מה הם יישום אינטרנט והגנה על API (WAAP) #

הגנת יישום האינטרנט וה-API (WAAP) היא התפתחות מתקדמת של RELIANOID מוצר אבטחה, חומת האש של יישומי אינטרנט (WAF). ה-WAAP מציע את אותן תכונות כמו WAF מסורתי, אך גם מגן על ממשקי API מלבד יישומי אינטרנט.

עם התפתחות שירותי הענן וה-SaaS (Software as a Service), הצורך בשילוב סביבות שונות הקידם את השימוש ב-API, מה שמספק את הפתרון הטוב ביותר לתזמור כל אותם שירותים. פונקציונליות זו הופכת את ה-WAAP למתקדם יותר מה-WAF, שכן ניתן לפרוס A WAAP בקצה של רשת המכילה שירותים ציבוריים או להגדיר אותו באותה סביבה עם ADC.

אז, זה כאן איפה RELIANOID ADC וה-WAAP מתאחדים לעבוד יחד ולהציע הגנה על יישומי אינטרנט וממשקי API לפני מסירת אפליקציה.

מדוע נדרש WAAP #

מכיוון שניתן לגשת בקלות לממשקי API ויישומי אינטרנט באינטרנט, אבטחה היא דאגה גדולה מכיוון שנחשפים נתונים רגישים. תוקף עלול לגרום לפרצת אבטחה כדי להשיג מידע פרטי. לכן, WAAP הכרחי מכיוון שאבטחת אינטרנט מסורתית לא תטפל במשימות הבאות:

התאמת חתימה אינה מספיקה עבור אבטחת יישומים:
התוכן של יישומי אינטרנט וממשקי API משתנה ללא הרף. אז קשה להשיג את החתימה של התוכן. מכיוון שתוכן וממשקי API שמפרסמים באינטרנט ממשיכים להשתנות, המערכת דורשת למידה מתמדת.

חסימת תנועה בהתבסס על מקור IP או יציאת יעד אינה מספיקה:
חומות אש מסורתיות חוסמות כתובות IP ויציאות, אך מידע זה מוצפן בדרך כלל. מנגנון לפענוח, ניתוח התוכן והצפנה מחדש הוא חיוני. אנו משתמשים במנגנון TLS, כך שה-WAAP יכול להציע רמה עמוקה יותר של אבטחה.

תעבורת HTTP(S) היא כיום הנפוצה ביותר והיא יכולה להציע מורכבות בניתוח: רוב תעבורת האינטרנט מופנית אל פרוטוקול Layer 7 HTTP(S) של מודל OSI, ומציעה מורכבות בהתנהגות פרוטוקול ה-HTTP שהוגדר בשנות ה-80 לפרוטוקולים מודרניים המשמשים כיום. זה מחייב את פתרון האבטחה לא רק להשתמש במנגנון IPS או IDS אלא גם להיות מסוגל להגן מפני התקפות על השכבה העליונה במודל OSI, פרוטוקולי שכבה 7 כמו HTTP ו-HTTPS.

אילו תכונות WAAP יכול להציע ש-WAF מסורתי לא יכול #

ה-WAAP מציע יכולות אדירות ש-WAF מסורתי לא יכול להציע:

אוטומציה ולמידה: ה-WAAP הוא אלמנט פעיל המשולב בתוך ADC. תכונת אבטחה זו מקבלת מידע ולומדת כל הזמן באמצעות מנגנונים כמו זיהוי DoS, זיהוי בוטים, הגנה על פרוטוקולים ואכיפה, בין היתר. מנוע ה-WAAP דורש ערוץ לקליטת נתוני קלט, שבו מנוע ה-WAAP מקבל כל הזמן מידע חדש ומשווה את המידע שהתקבל לנתונים שעובדו ונבדקו.

ממשקי API ומיקרו-שירותים מאובטחים: על בסיס יומי, מהנדסים בונים ממשקי API ומיקרו-שירותים כדי להציע שירותים ציבוריים. WAAP חייב להגן על נקודות קצה אלו, תוך התחשבות במידע החשוף.

