БЕЗОПАСНОСТЬ ВЕБ ПРИЛОЖЕНИЙ РЕФЕРАТ. Реферат безопасность веб приложений
 Скачать 42.58 Kb.
|
|
Реферат «БЕЗОПАСНОСТЬ ВЕБ- ПРИЛОЖЕНИЙ» 1Содержание 1.Особенности защиты Web-сайтов. 2.Новое время и новые методы защиты. 3. Причины уязвимости веб-серверов. 4.Основные механизмы и средства защиты ресурсов информационных систем. 5.Анализ защищенности систем. 6.Риски информационной безопасности веб-приложений. 1. Защита Web-сайтов Информация должна быть в безопасности - пожалуй, эта аксиома известна всем. И несомненно, большинство пользователей знают, что такое Firewall и троянские вирусы и какими средствами можно обеспечить защиту сети. Однако не все знают, как они работают и как оптимально настроить систему защиты компании. Тем не менее именно от этого зависит не только сохранность данных, но и существование предприятия в целом. Действительно, многие чересчур уверены в своей компетенции, и в этом корень проблемы. Наглядный пример из жизни. Одна компания очень хочет обеспечить сохранность своих данных (ее локальная сеть имеет постоянный выход в Интернет). Для этого один из специалистов установил firewall, перекрыв (на его взгляд) угрозу прямым атакам из публичной сети. Затем озаботился проникновением троянов и установил антивирус. Далее обнаружилось, что многие программы хотят также взаимодействовать с сетью, но не все делают это на безопасном уровне. Пришлось перекрывать доступ и им. Постепенно число потенциальных угроз увеличивалось, и, подобно снежному кому, росло количество установленных средств защиты. И все они были разными. Заканчивалось все, как правило, "падением" системы и неизбежной переустановкой. В результате тратилось драгоценное рабочее время и ресурсы. А ведь куда разумнее выяснить теорию и подготовить защиту в соответствии с ней. 2. Новое время - новые методы Приведенный пример говорит о том, что прежний подход к безопасности безнадежно устарел. Угроз слишком много, и нужно что-то заложить в основу иерархии защиты. Интернет уже давно не просто сеть html-страниц. Это сложные приложения, скрипты, транспортная сеть, телеконференции, электронная почта и многое другое. Конечно, корпоративный firewall уже не решает всех проблем безопасности. Ведь равный и обобщенный подход к обеспечению безопасности данных каждого сотрудника компании неизбежно приводит к наличию брешей в защите. Из-за этого страдают нужды того или иного работника, когда оказываются закрыты критичные для выполнения работы ресурсы. Более того, многие системы безопасности отделяют от общего доступа только жизненно важные данные (например, бухгалтерский учет), в то время как остальные сведения, которые считаются менее важными, доступны всем. Конечно, это не означает, что сотрудники соседнего подразделения изучают данные своих коллег. Но такая открытость делает данные всех работников уязвимыми к атаке через одну-единственную лазейку в сети. Поэтому вместо порчи данных на 1-2 компьютерах страдают все. Что и доказал червь Code Red. Эта одна из самых известных атак вскрыла множество проблем. Установлено: для того чтобы получить брешь в защите, необходимо сочетание трех факторов. Уязвимость программного обеспечения, протоколов или процессов, которыми может воспользоваться нападающий. Угроза со стороны враждебных инструментов, способных эту уязвимость использовать. Наконец, действие, а по сути, использование угрозы вашей уязвимости. Еще в 1985 году Стив Беллоуин (Steve Bellovin), член Совета по архитектуре Интернета (Internet Architecture Board) опубликовал доклад об уязвимости TCP/IP-протокола. Хотя вплоть до 1996 года возникшая уязвимость оставалась под призрачной теоретической угрозой. Но угроза появилась, а привел ее в действие не кто иной, как Кевин Митник. Поэтому суть компьютерной безопасности не только в ее построении, но и в постоянном поиске уязвимости и устранении ее раньше, чем злоумышленники сумеют создать угрозу и привести ее в действие. Следовательно, безопасность - процесс динамический, а не статический. Анализ и устранения рисков - его основная составляющая, которой нельзя пренебрегать. Реклама 3. Почему веб-серверы так уязвимы? Вирус Code Red вывел из строя именно те серверы, которые были защищены от элементарных атак из Сети и не следили за своей растущей уязвимостью (ввиду отсутствия подобных прецедентов). Имела место уязвимость, но так как прежде подобные атаки не проводились, никто о ней не думал. В итоге такая беспечность стоила миллионов долларов. Обобщим основные причины уязвимости веб-серверов: Большинство растущих предприятий регулярно меняет конфигурацию своих сетей, добавляя новые рабочие станции (иногда и сервера), забывая при этом тестировать ЛВС на безопасность. Разумеется, запретить подключать новых пользователей невозможно, но стоит задуматься о расширении сети заранее. Обозначить ее сегменты, которые способны к расширению, и проводить предварительное тестирование на безопасность. Большинство веб-мастеров имеют корневой или администраторский доступ к серверу. Разумнее прописать каждому пользователю свою политику доступа, ограничивающую его права прямыми обязанностями. Например, сотрудник работает только с одним каталогом сервера, но имеет доступ на все остальные. Тем самым он ставит под угрозу не только свой сектор работ, но и все данные сервера. Конечно, статус веб-мастера имеет не каждый пользователь, хотя ограничить доступ из соображений безопасности следует и самым высоким профессионалам. 