Коли справа доходить до безпеки корпоративного стека, програмні додатки є найслабшою ланкою. в Стан безпеки додатків, 2020Форрестер каже, що більшість зовнішніх атак відбувається або через використання вразливості програмного забезпечення (42%), або через веб-додаток (35%).
Розробники змушені якнайшвидше випускати функції, оскільки програми стають складнішими, а терміни розробки скорочуються. Для досягнення диференційованої та привабливої функціональності програми розробники все більше покладаються на сторонні бібліотеки.
Цей зсув у бік компонентів з відкритим кодом робить безпеку більш складні практики для компаній. Нові фреймворки, такі як контейнери та API, ще більше ускладнюють безпеку додатків.
Оскільки розробники змушені постійно випускати нові функції, організації стикаються з реальним ризиком того, що безпека не встигає встигнути. Безпека може бути досягнута шляхом включення найкращих практик безпеки додатків у життєвий цикл розробки програмного забезпечення та їх впровадження.
Чому тестування веб-безпеки важливе?
Тестування веб-додатків та їх конфігурацій на наявність уразливостей безпеки є метою тестування веб-безпеки. Атаки прикладного рівня (тобто націлені на HTTP-програми) є основними цілями.
Зазвичай веб-додаток надсилає різні типи вводу даних, щоб викликати помилки та викликати несподівану поведінку. У цих так званих «негативних тестах» система перевіряється на непередбачувану поведінку.
Важливо також зазначити, що Тестування веб-безпеки Це не просто тестування функцій безпеки, які реалізовані в програмі (наприклад, аутентифікація та авторизація).
Також необхідно перевірити, чи інші функції (наприклад, бізнес-логіка та перевірка введення та виведення) реалізовані безпечним способом. Метою є безпечний доступ до функцій веб-додатків.
Які існують типи тестів безпеки?
- Динамічний тест безпеки програми (DAST). Для відповідності нормативним оцінкам безпеки цей автоматизований тест безпеки додатків ідеально підходить для внутрішніх програм із низьким рівнем ризику. Поєднання ручного тестування веб-безпеки та DAST є найкращим підходом для програм середнього ризику та критичних програм, які зазнають незначних змін.
- Статичний тест безпеки програми (SAST). Цей підхід до тестування безпеки програми як вручну, так і автоматично. Програму можна протестувати таким чином, не запускаючи її у виробничому середовищі. Крім того, він дозволяє розробникам систематично виявляти та усувати вразливості безпеки програмного забезпечення шляхом сканування вихідного коду.
- Тест на проникнення. Особливо для програм, які зазнають серйозних змін, цей ручний тест безпеки програми ідеально підходить. Оцінки включають бізнес-логіку та тестування на основі супротивників для визначення розширених сценаріїв атак.
- Самозахист додатків під час виконання (RASP). У цьому підході до безпеки програм, що розвивається, використовується ряд технологічних прийомів для інструментування програми таким чином, щоб можна було відстежувати атаки під час їх виконання та, в ідеалі, блокувати в режимі реального часу.
Як тестування безпеки програми зменшує ризик вашої організації?
Більшість атак на веб-додатки
- Техніка SQL-ін'єкції
- Міжсайтовий сценарій (XSS)
- Виконання команд дистанційно
- Обхід шляху
Результати атаки
- Вміст, який обмежено
- Облікові записи, які були зламані
- Установка шкідливого програмного забезпечення
- Втрачений дохід
- Клієнти втрачають довіру
- Репутаційний збиток
- А також багато іншого
Сучасне веб-середовище схильне до широкого кола проблем. На додаток до знання того, як можна використовувати програму, знання потенційних результатів атаки допоможе вашій компанії завчасно усунути вразливі місця та точно перевірити їх.
Пом’якшувальні засоби контролю можуть бути застосовані на ранніх стадіях SDLC після визначення основної причини вразливостей. Крім того, тест безпеки веб-додатків може скористатися знаннями про те, як працюють ці атаки, щоб націлюватися на відомі точки інтересу.
Щоб керувати ризиками вашої фірми, ви повинні розуміти вплив атаки, оскільки її можна використовувати для оцінки загальної серйозності вразливості.
У результаті перевірки безпеки визначення серйозності виявлених проблем може допомогти вам ефективно та ефективно визначити пріоритети зусиль із усунення. Мінімізуйте ризики вашої фірми, починаючи з питань критичної серйозності і переходячи до питань меншого впливу.