איך Relianoid עובד כ-WAAP #

RELIANOID ADC כולל מודול Cybersecurity הנקרא IPDS (מערכת למניעת חדירות וזיהוי). מודול זה מציע יכולות WAAP, אוטומציה ולמידה עבור WEBs וממשקי API. Relianoid כוללת חבילה בשם relianoid-ipds, וחבילה זו מתעדכנת מדי יום. לחבילה זו יש יותר מ-4 מנגנונים ליישומי אינטרנט והגנה על API. המאפיינים שלו הם:

חוקי רשימת חסימה #

רשימות חסימה הן חלק ממנגנון אבטחה לקיבוץ תעבורה על סמך מיקום גיאוגרפי ומקורות שונים, כמתואר להלן:

גיאוגרפיה_*: רשימות חסימות אלה כוללות כתובות IP ורשתות המבוססות על מדינות.
TOR_צמתים: רשימת חסימות זו מתקבלת מפרויקט TOR. כאן נוכל למצוא את כתובות ה-IP המקור בהן מתפרסמת תעבורת TOR באינטרנט.
webexploit: חברי רשימת המקורות זוהו כמנצלי אינטרנט. תוקפים אלה ניסו לבצע מספר בקשות נגד שרתי אינטרנט כדי למצוא נקודות תורפה.
תוכנות ריגול: המקור(ים) הכלולים הוא רשימה של טווחי כתובות IP של תוכנות ריגול ותוכנות פרסום זדוניות.
פרוקסי: מכיל TOR ופרוקסי פתוחים אחרים.
mail_spmmer: המקור הכלול הוא רשימה המבוססת על כתובות IP שזוהו שולחות דואר זבל.
רעים_עמיתים: המקור הנכלל הוא רשימה המבוססת על דיווחים על מעשים רעים ב-p2p.
CIArmy: המקורות הכלולים כאן מוצעים על ידי פרויקט CIArmy. פרויקט זה מספק את מקור הנתונים המתקבל על ידי ניתוח תעבורה על סמך קבוצת זקיפים ברחבי האינטרנט.
בוגון: המקור שנכלל כאן טוען שהוא מאזור של שטח כתובות ה-IP השמור אך עדיין לא הוקצה או מואצל על ידי האינטרנט.

חוקי DOS #

הפחתת מניעת שירות היא מערכת כללים שנועדה להגן או לצמצם את ההשפעה של התקפות על שירות שהופכת אותו לבלתי שמיש עקב כמויות עצומות של בקשות לא לגיטימיות. RELIANOID מנוע IPDS כולל טכניקות שונות לביצוע הגנת DoS ליישומי אינטרנט וממשקי API.

כללים אלה תוארו להלן:

דגלי TCP מזויפים:
בכל תעבורת TCP, מנות ה-TCP עוקבות אחר זרימה ידועה. התקפת BOGUS TCP היא התקפת TCP שבה זרימת ה-TCP אינה עוקבת אחר נתיב TCP צפוי. לדוגמה, החבילה עשויה לעקוב אחר נתיב SYN-FIN שהוא בלתי צפוי, במקום נתיב SYN-ACK. RELIANOID מנטר ושולט על זרימת TCP. אם מתקבלת חבילה בלתי צפויה, RELIANOID יפיל את זה.

מגבלת חיבור כוללת לכל IP מקור:
RELIANOID מחיל מגבלת מקור המבוססת על מספר הבקשות לשנייה, וכאשר מגיעים למגבלה לכל מקור IP, RELIANOID יוריד את החבילות הנכנסות.

הגבל חבילת RST לשנייה:
זוהי מתקפת DoS נפוצה שבה התוקף מנסה לפתוח שקע TCP, וברגע שמתקבלת חבילת התגובה של TCP, התוקף שולח חבילת TCP RST למארח.

מגבלת חיבור לשנייה:
RELIANOID מחיל מגבלת יעד המבוססת על מספר הבקשות לשנייה. אם הגעת למגבלה לכל כתובת IP של יעד, RELIANOID יוריד את החבילות הנכנסות.

חוקי RBL #

רשימת חורים שחורים בזמן אמת היא מערכת אבטחה המשמשת את שרתי הדואר להגנה מפני שולחי דואר זבל. אם שרת הדואר מקבל חיבור, הוא לוכד את ה-IP המקור ומנסה לפתור אותו מול שרתי DNS ידועים. אם רזולוציית ה-DNS עובדת, כתובת ה-IP המקור תזוהה כתוקף.

RELIANOID פיתחה את מנגנון האבטחה הזה המאפשר ללכוד כל מקור IP בזרימה מסוימת ולנסות לפתור את ה-IP המקור נגד אזור DNS. למטרה זו, נבחר אוסף של כמה מתחומי ה-RBL החזקים ביותר.