4. Информационная безопасность · Основные механизмы и средства защиты ресурсов информационных систем Идентификация и аутентификация, разграничение доступа, регистрация и аудит, контроль целостности, криптографические механизмы обеспечения конфиденциальности, целостности и аутентичности информации, контроль содержимого, обнаружение и противодействие атакам, анализ защищенности и др. · Значение рисков в современных системах информационной безопасности Реклама Принцип комплексности и системности в контексте обеспечения ИБ, его обоснование и отражение в ведущих международных стандартах по информационной безопасности. Организационные, правовые и программно-технические механизмы безопасности, их согласованное применение и критерии выбора. · Методы управления информационными рисками Понятие информационных рисков, остаточного и приемлемого рисков. Факторы, влияющие на изменение рисков. Основы управления информационными рисками. Понятие количественной и качественной оценки рисков, существующие программные реализации различных методов оценки рисков. · Международный стандарт по информационной безопасности BS7799/ISO27002(17799) Структура, значение и область применения стандарта. История его возникновения и краткое содержание. · Аудит информационной безопасности Понятие, цели и значение аудита ИБ. Нормы и правила проведения проверок и оценок ИБ. Критерии оценки деятельности аудиторов. · Управление инцидентами ИБУ больше еЗначение управления инцидентами для обеспечения непрерывности бизнеса. Принципы, методы и способы управления инцидентами. Аварийный план, реагирование на инциденты, их расследование. · Построение системы управления рисками информационной безопасности в соответствии с международным стандартом ISO 27005 Процесс управления рисками информационной безопасности. Элементы процесса. Стратегии обработки рисков. Выявление угроз и уязвимостей. Оценка и мониторинг рисков. · Защита от внутренних нарушителей безопасности информационной системы Актуальность и анализ проблемы нарушений требований информационной безопасности авторизованными пользователями информационной системы. Направления и принципы борьбы с подобными нарушениями. · Нормативно-правовое обеспечение управления рисками ИБ Значение законодательного уровня обеспечения ИБ, основные зарубежные и международные документы в этой области, анализ соответствующей казахстанской нормативной Веб приложений Безопасность Web-приложений уже не первый год является важным элементом защиты информационных систем. Учитывая тенденцию к переносу стандартных клиент-сервеных приложений в Web-среду, растущую популярность технологий AJAX и других элементов Web 2.0 можно констатировать, что с течением времени актуальность защиты онлайн-приложений только растет. Безопасность Web-приложений уже не первый год является важным элементом защиты информационных систем. Учитывая тенденцию к переносу стандартных клиент-сервеных приложений в Web-среду, растущую популярность технологий AJAX и других элементов Web 2.0 можно констатировать, что с течением времени актуальность защиты онлайн-приложений только растет. Наличие статистики дает возможность прогнозировать риски связанные с использованием информационных систем и обосновывать выбор контрмер. К сожалению, получить достоверную количественную оценку объема ошибок, а уж тем более - вероятности их эксплуатации достаточно трудно. В данной статье приведен обзор некоторых источников, позволяющих получить статистические данные об уязвимостях и атаках на Web-приложения. Базы данных уязвимостей Ответить на вопрос о вероятности обнаружения той или иной проблемы можно с помощью информации из справочников (баз данных) уязвимостей. На сегодняшний день признанным отраслевым стандартом в этой области является список Common Vulnerabilities and Exposures (CVE) [1]. Однако непосредственно сам список слабо упорядочен и требует серьезной аналитической работы для получения полезных статистически результатов. Ежегодно аналитиками Mitre проводится анализ информации в базе данных и публикуется отчет [2] о распределении уязвимостей по различным критериям. Согласно отчету более четверти проблем, обнаруженных в 2006 году, приходится на недостатки безопасности Web-приложений. Рис. 1 Распределение уязвимостей по типу приложений в 2007 году Анализ защищенности систем Существуют и другие подходы, например, использование в качестве исходной информации результатов