Защита веб-приложений

Выполнили:

студенты гр. 310901 и 311801 Высокович Д.В.

Пухова П.Л. Шапорова Д.В.

74% опрошенных считают защиту веб- приложений самым важным делом или ставят ее наравне с другими проблемами в области обеспечения безопасности, с которыми сталкиваются компании.

В последние годы отмечается два тренда: во-первых, атаки злоумышленников имеют исключительно финансовый интерес; по этой причине чаще всего им подвергаются веб- сервисы интернет-банкинга.

Во-вторых, мишенью для хакеров становятся веб-приложения. По оценке Gartner, атаки на веб-приложения составляют около 75% от всего их количества.

Чаще всего атаки возникают вследствие наличия уязвимостей в веб-приложении и могут привести к получению контроля над ним и использованием его в качестве платформы для доступа к бизнес- процессам, внутренней инфраструктуре и критичным данным организации. Взлом веб-приложения, связанного с ключевыми бизнес-процессами, может нанести организации непоправимый вред, вплоть до остановки бизнеса.

Но наиболее опасными, являются атаки на веб- приложения, организованные с помощью инструментов социальной инженерии.

Серьезные ошибки веб-приложений — это оставшиеся уязвимости в программном обеспечении. Причиной таких ошибок могут стать использование слишком больших привилегий, неправильная реализация шифрования, неудача в проверке входных и выходных данных, слабое управление сессиями, неудачное исправление ошибок и проч.

Неправильная работа софта обычно происходит по причине недостаточных практик разработки, где безопасность не является неотъемлемой частью цикла разработки программного обеспечения. Хорошие практики программирования значительно снижают количество уязвимостей, порождаемых ошибками человека.

Способ, которым веб-приложение проектируется и разрабатывается, влияет на его доступность, безопасность и на неприкосновенность данных. Эксперты рекомендуют сервис-провайдерам, разработчикам и поставщикам программного обеспечения, а также компаниям и клиентам, использующим веб-приложения, относить вопросы безопасности к категории наивысшего приоритета, в том числе с точки зрения законодательных и регуляторных норм.

О безопасности веб-приложений специалисты советуют заботиться еще на стадии проектирования, разработки, интеграции — и на протяжении всего жизненного цикла приложения.

Если приложение написано бездумно, то ничто не мешает пользователю написать, например, какой-нибудь хитрый запрос на авторизацию, который всегда будет пропускать злоумышленника: ему даже не потребуется где- то украсть пароль доступа.

Чтобы гарантировать безопасность создаваемого веб- приложения следует помнить об основных принципах проектирования и реализации:

Защита и тестирование защитных функций задаются во время разработки приложения. Наиболее важно определить потенциальные проблемы безопасности и уязвимые места, нуждающиеся в защите.

Использование учетных записей с высокими привилегиями для запуска веб-приложений считается плохим тоном программирования.

Система защиты складывается не только из контрмер. В нее следует еще добавить механизмы для обнаружения атак и внедрить стратегию реагирования.