Оцінка потенційного впливу кожної програми в бібліотеці додатків вашої фірми перед виявленням проблеми може допомогти визначити пріоритетність тестування безпеки програми.
Якщо тестування веб-безпеки має встановлений список популярних додатків, ми можемо запланувати тестування, щоб спершу орієнтуватись на критичні програми вашої фірми, щоб можна було знизити ризик для вашого бізнесу.
Які функції слід переглянути під час перевірки безпеки веб-додатків?
Під час тестування безпеки веб-додатків слід розглянути декілька функцій, але список не є вичерпним. Ваша організація може піддатися серйозному ризику через неналежне виконання кожного з них.
- Конфігурація програми та сервера- Дефекти можуть бути пов’язані з конфігурацією шифрування, конфігурацією веб-сервера тощо.
- Перевірка введення та обробка помилок- Найпоширеніші вразливості ін’єкції, включаючи ін’єкції SQL та міжсайтові сценарії (XSS), є результатом поганої обробки введення та виводу.
- Аутентифікація та керування сеансами- Уразливості можуть призвести до видавання себе за користувача. Важлива також чітка політика повноважень.
- Авторизація- Перевірка здатності програми запобігати вертикальному та горизонтальному підвищенню привілеїв.
- Бізнес-логіка - Цей тип логіки є важливим для більшості бізнес-додатків.
- логіка на стороні клієнта - Цей тип функцій стає все більш поширеним на сучасних веб-сайтах із важким JavaScript, а також на веб-сайтах, які використовують інші клієнтські технології (наприклад, Silverlight, Flash, Java-аплети).
10 найкращих методів безпеки веб-додатків
Нижче наведено десять найкращих методів безпеки додатків, які ваша організація вже має впровадити.
#1 Відстежуйте свої активи
Якщо ви не знаєте, що маєте, ви не можете захистити це.
Для яких функцій або програм ви використовуєте певні сервери? У яких веб-програмах ви використовуєте компоненти з відкритим кодом?
Ви вважаєте, що не важливо стежити за своїми активами? Дуже важливо пам’ятати, яке програмне забезпечення запущено в кожній програмі – просто запитайте Equifax, який був оштрафований на 700 мільйонів доларів за те, що не захистив дані понад 145 мільйонів клієнтів.
Один із веб-порталів для клієнтів кредитного рейтингового агентства був зламаний після того, як компонент з відкритим кодом Apache Struts не був виправлений. Компанія каже, що не знала, що клієнтський портал використовував уразливий компонент з відкритим кодом.
Чим раніше ви почнете відстежувати свої активи, тим менше головних болів і катастроф у вас буде пізніше. Оскільки організації масштабують свій розвиток, цей процес може здаватися сізіфовим завданням.
Ви також повинні класифікувати свої активи, відзначаючи ті, які мають вирішальне значення для функцій вашого бізнесу, і ті, які є менш важливими. Потім ви можете оцінити загрози та усунути їх пізніше.
#2 Виконайте оцінку загрози
Якщо ви складете список того, що вам потрібно захистити, ви зможете визначити загрози, з якими ви стикаєтеся, і як їх можна пом’якшити.
Як хакери зможуть зламати вашу програму? Які існуючі заходи безпеки у вас є? Які додаткові інструменти потрібні?
Ви повинні відповісти на ці та інші запитання в рамках оцінки загрози.
Однак ви також повинні бути реалістичними щодо рівня безпеки, яким ви можете насолоджуватися. Незалежно від того, наскільки безпечною ви робите свою систему, ви все одно можете зламати її. Крім того, ви повинні бути чесними щодо заходів, які ваша команда може підтримувати з часом.
Ви можете ризикувати, що ваші стандарти та методи безпеки будуть проігноровані, наполягаючи на занадто багато. Поставтеся до безпеки серйозно і не поспішайте.
Використовуйте таку формулу, щоб оцінити свій ризик:
Ризик = ймовірність нападу x вплив атаки.
Ризик також можна розглядати як ймовірність того, що щось станеться в порівнянні з тяжкістю наслідків.
Навіть якщо кит все-таки впаде з неба і розчавить вас, це було б катастрофічним, але навряд чи це станеться.
З іншого боку, укус комара під час походу цілком ймовірний, але навряд чи завдасть значної шкоди, крім кількох сверблячих шишок.