работ по анализу и оценке защищенности Web-приложений. Как правило, это метод используется консалтинговыми компаниями, имеющими большой опыт в области безопасности приложений. Рис. 2 Вероятность обнаружения уязвимостей различного типа (Positive Technologies) Рис. 3 Вероятность обнаружения уязвимостей различного типа (WhiteHat Security) Реклама Оценка степени риска Вопрос классификации степени риска, связанного с уязвимостями приложений является важной темой. В настоящий момент существует множество методик оценки опасности уязвимости, но наиболее распространены следующие подходы: 3. метод Common Vulnerability Scoring System (CVSS) [8], оценивающий степень риска как число от 0 до 10. Не касаясь достоинств или недостатков каждого из методов можно выделить следующие особенности, которые могут влиять на достоверность оценки: 1. зависимость от контекста; 2. зависимость от конфигурации системы; 3. зависимость от метода определения. 5. РИСКИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ВЕБ-ПРИЛОЖЕНИЙ Информационная безопасность*, Блог компании Pentestit Использование информационных систем и технологий связано с определенной совокупностью рисков. Оценка рисков необходима для контроля эффективности деятельности в области безопасности, принятия целесообразных защитных мер и построения эффективных экономически обоснованных систем защиты. РЕКЛАМА• льОснову риска образуют возможные уязвимости и угрозы для организации, поэтому выявление потенциальных или реально существующих рисков нарушения конфиденциальности и целостности информации, распространения вредоносного программного обеспечения и финансового мошенничества, классификация угроз информационной безопасности является одной из первичных задач по защите веб-приложения. Риски нужно контролировать постоянно, периодически проводя их переоценку. Отметим, что добросовестно выполненная и тщательно документированная первая оценка может существенно упростить последующую деятельность. Управление рисками, как и любую другую деятельность в области информационной безопасности, необходимо интегрировать в жизненный цикл информационной системы. Тогда эффект оказывается наибольшим, а затраты -- минимальными. Можно выделить основные этапы жизненного цикла информационной системы: · инициация, согласно бизнес-процессам компании; · выведение из эксплуатации. Информационная система и её составляющие Первым шагом в процессе оценки рисков является определение объекта оценки, то есть границ анализируемой информационной системы, а также ресурсов и информации, образующих ИС. О системе необходимо собрать следующую информацию: · используемое аппаратное обеспечение; · используемое программное обеспечение; · системные интерфейсы (внутренняя и внешняя связность); · присутствующие в системе данные и информация; · поддерживающий персонал и пользователи; · миссия системы (то есть процессы, выполняемые ИС); · критичность системы и данных; · чувствительность (то есть требуемый уровень защищенности) системы и данных. Действия: оценка технического задания функционала системы и её фактических составляющих. Управление рисками Управление рисками включает в себя два вида деятельности, которые чередуются циклически: · регламентную оценку рисков; · выбор эффективных и экономичных защитных средств (нейтрализация рисков). По отношению к выявленным рискам возможны следующие действия: · ликвидация риска (например, за счет устранения уязвимости); · уменьшение риска (например, за счет использования дополнительных защитных средств или действий); · принятие риска (и выработка плана действия в соответствующих условиях). Управление рисками можно подразделить на следующие этапы: · инвентаризация анализируемых объектов; · выбор методики оценки рисков; · анализ угроз и их последствий; · определение уязвимостей в защите; · выбор защитных мер; · реализация и проверка выбранных мер; · оценка остаточного риска. Для определения основных рисков можно следовать следующей цепочке: источник угрозы > фактор (уязвимость) > угроза (действие) > последствия (атака). · Источник угрозы -- это потенциальные антропогенные, техногенные или стихийные носители угрозы безопасности. · Угроза (действие) -- это возможная опасность (потенциальная или реально существующая) совершения какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных ресурсов), наносящего ущерб собственнику, владельцу или пользователю, проявляющегося в опасности искажения и потери информации. · Фактор (уязвимость) -- это присущие объекту информатизации причины, приводящие к нарушению безопасности информации на конкретном объекте и обусловленные недостатками процесса функционирования объекта информатизации, свойствами архитектуры автоматизированной системы, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации. · Последствия (атака) -- это возможные последствия реализации угрозы (возможные действия) при взаимодействии источника угрозы через имеющиеся факторы (уязвимости). Действия: внедрение политики информационной безопасности компании. Источник угрозы Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Методы противодействия напрямую зависят от организаторов защиты информации. В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Или, простыми словами -- это либо хакер-злоумышленник или их группа, либо персонал компании, мотивированный теми или иными факторами на противоправные или противозаконные деяния. Субъекты (источники), действия которых могут привести к нарушению безопасности информации могут быть как внешние, так и внутренние. Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся: · потенциальные преступники и хакеры; · технический персонал поставщиков телематических услуг; · представители надзорных организаций и аварийных служб; · представители силовых структур. Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомы со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети. К ним относятся: · основной персонал (пользователи, программисты, разработчики); · представители службы защиты информации. Действия: составление вероятностной шкалы источников угроз. Классификация угроз безопасности Web-приложений Данная классификация представляет собой совместную попытку членов международного консорциума собрать воедино и упорядочить угрозы безопасности Web-сайтов. Члены Web Application Security Consortiumсоздали данный проект для унификации стандартной терминологии описания угроз безопасности Web-приложений. Это даёт возможность разработчикам приложений, специалистам в области безопасности, производителям программных продуктов и аудиторам использовать единый язык при своем взаимодействии. Данный документ содержит компиляцию и квинтэссенцию известных классов атак, которые представляют угрозы для Web-приложений. Каждому классу атак присвоено стандартное название и описаны его ключевые особенности. Классы организованы в иерархическую структуру. Классы атак 1. Аутентификация (Authentication) Раздел, посвященный аутентификации, описывает атаки направленные на используемые Web-приложением методы проверки идентификатора пользователя, службы или приложения. Аутентификация использует как минимум один из трех механизмов (факторов): "что-то, что мы имеем", "что-то, что мы знаем" или "что-то, что мы есть". В этом разделе описываются атаки, направленные на обход или эксплуатацию уязвимостей в механизмах реализации аутентификации Web-серверов. Краткое описание [ подробное описание в формате .pdf – 337 Kb ] автоматизированный процесс проб и ошибок, использующийся для того, чтобы угадать имя пользователя, пароль, номер кредитной карточки, ключ шифрования и т.д. Недостаточная аутентификация (Insufficient Authentication) эта уязвимость возникает, когда Web-сервер позволяет атакующему получать доступ к важной информации или функциям сервера без должной аутентификации Небезопасное восстановление паролей (Weak Password Recovery Validation) эта уязвимость возникает, когда Web-сервер позволяет атакующему несанкционированно получать, модифицировать или восстанавливать пароли других пользователей 2. Авторизация (Authorization) Данный раздел посвящен атакам, направленным на методы, которые используются Web-сервером для определения того, имеет ли пользователь, служба или приложение необходимые для совершения действия разрешения. Многие Web-сайты разрешают только определенным пользователям получать доступ к некоторому содержимому или функциям приложения. Доступ другим пользователям должен быть ограничен. Используя различные техники, злоумышленник может повысить свои привилегии и получить доступ к защищенным ресурсам. Краткое описание [ подробное описание в формате .pdf – 353 Kb ] Предсказуемое значение идентификатора сессии (Credential/Session Prediction) предсказуемое значение идентификатора сессии позволяет перехватывать сессии других пользователей Недостаточная авторизация (Insufficient Authorization) недостаточная авторизация возникает, когда Web-сервер позволяет атакующему получать доступ к важной информации или функциям, доступ к которым должен быть ограничен Отсутствие таймаута сессии (Insufficient Session Expiration) в случае если для идентификатора сессии или учетных данных не предусмотрен таймаут или его значение слишком велико, злоумышленник может воспользоваться старыми данными для авторизации используя данный класс атак, злоумышленник присваивает идентификатору сессии пользователя заданное значение 3. Атаки на клиентов (Client-side Attacks) Этот раздел описывает атаки на пользователей Web-сервера. Во время посещения сайта, между пользователем и севером устанавливаются доверительные отношения, как в технологическом, так и в психологическом аспектах. Пользователь ожидает, что сайт предоставит ему легитимное содержимое. Кроме того, пользователь не ожидает атак со стороны сайта. Эксплуатируя это доверие, злоумышленник может использовать различные методы для проведения