि हमलावर आसानी से पहली पीढ़ी के WAF को "ट्रिक" कर सकते हैं। इसका मुकाबला करने के तरीकों में से एक आवेदन अनुरोधों के लिए विशेष वर्ण जोड़ना है जो दुर्भावनापूर्ण डेटा के तर्क को प्रभावित नहीं करते हैं, लेकिन हस्ताक्षर नियम का उल्लंघन करते हैं।



दूसरी पीढ़ी । WAF के साथ प्रदर्शन और सटीकता के मुद्दों को प्राप्त करने के लिए, दूसरी पीढ़ी के एप्लिकेशन फायरवॉल विकसित किए गए हैं। पार्सर उनमें दिखाई दिए जो कड़ाई से परिभाषित प्रकार के हमलों (HTML, JS, आदि) की पहचान करने के लिए जिम्मेदार हैं। ये पार्सर विशेष टोकन के साथ काम करते हैं जो अनुरोधों का वर्णन करते हैं (उदाहरण के लिए, चर, स्ट्रिंग, अज्ञात, संख्या)। टोकन के संभावित दुर्भावनापूर्ण अनुक्रमों को एक अलग सूची में रखा गया है, जिसके साथ WAF प्रणाली की नियमित रूप से जाँच की जाती है। यह दृष्टिकोण पहली बार ब्लैक हैट 2012 सम्मेलन में C / C ++ लिबिनेंस लाइब्रेरी के रूप में दिखाया गया था, जो SQL इंजेक्शन का पता लगाने की अनुमति देता है।

पहली पीढ़ी के WAFs की तुलना में, विशिष्ट पार्सर तेजी से काम कर सकते हैं। हालांकि, नए दुर्भावनापूर्ण हमले दिखाई देने पर वे मैन्युअल रूप से सिस्टम को कॉन्फ़िगर करने से जुड़ी कठिनाइयों को हल नहीं करते थे।



तीसरी पीढ़ी । तीसरी पीढ़ी के डिटेक्शन लॉजिक में विकास मशीन लर्निंग के तरीकों के अनुप्रयोग में होता है जो कि डिटेक्टेड ग्रामर को यथासंभव वास्तविक SQL / HTML / JS ग्रामर को संरक्षित सिस्टम के करीब लाना संभव बनाता है। यह पता लगाने का तर्क पुनरावर्ती व्याकरण को कवर करने के लिए ट्यूरिंग मशीन को अनुकूलित करने में सक्षम है। इसके अलावा, पहले एक अनुकूलनीय ट्यूरिंग मशीन बनाने का कार्य बेकार था जब तक कि न्यूरल ट्यूरिंग मशीनों के पहले अध्ययन प्रकाशित नहीं हुए थे।

मशीन लर्निंग किसी भी व्याकरण को अनुकूलित करने के लिए किसी भी प्रकार के हमले को मैन्युअल रूप से हस्ताक्षर की सूची बनाए बिना आवश्यक रूप से कवर करने का एक अनूठा अवसर प्रदान करता है, जब पहली पीढ़ी का पता लगाने के लिए आवश्यक होता है, और नए प्रकार के हमलों के लिए नए टोकन / पार्सर विकसित किए बिना, जैसे कि मेम्केड, रेडिस, कैसेंड्रा, एसएसआरएफ, की तैनाती। दूसरी पीढ़ी की कार्यप्रणाली की आवश्यकता के अनुसार।

डिटेक्शन लॉजिक की सभी तीन पीढ़ियों को मिलाकर, हम एक नया आरेख बना सकते हैं जिसमें तीसरी पीढ़ी का पता लगाने का प्रतिनिधित्व एक रेडलाइन (चित्र 3) द्वारा किया जाता है। इस पीढ़ी में एक ऐसा समाधान शामिल है जिसे हम वेब अनुप्रयोगों के लिए अनुकूली संरक्षण मंच के डेवलपर ओन्सेक और क्लाउड वर्म एपीआई के साथ मिलकर क्लाउड में लागू करते हैं।

अब, डिटेक्शन लॉजिक सेल्फ-ट्यूनिंग एप्लिकेशन के फीडबैक का उपयोग करता है। मशीन लर्निंग में, इस प्रतिक्रिया लूप को सुदृढीकरण कहा जाता है। आमतौर पर, इस तरह के सुदृढीकरण के एक या अधिक प्रकार होते हैं:

• अनुप्रयोग प्रतिक्रिया व्यवहार (निष्क्रिय) का विश्लेषण
• स्कैन / फ़ज़र (सक्रिय)
• रिपोर्ट फ़ाइलें / इंटरसेप्टर / जाल प्रक्रिया (पोस्ट फैक्टम)
• मैनुअल (पर्यवेक्षक द्वारा निर्धारित)

परिणामस्वरूप, तीसरी पीढ़ी का पता लगाने का तर्क भी महत्वपूर्ण सटीकता की समस्या को हल करता है। अब यह न केवल झूठी सकारात्मक और झूठी नकारात्मक से बचने के लिए संभव है, बल्कि मान्य वास्तविक नकारात्मक परिणामों का पता लगाने के लिए भी है, जैसे कि नियंत्रण कक्ष में SQL कमांड तत्व के उपयोग का पता लगाना, वेब पेज टेम्पलेट लोड करना, जावास्क्रिप्ट त्रुटियों से संबंधित AJAX अनुरोध, और अन्य।







अगला, हम विभिन्न WAF कार्यान्वयन विकल्पों की तकनीकी क्षमताओं पर विचार करते हैं।

लोहा, सॉफ्टवेयर या बादल - क्या चुनना है?

