Aplikacje internetowe s\u0105 zwykle elementami krytycznymi dla infrastruktury ka\u017cdego przedsi\u0119biorstwa. Firmy musz\u0105 polega\u0107 na swoich aplikacjach internetowych, poniewa\u017c s\u0142u\u017c\u0105 one przede wszystkim do komunikowania si\u0119 z partnerami, akcjonariuszami oraz klientami. Zazwyczaj tak\u017ce to aplikacje internetowe s\u0105 g\u0142\u00f3wnym miejscem przechowywania informacji korporacyjnych, s\u0142u\u017c\u0105 do udost\u0119pniania link\u00f3w oraz do przeprowadzania szeregu innych czynno\u015bci. Wi\u0119kszo\u015b\u0107 z tych aplikacji jest naprawd\u0119 wygodna, a ich funkcjonalno\u015b\u0107 zale\u017cy od funkcjonalno\u015bci przegl\u0105darki internetowej klienta.<\/p>\n
Jednak aplikacje internetowe mog\u0105 posiada\u0107 niezliczon\u0105 ilo\u015b\u0107 luk w zabezpieczeniach, kt\u00f3re nara\u017caj\u0105 zar\u00f3wno pojedynczego u\u017cytkownika, jak i ca\u0142\u0105 organizacj\u0119, na wiele zagro\u017ce\u0144.<\/strong><\/p>\n Cyber-przest\u0119pcy doskonale zdaj\u0105 sobie spraw\u0119 z tych niedoci\u0105gni\u0119\u0107 i zbieraj\u0105 dane o wi\u0119kszo\u015bci stron dost\u0119pnych w sieci Internet. Tendencja ta ca\u0142y czas ro\u015bnie. Ataki na strony internetowe s\u0105 coraz mocniej sprofilowane, coraz bardziej wyrafinowane i coraz cz\u0119stsze.<\/strong><\/p>\n Wed\u0142ug bada\u0144 Gartner Group, 75 procent atak\u00f3w cybernetycznych oraz narusze\u0144 bezpiecze\u0144stwa nast\u0119puje bezpo\u015brednio przez aplikacje internetowe.<\/strong> Niezale\u017cnie od tego, czy rozwijamy aplikacje w firmie, czy w domowym zaciszu, musimy ca\u0142y czas liczy\u0107 si\u0119 z tym, \u017ce hakerzy b\u0119d\u0105 sprawdza\u0107 nasze aplikacje w celu zbadania ich infrastruktury, architektury oraz zidentyfikowania potencjalnych luk w zabezpieczeniach, jakie mog\u0105 zosta\u0107 \u00a0wykorzystane.<\/p>\n <\/p>\n Zagro\u017cenia wysokiego ryzyka, kt\u00f3re mog\u0105 zagra\u017ca\u0107 aplikacjom internetowym<\/strong><\/p>\n \u00a0<\/strong>Istnieje wiele bardzo powa\u017cnych zagro\u017ce\u0144 dla ka\u017cdej aplikacji internetowej. Z istnienia tzw. zagro\u017ce\u0144 wysokiego ryzyka powinni sobie zdawa\u0107 spraw\u0119 g\u0142\u00f3wnie przedsi\u0119biorcy oraz jednostki przetwarzaj\u0105ce dane osobowe. Zagro\u017cenia wysokiego ryzyka obejmuj\u0105 wiele zagro\u017ce\u0144, z kt\u00f3rych wi\u0119kszo\u015b\u0107 ma za zadanie prowadzi\u0107 do kompromitacji stron internetowych oraz upokorzenia organizacji w oczach klient\u00f3w. Poni\u017cej zosta\u0142y wymienione g\u0142\u00f3wne zagro\u017cenia.<\/p>\n Denial of Service ( DoS ):<\/strong><\/p>\n Ataki DoS na aplikacje polegaj\u0105 na zalaniu aplikacji ogromn\u0105 ilo\u015bci\u0105 \u017c\u0105da\u0144, co mo\u017ce spowolni\u0107 dzia\u0142anie danej witryny lub ca\u0142kowicie zawiesi\u0107 jej funkcjonowanie. Ataki typu rozproszonego ataku na odmow\u0119 us\u0142ugi ( Distributed Denial Of Service \u2013 DdoS<\/strong> ) polegaj\u0105 na przes\u0142aniu szkodliwego ruchu z du\u017cej ilo\u015bci serwer\u00f3w. Atakuj\u0105cy mo\u017ce tak\u017ce spr\u00f3bowa\u0107 przes\u0142a\u0107 szkodliwe pliki, kt\u00f3re mog\u0105 by\u0107 pobrane przez pracownik\u00f3w i przetworzone w \u015brodowisku korporacyjnym.