Защита Web-приложений. Учебное пособие

1602090000-15

УДК 004.056.53

З

Без объявл.

ББК З973.2-018я7

ОК2(03) – 2020

всевозможные проблемы.

На

данном

этапе необходимо

понять, что данные вашего приложения или пользователей,

работающих с ним, - это самый важный ресурс, который

необходимо

защищать.

Поэтому

в

центре

внимания

безопасности не хакеры, приложения, сети или что-то еще, но

в центре

внимания– данные.

Ваше

приложение

будет

Взаимодействие с данными напрямую зависит от среды

приложения.

Обеспечение

безопасности

ваших

данных

означает понимание

среды

приложения, следовательнои,

угроз для данных, которыми управляет приложение.

Целью

программного

обеспечения

являетс

взаимодействие с данными. Тем не менее, само программное

обеспечение

является

своего

рода

тоже

.

данным

Фактически,

данные

поступают во

многих

формах

и

их

влияние гораздо шире, чем вы

обычно

думаете.

Благодаря

«Интернету

вещей», данные

теперь

могут

иметь

как

абстрактные, так и физические эффекты, которые никто не

мог представить даже несколько лет назад. Хакер, получив

доступ к нужному приложению,

может, например, повредить

шпионить за вами черезweb-камеру, это лишь несколько

примеров.

Сейчас многие используют такое понятие какSoftware

Security

Assurance

(SSA)

( обеспечение

безопасности

программного обеспечения). Суть SSA заключается в том, что

программное обеспечение нуждается в каком-либо типе

регулирования, чтобы гарантировать, что оно не приведет к

потере, неточности, изменению, недоступности

или

неправильному использованию данных и ресурсов, которые

оно использует, контролирует и защищает. Это требование

появляется как частьSSA. В настоящее времяSSA

не

является

стандартом. Это

концепция, которую

многие

организации

начинают

документировать

для

своих

приложений. Вы можете увидеть, как SSA влияет на многие

организации,

такие

как Oracle

и Microsoft,

просмотрев

их

онлайн-документацию по SSA. Фактически, многие крупные

организации в настоящее время имеют определенную форму

SSA для своих программных продуктов. Более подробно мы

план

безопасности. Вам нужно получить представление о

том,

что нужно проверить, и представленный далее список

приложению. Учитывая

это, вот

список

наиболее

распространенных угроз, с которыми вы можете столкнуться

при Web-разработке.

Переполнение

буфера (Buffer

overflow):

результате

данные, не

попавшие

в

буфер, теряются.

Некоторые

формы

переполнения

буфера

позволяют

злоумышленнику

выполнять,

казалось

бы, невозможные

задачи, потому что в буферной памяти может содержаться

исполняемый код. Лучший способ преодолеть эту проблему –

выполнить проверку диапазона и размера любых данных,

входных

или

выходных, которые

обрабатывает

ваше

приложение.

Внедрение

кода (Code

injection):

злоумышленник

добавляет код в поток данных, проходящий между сервером и

клиентом (например, браузером) способом

атаки «человек

посередине». Цель

атаки

часто рассматривает добавленный

режиме, готовый

вызвать

всевозможные

проблемы

для

вашего приложения. Хороший способ преодолеть эту атаку-

убедиться,

что

вы

используете

зашифрованные

потоки

данных, протокол HTTPS и

проверку кода(когда это

возможно).

Также

можно

воспользоваться

обеспечением

механизма обратной связи с клиентом. Внедрение кода

происходит чаще, чем вы думаете, даже ваш провайдер может

внедрить JavaScript-код для отображения рекламы у вас в

браузере.

Межсайтовый

скриптинг (XSS- Cross-site

scripting):

злоумышленник внедряет JavaScript или другой исполняемый

код в поток вывода вашего приложения. Получатель видит

ваше приложение как источник заражения. В большинстве

случаев вам бы не хотелось, чтобы пользователи могли

отправлять

данные

напрямую

друг

другу

через

ваше

приложение без строгой проверки. Модерируемый формат

для приложений,

таких как

блоги,

является

обязательным

условием,

чтобы

гарантировать,

что ваше

приложение

не

будет

пересылать

вирусы

или что-то еще хуже вместе,

с

казалось бы, полезными данными.

Загрузка

файлов (File uploads): каждая

загрузка файла,

даже

, та

которая

кажется

безобидной, должна

восприниматься с подозрением. Хакеры иногда загружают

бэкдоры (backdoor— дефект алгоритма, который намеренно

встраивается

в

него

и

позволяет

несанкционированный доступ к данным или удалённому

управлению

приложением,

операционной

системой

и

компьютером в целом), используя возможности загрузки

файлов вашего сервера, поэтому

файл

может

содержать

вирус. Если возможно, запретите загрузку файлов на ваш

сервер. Конечно, не

всегда

возможно

обеспечить

такой

уровень безопасности, поэтому вам нужно разрешить только

определенные типы файлов, а затем сканировать файл на

наличие

проблем.

Аутентификация

файла

в

максимально

возможной

степени

всегда

хорошая .