#3 Залишайтеся на вершині свого виправлення
Встановлення останніх патчів на ваші операційні системи? Ви використовуєте стороннє програмне забезпечення? Швидше за все, ви відстаєте, тобто викриті.
Одним із найважливіших кроків, які ви повинні зробити, щоб забезпечити безпеку свого програмного забезпечення, є оновлення програмного забезпечення від комерційного постачальника або спільноти з відкритим кодом.
Коли вразливість виявляється та відповідально повідомляється власникам продукту або проекту, вона публікується на консультаційних сайтах і базах даних, наприклад у WhiteSource Vulnerability Database.
Якщо можливо, слід створити та випустити виправлення до публікації, надаючи користувачам можливість захистити своє програмне забезпечення.
Однак якщо ви не застосуєте виправлення, коли він стане доступним, ви не отримаєте переваги від покращення безпеки.
Якщо ви переживаєте, що оновлення до останньої версії може пошкодити ваш продукт, автоматизовані засоби може дуже допомогти. У будь-який день тижня ви повинні надавати пріоритет оновлення та виправлення як частину найкращих методів безпеки ваших програм.
#4 Керуйте своїми контейнерами
В останні роки популярність контейнерів зросла, оскільки все більше організацій використовують цю технологію завдяки її гнучкості, яка спрощує процес розробки, тестування та розгортання компонентів у різних середовищах протягом усього життєвого циклу розробки програмного забезпечення (SDLC).
Загальновизнано, що контейнери пропонують переваги безпеки, які дають їм перевагу. Крім того, через їх автономне середовище ОС вони сегментовані за дизайном, тим самим знижуючи рівень ризику.
Тим не менш, контейнери продовжують бути вразливими до таких експлойтів, як проривна атака, під час якої ізоляція була порушена. Контейнери також можуть містити вразливість у збереженому в них коді.
Для безпеки конвеєра CI/CD вам слід сканувати на наявність вразливостей від початку до кінця, включно з вашими реєстрами.
На додаток до цих сканувань, найкращі методи безпеки додатків у роботі з контейнерами також включають важливі завдання, такі як підписання власних зображень за допомогою таких інструментів, як Docker Content Trust, якщо ви використовуєте Docker Hub, або Shared Access Signature, якщо ваша команда використовує Microsoft Azure.
№ 5 Розставте пріоритети своїх операцій з відновлення
Останніми роками зросла кількість вразливостей, і ця тенденція не має жодних ознак уповільнення найближчим часом.
Отже, розробники зайняті ремонтом. Для команд, які сподіваються зберегти свої програми в безпеці, залишаючись здоровими, важливо визначити пріоритети.
Оцінка загроз виконується на основі серйозності вразливості (рейтинг CVSS), критичності зараженої програми та низки інших факторів.
Вам потрібно знати, чи насправді вразливість з відкритим кодом впливає на ваш власний код, коли мова йде про вразливості з відкритим кодом.
Неефективне та невисокий ризик, навіть якщо рейтинг CVSS уразливого компонента є критичним, якщо він не отримує дзвінки від вашого продукту.
Розумні стратегії – це такі, які першими визначають найбільш нагальні загрози на основі наявних факторів, а загрози з низьким ризиком залишають на потім.
#6 Шифруйте, Шифруйте, Шифруйте
Топ-10 OWASP включає шифрування даних у стані спокою та передачі протягом багатьох років, що робить його обов’язковою умовою для будь-якого списку найкращих методів безпеки додатків.
Атаки «человік посередині» та інші форми вторгнення можуть виявити конфіденційні дані, якщо ви не заблокуєте свій трафік належним чином.
Коли ти зберігати паролі і ідентифікатори користувачів у вигляді простого тексту, наприклад, ви наражаєте на небезпеку своїх клієнтів.
Переконайтеся, що ви використовуєте SSL з оновленим сертифікатом як частину основного контрольного списку для шифрування. Не залишайте себе позаду, оскільки HTTPS є стандартом. Також рекомендується хешування.
Крім того, ви ніколи не повинні «катати свою власну криптовалюту», як кажуть. Зверніть увагу на продукти безпеки, які підтримується спеціальною командою з досвідом, щоб правильно виконувати роботу.