<\/p>\n Cross-site scripting ( XSS<\/strong> ): To jest wsp\u00f3lna luka, kt\u00f3ra wykorzystuje s\u0142abo\u015bci aplikacji internetowych, aby bezpo\u015brednio zaatakowa\u0107 u\u017cytkownik\u00f3w. Atak polega g\u0142\u00f3wnie na przekazaniu szkodliwych danych poprzez normaln\u0105 funkcjonalno\u015b\u0107 aplikacji internetowej. Ot\u00f3\u017c, je\u015bli w aplikacji nie istnieje poprawna weryfikacja danych, z\u0142o\u015bliwy kod mo\u017ce zosta\u0107 przes\u0142any do przegl\u0105darki internetowej. W wielu przypadkach jest to odpowiednio napisany kod JavaScript, ale ataki mog\u0105 polega\u0107 r\u00f3wnie\u017c na przes\u0142aniu kodu HTML albo Flash. Cross-site scripting mo\u017ce umo\u017cliwi\u0107 hakerom kradzie\u017c po\u015bwiadcze\u0144 u\u017cytkownika, przechwyci\u0107 sesj\u0119 oraz przekierowa\u0107 u\u017cytkownik\u00f3w do szkodliwych witryn.<\/p>\n Ataki SQL Injection<\/strong>: Przewa\u017cnie s\u0105 to przypadkowe ataki ukierunkowane na aplikacje, kt\u00f3re wynikaj\u0105 ze s\u0142abego zabezpieczenia danych zapisywanych w bazach danych. Ataki polegaj\u0105 g\u0142\u00f3wnie na wstrzykni\u0119ciu kodu SQL, w celu przej\u0119cia kontroli nad witryn\u0105, wstrzykni\u0119cia malware oraz dystrybucji wirus\u00f3w. Zwykle wszystkie te scenariusze s\u0105 wynikiem zastosowania z\u0142ych technik wytwarzania oprogramowania. Udane ataki intruz\u00f3w s\u0105 przewa\u017cnie atakami na logik\u0119 danego zapytania SQL i mog\u0105 by\u0107 u\u017cyte przeciwko bazie danych. Wi\u0119kszo\u015b\u0107 programist\u00f3w buduje dynamiczne zapytania do bazy danych, kt\u00f3re umo\u017cliwiaj\u0105 intruzom prac\u0119 z danymi. Skutki takiego podej\u015bcia mog\u0105 obejmowa\u0107 uszkodzenie danych, kompromitacj\u0119 konta, a nawet ca\u0142kowite przej\u0119cie danego hosta.<\/p>\n Modyfikacja parametr\u00f3w i bufor\u00f3w danych<\/strong>: Wi\u0119kszo\u015b\u0107 aplikacji internetowych u\u017cywa parametr\u00f3w adresu URL do przekazywania informacji pomi\u0119dzy elementami strony internetowej. Hakerzy bardzo cz\u0119sto korzystaj\u0105 z tego procesu i przepisuj\u0105 wszystkie parametry na w\u0142asny spos\u00f3b. Mog\u0105 tak\u017ce spr\u00f3bowa\u0107 nadpisa\u0107 bufory danych. Najcz\u0119stsz\u0105 ofiar\u0105 ataku polegaj\u0105cego na nadpisaniu bufor\u00f3w, s\u0105 ciasteczka na stronach internetowych, a przyk\u0142adem ataku jest np. atak polegaj\u0105cy na manipulacji nag\u0142\u00f3wkami http. Intruzi mog\u0105 w ten spos\u00f3b zast\u0105pi\u0107 dane u\u017cytkownik\u00f3w swoim w\u0142asnym kodem.<\/p>\n <\/p>\n Szablon polityki bezpiecze\u0144stwa<\/strong><\/p>\n Zasady projektowania zabezpiecze\u0144 s\u0105 w istocie strategi\u0105 ochrony aplikacji internetowych oraz zapewnienia dost\u0119pno\u015bci w ka\u017cdym okresie czasu. S\u0105 to na og\u00f3\u0142 kroki, kt\u00f3ry maj\u0105 na celu ustalenie odpowiedzialno\u015bci, przewidywanych kierunk\u00f3w zagro\u017ce\u0144 oraz okre\u015blenia metod zapobiegania i \u0142agodzenia skutk\u00f3w. Niezb\u0119dne jest okre\u015blenie metod i zasad, kt\u00f3re pos\u0142u\u017c\u0105 do zapewnienia wysokiej dost\u0119pno\u015bci aplikacji i minimalizacji s\u0142abych punkt\u00f3w.