एप्लिकेशन फायरवॉल को लागू करने के लिए विकल्पों में से एक हार्डवेयर समाधान है। इस तरह के सिस्टम विशिष्ट कंप्यूटिंग डिवाइस हैं जो कंपनी स्थानीय रूप से अपने डेटा सेंटर में स्थापित करती है। लेकिन इस मामले में, आपको अपने स्वयं के उपकरण खरीदने और इसके सेटअप और डिबगिंग के लिए इंटीग्रेटरों को पैसे का भुगतान करना होगा (यदि कंपनी का अपना आईटी विभाग नहीं है)। उसी समय, कोई भी उपकरण अप्रचलित हो जाता है और बिगड़ जाता है, इसलिए ग्राहकों को हार्डवेयर अपडेट करने के लिए बजट बिछाने के लिए मजबूर किया जाता है।

एक और WAF तैनाती विकल्प एक सॉफ्टवेयर कार्यान्वयन है। किसी भी सॉफ़्टवेयर के लिए समाधान ऐड-ऑन के रूप में स्थापित किया गया है (उदाहरण के लिए, मोडसेक्विटी अपाचे के ऊपर कॉन्फ़िगर किया गया है) और इसके साथ एक ही सर्वर पर चलता है। आमतौर पर, ऐसे समाधानों को एक भौतिक सर्वर और क्लाउड पर दोनों में तैनात किया जा सकता है। उनका ऋण विक्रेता से सीमित मापनीयता और समर्थन है।

तीसरा विकल्प क्लाउड से WAF को कॉन्फ़िगर करना है। इस तरह के समाधान क्लाउड प्रदाताओं द्वारा सदस्यता सेवा के रूप में प्रदान किए जाते हैं। कंपनी को विशेष हार्डवेयर खरीदने और सेट करने की आवश्यकता नहीं है, ये कार्य सेवा प्रदाता के कंधों पर आते हैं। एक महत्वपूर्ण बिंदु यह है कि आधुनिक क्लाउड-आधारित WAF संसाधनों के प्रवास को प्रदाता के मंच पर नहीं लाती है। एक साइट को कहीं भी तैनात किया जा सकता है, यहां तक ​​कि आधार पर भी।

क्यों अब अधिक से अधिक अक्सर बादल WAF की ओर देखते हैं, हम आगे बताएंगे।

क्लाउड में WAF क्या हो सकता है

तकनीकी क्षमताओं के संदर्भ में:

• प्रदाता अपडेट के लिए जिम्मेदार है । WAF सदस्यता द्वारा प्रदान किया जाता है, इसलिए सेवा प्रदाता अपडेट और लाइसेंस की प्रासंगिकता पर नज़र रखता है। अद्यतन न केवल सॉफ्टवेयर, बल्कि हार्डवेयर की भी चिंता करता है। प्रदाता सर्वर बेड़े को अपग्रेड करता है और इसके रखरखाव में लगा रहता है। वह लोड संतुलन और अतिरेक के लिए भी जिम्मेदार है। यदि WAF सर्वर विफल रहता है, तो ट्रैफ़िक को तुरंत दूसरी मशीन पर पुनर्निर्देशित किया जाता है। ट्रैफ़िक का तर्कसंगत वितरण आपको उन स्थितियों से बचने की अनुमति देता है जब फ़ायरवॉल खुले मोड में विफल हो जाता है - लोड का सामना नहीं करता है और फ़िल्टरिंग अनुरोधों को रोकता है।
• आभासी पैच । वर्चुअल पैच एप्लिकेशन के समझौता किए गए हिस्सों तक पहुंच को प्रतिबंधित करता है जब तक कि डेवलपर द्वारा भेद्यता को बंद नहीं किया जाता है। नतीजतन, क्लाउड प्रदाता के ग्राहक को शांति से प्रतीक्षा करने का अवसर मिलता है जब तक कि एक या किसी अन्य सॉफ़्टवेयर के आपूर्तिकर्ता आधिकारिक "पैच" प्रकाशित नहीं करते। इसे जल्द से जल्द करना सॉफ्टवेयर प्रोवाइडर के लिए प्राथमिकता है। उदाहरण के लिए, वेलार्म प्लेटफॉर्म में, वर्चुअल पैचिंग के लिए एक अलग सॉफ्टवेयर मॉड्यूल जिम्मेदार है। दुर्भावनापूर्ण अनुरोधों को अवरुद्ध करने के लिए एक व्यवस्थापक कस्टम नियमित अभिव्यक्ति जोड़ सकता है। सिस्टम गोपनीय डेटा ध्वज के साथ कुछ प्रश्नों को फ़्लैग करना संभव बनाता है। फिर उनके मापदंडों को नकाबपोश किया जाता है, और वे स्वयं किसी भी परिस्थिति में फ़ायरवॉल के कार्य क्षेत्र के बाहर स्थानांतरित नहीं होते हैं।
• निर्मित परिधि और भेद्यता स्कैनर । यह आपको DNS प्रश्नों और WHOIS प्रोटोकॉल के डेटा का उपयोग करके आईटी बुनियादी ढांचे की नेटवर्क सीमाओं को स्वतंत्र रूप से निर्धारित करने की अनुमति देता है। WAF स्वचालित रूप से परिधि के अंदर चलने वाली सेवाओं का विश्लेषण करता है (पोर्ट स्कैनिंग करता है)। फ़ायरवॉल सभी प्रकार की कमजोरियों का पता लगाने में सक्षम है - SQLi, XSS, XXE, इत्यादि - और सॉफ़्टवेयर कॉन्फ़िगरेशन में त्रुटियों का पता लगाता है, उदाहरण के लिए, Git और BitBucket रिपॉजिटरी के अनधिकृत उपयोग और एलियस्टिक्स, रेडिस, मोंगोडीबी के लिए अनाम कॉल।
• हमलों की निगरानी बादल संसाधनों द्वारा की जाती है । एक नियम के रूप में, क्लाउड प्रदाताओं में बड़ी मात्रा में कंप्यूटिंग शक्ति होती है। यह आपको उच्च सटीकता और गति के साथ खतरों का विश्लेषण करने की अनुमति देता है। क्लाउड में, फ़िल्टरिंग नोड्स का एक क्लस्टर तैनात किया जाता है जिसके माध्यम से सभी ट्रैफ़िक पास होते हैं। ये साइट वेब एप्लिकेशन पर हमले रोकती हैं और एनालिटिक्स सेंटर को आंकड़े भेजती हैं। यह सभी संरक्षित अनुप्रयोगों के लिए अवरुद्ध नियमों को अद्यतन करने के लिए मशीन लर्निंग एल्गोरिदम का उपयोग करता है। ऐसी योजना के कार्यान्वयन को अंजीर में दिखाया गया है। 4. ऐसे अनुकूलित सुरक्षा नियम फ़ायरवॉल के लिए झूठी सकारात्मक की संख्या को कम करते हैं।

संगठनात्मक मुद्दों और प्रबंधन के मामले में बादल WAF की सुविधाओं के बारे में अब थोड़ा:

• OpEx में संक्रमण । क्लाउड-आधारित WAF के मामले में, कार्यान्वयन की लागत शून्य होगी, क्योंकि सभी हार्डवेयर और लाइसेंस प्रदाता द्वारा पहले ही भुगतान किए जा चुके हैं, सेवा के लिए भुगतान सदस्यता द्वारा किया जाता है।
• विभिन्न टैरिफ योजनाएं । क्लाउड सेवा का उपयोगकर्ता अतिरिक्त विकल्पों को जल्दी से सक्षम या अक्षम कर सकता है। फंक्शन प्रबंधन एक सिंगल कंट्रोल पैनल से कार्यान्वित किया जाता है, जो संरक्षित भी है। इसकी पहुंच HTTPS के माध्यम से है, इसके अलावा TOTP प्रोटोकॉल (टाइम-आधारित वन-टाइम पासवर्ड एल्गोरिथम) पर आधारित दो-कारक प्रमाणीकरण तंत्र है।
• डीएनएस कनेक्शन । आप DNS को स्वयं बदल सकते हैं और नेटवर्क पर रूटिंग कॉन्फ़िगर कर सकते हैं। इन समस्याओं को हल करने के लिए, व्यक्तिगत विशेषज्ञों को भर्ती करना और प्रशिक्षित करना आवश्यक नहीं है। एक नियम के रूप में, प्रदाता की तकनीकी सहायता कॉन्फ़िगरेशन के साथ मदद कर सकती है।

मशीन सीखने के एल्गोरिदम के साथ अनुभवजन्य नियमों के साथ जटिल सुरक्षा प्रणालियों के लिए सरल फायरवॉल से WAF प्रौद्योगिकियां विकसित हुई हैं। अब एप्लिकेशन फायरवॉल में कई प्रकार के कार्य हैं जिन्हें 90 के दशक में लागू करना मुश्किल था। कई मायनों में, क्लाउड टेक्नोलॉजी के लिए नई कार्यक्षमता के उद्भव को संभव बनाया गया था। WAF समाधान और उनके घटक विकसित होते रहते हैं। साथ ही सूचना सुरक्षा के अन्य क्षेत्रों में।

पाठ को IS क्लाउड प्रदाता #CloudMTS के उत्पाद विकास प्रबंधक अलेक्जेंडर करपुज़िकोव ने तैयार किया था।