#7 Керуйте привілеями
Вам не потрібно надавати доступ до всього всім у вашій організації. Програми та дані доступні лише тим, кому вони потрібні, дотримуючись найкращих методів безпеки мережі та найкращих методів безпеки програм.
На це є дві причини. Перше, що вам потрібно зробити, це запобігти хакеру використовувати маркетингові облікові дані для отримання доступу до системи, яка містить інші більш конфіденційні дані, такі як фінансові чи юридичні дані.
Інсайдерські загрози також викликають занепокоєння, будь то ненавмисні – наприклад, втрата ноутбука чи надсилання неправильного вкладення до електронного листа – чи шкідливі.
Принцип найменших привілеїв, який передбачає надання співробітникам лише тих даних, які їм потрібні, коли справа доходить до доступу до даних, може зменшити ваше вплив у порівнянні з відсутністю контролю.
№ 8 Використовуйте автоматизацію для управління вразливими місцями
За останні кілька років безпека їхніх додатків стає все більш важливою для розробників, особливо коли мова йде про такі завдання, як керування вразливими місцями.
Щоб усунути зсув безпеки вліво, команди розробників проводять тестування на ранніх етапах і часто, проводячи якомога більше перевірок безпеки на початку процесу розробки, коли виправити вразливості легше і дешевше.
Щоб керувати громіздким процесом тестування через величезну кількість вразливостей, розробникам потрібні автоматизовані інструменти.
Щоб знайти потенційні вразливості безпеки у вашому власному коді, під час розробки можна використовувати статичне тестування безпеки програми (SAST) і динамічне тестування безпеки додатків (DAST).
Діри в безпеці закриваються за допомогою SAST і DAST, однак запатентований код становить відносно невелику частину вашого загального коду.
У більш ніж 92% усіх сучасних програм компоненти з відкритим кодом становлять 60-80% вашої кодової бази. У вашому контрольному списку безпеки програми має бути пріоритет захисту компонентів із відкритим кодом.
Використовуючи інструменти аналізу складу програмного забезпечення, команди можуть запускати автоматизовані перевірки безпеки та звіти по всьому SDLC, ідентифікуючи кожен компонент із відкритим кодом у своєму середовищі та вказуючи, який із них має відому вразливість, яка становить загрозу безпеці ваших програм.
Ви можете краще керувати своїми вразливими місцями, перемістивши автоматичне тестування на проблеми безпеки з відкритим кодом ліворуч.
№ 9 Тестування на проникнення
Список найкращих методів безпеки додатків був би неповним без згадки про тестування пера, хоча автоматизовані інструменти допомагають уловити переважну більшість проблем безпеки.
Тестування за допомогою ручки та паперу дає змогу тикати та штовхати програму, щоб знайти слабкі місця. Якщо рішучий хакер намагається зламати вашу програму, хороші тестувальники ручок точно знають, які кроки їм потрібно зробити.
Можна найняти хакерські фірми або фрілансерів, які можуть брати участь у програмах винагороди за помилки, як-от BugCrowd і HackerOne. Ваша компанія повинна спонсорувати винагороду за помилки, якщо ви ще цього не зробили.
Якщо ви наймете тестувальників ручок, набагато краще заплатити за них, ніж боротися з наслідками реального порушення.
#10 Будьте обережні з токенами
Незважаючи на те, що це легко захистити, багато розробників не захищають належним чином свої токени для третіх сторін.
Шукаючи популярні веб-сайти розробників, ви можете легко знайти незахищені токени в Інтернеті. Замість того, щоб зберігати деталі маркерів деінде, розробники просто включають їх у свої сховищі з відкритим кодом.
Основна найкраща практика безпеки додатків — це належний захист ваших токенів сторонніх розробників. Ви не повинні залишати придбані вами токени валятися у своєму коді, щоб хтось міг їх взяти.
Найкращі методи безпеки програм як основні методи
Кожен із описаних тут найкращих практик має бути інтегрований у процес безперервного розвитку вашої організації. Програми та дані вашої компанії піддаються ризику, якщо ви не мінімізуєте ризик. Виконайте ці кроки, щоб мінімізувати ризик.
Уникнення помилок, які можуть допустити інші, є одним із способів випередити хакерів, тому вам важче націлюватися на атаки. Ніколи не буде повністю захищеного від злому засобів захисту периметра чи програми.
Однак дотримання цих основних практичних порад може значно допомогти вам, щоб ваша програма не коштувала клопоту для хакерів.