<\/p>\n \u00a0<\/strong><\/p>\n Okre\u015blenie mechanizm\u00f3w kontroli oraz dost\u0119pu<\/strong><\/p>\n Ta cz\u0119\u015b\u0107 jest zwykle wsp\u00f3lna dla wi\u0119kszo\u015bci aplikacji internetowych. Polega na wprowadzeniu wystarczaj\u0105cych mechanizm\u00f3w kontroli procesu autoryzacji dla os\u00f3b pr\u00f3buj\u0105cych uzyska\u0107 dost\u0119p do okre\u015blonych zasob\u00f3w. W bezpiecznym \u015brodowisku, proces autoryzacji powinien by\u0107 oparty zar\u00f3wno na roli danego u\u017cytkownika, jak i kontroli dost\u0119pu danego u\u017cytkownika do okre\u015blonego zasobu. Organizacje powinny si\u0119 upewni\u0107, \u017ce u\u017cytkownicy w \u017caden spos\u00f3b nie s\u0105 w stanie omin\u0105\u0107 ACL, przechodz\u0105c bezpo\u015brednio do pliku lub strony.<\/p>\n Mo\u017cna to zrobi\u0107 poprzez wyznaczenie domy\u015blnych ACL oraz udziela\u0107 lub odmawia\u0107 dost\u0119pu dla okre\u015blonych u\u017cytkownik\u00f3w oraz r\u00f3l. Zespo\u0142y IT mog\u0105 w tym celu tak\u017ce wykorzystywa\u0107 sprawdzone frameworki oraz bilioteki. Dost\u0119py i regulacje dost\u0119p\u00f3w powinny by\u0107 przechowywane oddzielnie, a w przypadku wydawania nowych pozwole\u0144 powinny by\u0107 zastosowane ustandaryzowane procedury i powinno si\u0119 unika\u0107 dzia\u0142a\u0144 niestandardowych, poniewa\u017c wtedy uwierzytelnianie poszczeg\u00f3lnych kana\u0142\u00f3w mo\u017ce si\u0119 okaza\u0107 naprawd\u0119 trudne.<\/p>\n <\/p>\n Wyznaczanie zakresu obowi\u0105zk\u00f3w<\/strong><\/p>\n Nigdy nie mo\u017cecie zak\u0142ada\u0107, \u017ce b\u0119dziecie w stanie predefiniowa\u0107 wszystkie obowi\u0105zki w zakresie dost\u0119pu do plik\u00f3w i danych, przechowywanych przez aplikacje internetowe. Przewa\u017cnie jednym z najwa\u017cniejszych koszt\u00f3w rozwoju oraz utrzymania aplikacji internetowych jest zweryfikowanie framework\u00f3w, algorytm\u00f3w szyfrowania oraz bibliotek, natomiast znacznie mniej koszt\u00f3w jest po\u015bwi\u0119cone na zarzadzanie kontrol\u0105 dost\u0119pu. A wi\u0119c musicie si\u0119 koniecznie upewni\u0107, \u017ce uda\u0142o si\u0119 Wam jasno opisa\u0107 obowi\u0105zki dla ka\u017cdej roli i ka\u017cdego u\u017cytkownika w ka\u017cdym mo\u017cliwym kroku. W przypadku innego podej\u015bcia do problemu i przyznawaniu domy\u015blnych uprawnie\u0144, mo\u017ce si\u0119 okaza\u0107, \u017ce b\u0119dzie to bardzo niebezpieczne dla integralno\u015bci aplikacji.<\/p>\n Wszystkie role oraz kontrola dost\u0119pu, powinny by\u0107 zdefiniowane nie tylko dla programist\u00f3w, ale dla wszystkich os\u00f3b, jakie s\u0105 zaanga\u017cowane w u\u017cycie aplikacji internetowych. Trzeba wi\u0119c po\u015bwi\u0119ci\u0107 troch\u0119 czasu, aby nakre\u015bli\u0107 role w r\u00f3\u017cnych poziomach dost\u0119pu dla ka\u017cdego u\u017cytkownika. Zauwa\u017ccie, \u017ce ka\u017cde oprogramowanie do obs\u0142ugi aplikacji mo\u017ce by\u0107 inne, a jednak polityki dost\u0119pu do aplikacji mog\u0105 by\u0107 ca\u0142y czas ogromnie skuteczne.