идеяНапример,

некоторые файлы, в начале содержат подпись, которую вы

можете

использовать

для

проверки

подлинности

.файла

Не полагайтесь только на исключение расширений файлов-

хакеры часто делают один файл похожим на другой , тип

чтобы обойти защиту сервера.

Жестко

закодированная

аутентификация(Hardcoded

authentication):

разработчики

часто

помещают

информацию

аутентификации в файлы инициализации приложения в целях

тестирования.

Важно

удалить

эти

же

запрограммированные записи аутентификации и вместо этого

полагаться на централизованное хранилище данных для

получения

информации

о

безопасности. Нахождение

хранилища

данных

в

безопасном

месте

вне

, сервера

используемого

для Web-приложений, необходимо

для того,

чтобы хакеры не могли легко получить доступ к учетным

данным, используемым для доступа к приложению. Если вам

нужны файлы инициализации для приложения, убедитесь, что

эти

файлы

находятся

за

пределами

каталогаwebroot

может обнаружить

скрытые

или запрещенные

файлы и

каталоги. Они

могут

содержать

всю

информацию,

webroot в

местах,

которые операционная

система

может

напрямую контролировать.

Отсутствующая

или

невернаяаутентификация

(Missing or

incorrect

authentication):

важно

знать, с

кем

вы

имеете дело, особенно при работе с конфиденциальными

данными.

Многие

Web-приложения

используют

общие

учетные записи для выполнения некоторых задач, при этом

невозможно узнать, кто получил доступ к учетной записи.

Избегайте

использования

гостевых

учетных

записей для

любых

целей

и

назначьте

каждому

пользовател

incorrect

authorization):

даже если

вы знаете человека, с

которым

имеете

дело, важно

предоставлять

только

Внедрение команд операционной системы(Operating

system command injection): злоумышленник изменяет команду

операционной

системы,

которую

ваше

приложение

использует

для

выполнения определенных задач. Скорее

всего, ваше Web-приложение не должно использовать вызовы

операционной

системы. Однако

если

вам

абсолютно

необходимо

выполнять

вызовы

операционной

системы,

убедитесь, что приложение работает в песочнице(sandbox —

специально выделенная среда для безопасного исполнения

компьютерных программ).

Управление

параметрами (Parameter

manipulation):

хакеры

могут

экспериментировать

с

параметрами,

переданными

как

часть

заголовка

запроса

URLили.

связанные с этой атакой.

Дистанционное

присоединение кода (Remote

code

inclusion): большинство Web-приложений сегодня полагаются

на включенные библиотеки, фреймворки и API. Во

многих

случаях оператор include содержит относительный путь или

использует переменную, содержащую жестко заданный путь,

когда это возможно, жестко закодированные полные пути,

хотя

это

и

усложнит

дальнейшую

поддержку

код

приложения.

Угон

сессии (Session hijacking): при входе

наWeb-

сервер, он создает пользователю уникальный сеанс. Угонщик

сеанса подключается к сеансу и перехватывает данные,

передаваемые между пользователем и сервером. Три самых

распространенных места, где хакеры ищут информацию о

сессиях,

используемую

для

захвата

сеанса: cookies,

перезапись URL и скрытые поля. Сохраняя зашифрованную

информацию о сеансе, вы можете снизить риск ее перехвата.

Например, убедитесь, что вы используете протоколHTTPS

для входа в систему. Вы также должны избегать таких вещей,

как предсказуемые идентификаторы сеансов.

SQL инъекция (SQL injection): злоумышленник изменяет

запрос, который ваше приложение создает в результате

пользовательского или другого ввода. Во многих случаях

приложение запрашивает входные данные запроса, но вместо

этого получает элементыSQL. Другие формы атакиSQL

инъекций

включают

использование«escape»

или

других

неожиданных символов или последовательностей символов.

Хороший способ избежать атак с использованиемSQL

инъекций - избегать динамически генерируемых запросов.

На

первый

взгляд

может

показаться, что

мы

рассмотрели множество различных угроз, но

если

вы

продолжите искать в Интернете, вы можете легко утроить

размер этого списка даже не начав разбираться с , темкак

хакер

может

навредить

вашему

приложению. Но,

не

беспокойтесь,

в

большинстве

случаев

исправления

заканчиваются здравым смыслом, и одно исправление может

решить

более одной проблемы. Например,

просмотрите

список еще раз, и вы обнаружите, что простое использование

HTTPS решает ряд этих проблем.

1.2. Определение требований к приложению

Первым

шагом в

реализации

вашего

приложения

является определение требований к нему. Эти требования

помогают

вам

определить

текущее

состояние

вашего

программного обеспечения,

проблемы, которые

требуют

решения, и серьезность этих проблем. После определения

проблем вы можете определить процесс их исправления и

безопасности

для

данных, классифицируйте

их, чтобы

сначала устранить наиболее опасные.

8. Обучите

руководство,

пользователей

и

разработчиков

правильным

методам

обеспечени

безопасности приложений.