חוקי WAF #

RELIANOID בודק תעבורת HTTP(S) בשתי דרכים:

1 - שימוש בכללים מוגדרים מראש המבוססים על ערכות כללים של OWASP (Open Web Application Security Project). ערכי החוקים הכלולים ב RELIANOID 6 מבוססים על OWASP Core Rule Set גרסה 4. כללים אלה מתעדכנים מדי יום. אם יתרחש שינוי כלשהו בערכת הכללים של OWASP, עדכון חבילת ה-IPDS הבא יכלול את השינויים.

2 - שימוש בכללים שהתקבלו מספקי צד שלישי או בכללים מותאמים אישית שתוכננו על ידך, הלקוח שלנו. RELIANOID משתמש בתמיכה במנוע ModSecurity כדי לקבוע כללים של צד שלישי או ליצור כללים משלך המבוססים על שפת ה-HTTP של מנתח.

כברירת מחדל, RELIANOID IPDS כולל מנות אבטחה נגד ההתקפות הבאות:

הזרקת SQL (SQLi)
סקריפטים חוצה אתרים (XSS)
הכללת קבצים מקומיים (LFI)
הכללת קבצים מרחוק (RFI)
הזרקת קוד PHP/Java/Ruby/Perl
הלם קרב
הזרקת מעטפת יוניקס
קיבוע מושב
זיהוי סקריפטים/סורקים/בוטים

ערכות החוקים שנמצאו ב RELIANOID 6 כלול:

REQUEST-905-COMMON-EXCEPTIONS
כללים אלה משמשים כמנגנוני חריגים להסרת תוצאות שווא נפוצות שעלולות להיתקל בהן.
בקשה-911-שיטה-אכיפה
שיטות בקשה מותרות.
REQUEST-913-SCANNER-DETECTION
בודק סורקים כמו סורקים, בוטים, סקריפטים וכו'.
REQUEST-920-פרוטוקול-אכיפה
מאמת בקשות HTTP ומבטל מספר רב של התקפות שכבת יישומים.
REQUEST-921-PROTOCOL-ATTACK
בודק לאיתור התקפות פרוטוקול.
REQUEST-930-APPLICATION-ATTACK-LFI
בודק עבור התקפות יישומים באמצעות Local File Inclusion (LFI).
REQUEST-931-APPLICATION-ATTACK-RFI
בודק עבור התקפות יישומים באמצעות Remote File Inclusion (RFI).
REQUEST-932-APPLICATION-ATTACK-RCE
בודק עבור התקפות יישומים באמצעות ביצוע קוד מרחוק (RCE).
REQUEST-933-APPLICATION-ATTACK-PHP
בודק עבור התקפות יישומים באמצעות PHP.
REQUEST-934-APPLICATION-ATTACK-GENERIC
בדוק אם יש התקפות יישומים באמצעות Node.js, Ruby ו-Perl.
REQUEST-941-APPLICATION-ATTACK-XSS
בודק עבור התקפות יישומים באמצעות XSS.
REQUEST-942-APPLICATION-ATTACK-SQLI
בודק עבור התקפות יישומים באמצעות SQL Injection.
REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION
בודק עבור התקפות יישומים באמצעות קיבוע הפעלה.
REQUEST-944-APPLICATION-ATTACK-JAVA.
בודק עבור התקפות יישומים באמצעות Java.

מנוע ה-IPDS הוא מנגנון אינטליגנציה של איומים עבור יישומי אינטרנט והגנת API. הוא מתעדכן מדי יום באמצעות חבילת relianoid-ipds, שפועלת כליבה עבור המנוע, ושומרת על מנוע זה מעודכן עם RELIANOID כללים ואלו המותאמים אישית על ידי הלקוח.

ערכת חוקי הליבה של relianoid-ipds משתמשת במנגנונים שונים ליצירת כללי אבטחה אלה, כמו חציית נתונים של צד שלישי, ניתוח יומני זקיף או ניתוח Big-Data מול מידע פרטי. אם אתה מזהה כי RELIANOID מערכת הליבה של IPDS כוללת כמה כתובות IP של מקור או כללים כתוצאות שגויות, צור איתנו קשר, ונשמח לתקן את הבעיה בהקדם האפשרי.