<\/p>\n <\/p>\n \u015arodki bezpiecze\u0144stwa i narz\u0119dzia<\/strong><\/p>\n Dobrze zdefiniowany szablon polityki bezpiecze\u0144stwa obejmuje korzystanie z algorytmu szyfrowania dla danych wymienianych z aplikacj\u0105 internetow\u0105. U\u017cytkownicy powinni pom\u00f3c okre\u015bli\u0107 dane, kt\u00f3re s\u0105 na tyle cenne, aby je zaszyfrowa\u0107 i musz\u0105 aktywnie uczestniczy\u0107 w procesie identyfikacji luk bezpiecze\u0144stwa w celu identyfikacji zagro\u017ce\u0144. Niekt\u00f3re oferowane zasoby musza by\u0107 chronione o wiele silniej od innych.<\/p>\n Wdro\u017cenie takich mechanizm\u00f3w, jak firewall dla aplikacji internetowych, pozwala chroni\u0107 aplikacje korporacyjne i strony internetowe przed wi\u0119kszo\u015bci\u0105 mo\u017cliwych zagro\u017ce\u0144, dzi\u0119ki czemu mo\u017cna unika\u0107 kosztownych przestoj\u00f3w oraz innych incydent\u00f3w bezpiecze\u0144stwa. Przedsi\u0119biorstwom mo\u017cna zaleci\u0107 poszukiwanie rozwi\u0105za\u0144 posiadaj\u0105cych PCI-certificated WAF, poniewa\u017c pozwala to ochroni\u0107 dan\u0105 aplikacj\u0119 internetow\u0105 przed wi\u0119kszo\u015bci\u0105 mo\u017cliwych atak\u00f3w na aplikacj\u0119.<\/strong> Niekt\u00f3re oferty pozwalaj\u0105 na zastosowanie niestandardowych zasad bezpiecze\u0144stwa, kt\u00f3re umo\u017cliwiaj\u0105 egzekwowanie polityk bezpiecze\u0144stwa oraz mo\u017cliwo\u015b\u0107 eliminacji fa\u0142szywych alarm\u00f3w. Nowoczesne rozwi\u0105zania pozwalaj\u0105 tak\u017ce chroni\u0107 aplikacje poprzez korzystanie ze zbiorowej wiedzy na temat wyst\u0119puj\u0105cych zagro\u017ce\u0144. Informacje s\u0105 agregowane przy u\u017cyciu narz\u0119dzi do analizy danych.<\/p>\n Odzyskiwanie danych po awarii i zastosowanie mechanizm\u00f3w awaryjnych<\/strong><\/p>\n W ka\u017cdej organizacji powinny zosta\u0107 u\u017cyte rozwi\u0105zania do odzyskiwania danych oraz do natychmiastowego reagowania w sytuacjach wysokiego ryzyka. Wybrane strategie powinny zosta\u0107 wykorzystane do ograniczenia mo\u017cliwo\u015bci ekspozycji ataku. Narz\u0119dzia do odzyskiwania danych po awarii powinny zadzia\u0142a\u0107 jak najszybciej oraz wspomaga\u0107 w\u0142a\u015bciw\u0105 ocen\u0119 ryzyka. \u00a0Z drugiej strony wszystkie incydenty powinny by\u0107 poddawane ocenie zgodnie z realnym poziomem zagro\u017cenia z uwzgl\u0119dnieniem ca\u0142ej infrastruktury oraz wszystkich aplikacji w danym \u015brodowisku.<\/p>\n Mechanizmy alarmowe mog\u0105 oczywi\u015bcie obejmowa\u0107 takie czynno\u015bci, jak przeniesienie aplikacji do \u015brodowiska off-line lub zatrzymanie wycieku danych w czasie rzeczywistym. Mo\u017ce si\u0119 to dzia\u0107 automatycznie, kiedy poziom zagro\u017ce\u0144 przekroczy dopuszczalny poziom. Sytuacje awaryjne powinny zosta\u0107 od razu skierowane do poprawki, chyba \u017ce istniej\u0105 inne sposoby ograniczenia ekspozycji danych.