атак на клиентов сервера. Краткое описание [ подробное описание в формате .pdf – 369 Kb ] используя эту технику, злоумышленник заставляет пользователя поверить, что страницы сгенерированны Web-сервером, а не переданы из внешнего источника Межсайтовое выполнение сценариев (Cross-site Scripting, XSS) наличие уязвимости Cross-site Scripting позволяет атакующему передать серверу исполняемый код, который будет перенаправлен браузеру пользователя при использовании данной уязвимости злоумышленник посылает серверу специальным образом сформированный запрос, ответ на который интерпретируется целью атаки как два разных ответа 4. Выполнение кода (Command Execution) Эта секция описывает атаки, направленные на выполнение кода на Web-сервере. Все серверы используют данные, преданные пользователем при обработке запросов. Часто эти данные используются при составлении команд, применяемых для генерации динамического содержимого. Если при разработке не учитываются требования безопасности, злоумышленник получает возможность модифицировать исполняемые команды. Краткое описание [ подробное описание в формате .pdf – 398 Kb ] эксплуатация переполнения буфера позволяет злоумышленнику изменить путь исполнения программы путем перезаписи данных в памяти системы Атака на функции форматирования строк (Format String Attack) при использовании этих атак путь исполнения программы модифицируется методои перезаписи областей памяти с помощью функций форматирования символьных переменных атаки этого типа направлены на Web-серверы, создающие запросы к службе LDAP на основе данных, вводимых пользователем атаки этого класса направлены на выполнение команд операционной системы на Web-сервере путем манипуляции входными данными эти атаки направлены на Web-серверы, создающие SQL запросы к серверам СУБД на основе данных, вводимых пользователем атаки данного класса позволяют злоумышленнику передать исполняемый код, который в дальнейшем будет выполнен на Web-сервере эти атаки направлены на Web-серверы, создающие запросы на языке XPath на основе данных, вводимых пользователем 5. Разглашение информации (Information Disclosure) Атаки данного класса направлены на получение дополнительной информации о Web-приложении. Используя эти уязвимости, злоумышленник может определить используемые дистрибутивы ПО, номера версий клиента и сервера и установленные обновления. В других случаях, в утекающей информации может содержаться расположение временных файлов или резервных копий. Во многих случаях эти данные не требуются для работы пользователя. Большинство серверов предоставляют доступ к чрезмерному объему данных, однако необходимо минимизировать объем служебной информации. Чем большими знаниями о приложении будет располагать злоумышленник, тем легче ему будет скомпрометировать систему. Краткое описание [ подробное описание в формате .pdf – 385 Kb ] Индексирование директорий (Directory Indexing) атаки данного класса позволяют атакующему получить информацию о наличии файлов в Web каталоге, которые недоступны при обычной навигации по Web сайту Идентификация приложений (Web Server/Application Fingerprinting) определение версий приложений используется злоумышленником для получения информации об используемых сервером и клиентом операционных системах, Web-северах и браузерах данная техника атак направлена на получение доступа к файлам, директориям и командам, находящимся вне основной директории Web-сервера. Предсказуемое расположение ресурсов (Predictable Resource Location) позволяет злоумышленнику получить доступ к скрытым данным или функциональным возможностя 6. Логические атаки (Logical Attacks) Атаки данного класса направлены на эксплуатацию функций приложения или логики его функционирования. Логика приложения представляет собой ожидаемый процесс функционирования программы при выполнении определенных действий. В качестве примеров можно привести восстановление пролей, регистрацию учетных записей, , аукционные торги, транзакции в системах электронной коммерции. Приложение может требовать от пользователя корректного выполнения нескольких последовательных действий для выполнения определенной задачи. Злоумышленник может обойти или использовать эти механизмы в своих целях. Краткое описание [ подробное описание в формате .pdf – 355 Kb ] Злоупотребление функциональными возможностями (Abuse of Functionality) данные атаки направлены на использование функций Web-приложения с целью обхода механизмов разграничение доступа данный класс атак направлен на нарушение доступности Web-сервера Недостаточное противодействие автоматизации (Insufficient Anti-automation) эти уязвимости возникаеют, в случае, если сервер позволяет автоматически выполнять операции, которые должны проводиться вручную Недостаточная проверка процесса (Insufficient Process Validation) уязвимости этого класса возникают, когда сервер недостаточно проверяет последовательность выполнения операций приложения |