<\/p>\n Inne \u015brodki<\/strong><\/p>\n Wi\u0119kszo\u015b\u0107 aplikacji internetowych oferuje \u015brodki i po\u015bwiadczenia, kt\u00f3re mog\u0105 przechowywa\u0107 dane u\u017cytkownik\u00f3w w postaci skr\u00f3t\u00f3w oraz zaszyfrowanych danych. Szczeg\u00f3lnie jest to niezb\u0119dne, kiedy mamy do czynienia z baz\u0105 danych lub plikami konfiguracyjnymi. Nale\u017cy przewidzie\u0107 tak\u017ce tak\u0105 mo\u017cliwo\u015b\u0107, kiedy surowe listy ACL mog\u0105 zosta\u0107 u\u017cyte do ochrony po\u015bwiadcze\u0144 u\u017cytkownika. Przedsi\u0119biorstwa powinny tak\u017ce u\u017cywa\u0107 bia\u0142ych list danych \u017c\u0105da\u0144 oraz czarnych list polece\u0144, jakie nie powinny by\u0107 wykonywane w systemie.<\/p>\n Je\u017celi \u017c\u0105dania s\u0105 wykorzystywane do konstruowania zapyta\u0144 SQL, nale\u017cy unika\u0107 luk w zabezpieczeniach, kt\u00f3re pozwol\u0105 hakerom na manipulacj\u0119 zapytaniami oraz ich podmian\u0119. Je\u015bli to mo\u017cliwe, nale\u017cy unika\u0107 stosowania dynamicznych zapyta\u0144, argument\u00f3w w cudzys\u0142owach oraz znak\u00f3w specjalnych. Og\u00f3lnie wszystkie wej\u015bcia do baz danych powinny by\u0107 filtrowane i okre\u015blone poprzez bardzo surowe zasady walidacji.<\/p>\n \u015arodki zgodno\u015bci i korzy\u015bci biznesowe<\/strong><\/p>\n Je\u015bli chodzi o zachowanie zgodno\u015bci, ka\u017cde naruszenie polityki bezpiecze\u0144stwa powinno by\u0107 poddane zbadaniu i powinny zosta\u0107 wyci\u0105gni\u0119te konsekwencje wobec os\u00f3b, kt\u00f3re naruszy\u0142y celowo polityk\u0119 bezpiecze\u0144stwa. Ka\u017cdy dost\u0119p do aplikacji internetowej powinien by\u0107 poddawany ocenie jako wym\u00f3g opracowanej polityki bezpiecze\u0144stwa, chyba \u017ce zosta\u0142 zwolniony z danej polityki bezpiecze\u0144stwa.<\/p>\n Wszystkie wnioski powinny by\u0107 aktualizowane na bie\u017c\u0105co w celu uwzgl\u0119dnienia procesu kontroli bezpiecze\u0144stwa. Wszystkie aplikacje internetowe, kt\u00f3re nie posiadaj\u0105 odpowiedniej kontroli bezpiecze\u0144stwa nie powinny si\u0119 znale\u017a\u0107 w publicznej sieci do czasu, kiedy zostan\u0105 zintegrowane z globaln\u0105 polityk\u0105 bezpiecze\u0144stwa.<\/p>\n Wszystkie te dzia\u0142ania, jakie mog\u0105 zosta\u0107 podj\u0119te, spowoduj\u0105 rzeczywiste korzy\u015bci biznesowe, kt\u00f3re objawi\u0105 si\u0119 brakami przestoju podczas korzystania z aplikacji. Przedsi\u0119biorstwa, kt\u00f3re posiadaj\u0105 naprawd\u0119 bezpieczne aplikacje, mog\u0105 w rzeczywisto\u015bci przyci\u0105gn\u0105\u0107 wi\u0119ksz\u0105 ilo\u015b\u0107 klient\u00f3w.<\/p>\n Dodatkowo, organizacje, kt\u00f3re stworz\u0105 szablony zasad bezpiecze\u0144stwa, odnios\u0105 r\u00f3wnie\u017c korzy\u015bci zwi\u0105zane z zaletami technicznymi, takimi jak zachowanie integralno\u015bci i bezpiecze\u0144stwa danych, niskie koszty rozwoje oraz wysok\u0105 dost\u0119pno\u015b\u0107 aplikacji. Te czynniki mog\u0105 zwi\u0119kszy\u0107 renom\u0119 firmy w bran\u017cy oraz w\u015br\u00f3d klient\u00f3w. W ko\u0144cu, zachowanie sp\u00f3jnej polityki bezpiecze\u0144stwa pozwoli wype\u0142ni\u0107 luk\u0119 pomi\u0119dzy dobrymi praktykami oraz zgodno\u015bci\u0105 mechanizm\u00f3w zabezpiecze\u0144.<\/p>\n