Wprowadzenie do bezpieczeństwa aplikacji internetowych
Żyjemy teraz w świecie sieci. Każdego dnia w Internecie odbywa się milion transakcji w każdej dziedzinie, takich jak bankowość, szkoły, biznes, najlepsze instytucje świata, centra badawcze. Niezwykle ważne jest, aby przetwarzane dane były bardzo bezpieczne, a komunikacja niezawodna. Stąd też znaczenie zabezpieczenia sieci.
Co to jest bezpieczeństwo aplikacji internetowych?
Bezpieczeństwo aplikacji internetowych to gałąź bezpieczeństwa informacji, która zajmuje się bezpieczeństwem aplikacji internetowych, usług internetowych i stron internetowych. Jest to rodzaj bezpieczeństwa aplikacji, który jest stosowany na poziomie sieci lub Internetu.
Bezpieczeństwo sieci jest ważne, ponieważ aplikacje internetowe są atakowane z powodu złego kodowania lub niewłaściwej dezynfekcji danych wejściowych i wyjściowych aplikacji. Typowymi atakami bezpieczeństwa w Internecie są skrypty typu cross-site scripting (XSS) i SQL Injections.
Oprócz XSS, SQL Injections, innymi typami ataków na bezpieczeństwo sieciowe są: wykonanie dowolnego kodu, ujawnienie ścieżki, uszkodzenie pamięci, zdalne włączenie pliku, przepełnienie bufora, włączenie pliku lokalnego itp. Bezpieczeństwo sieci jest całkowicie oparte na ludziach i procesach. Dlatego niezwykle ważne jest, aby programiści stosowali odpowiednie standardy kodowania i sprawdzanie poprawności pod względem wszelkich zagrożeń bezpieczeństwa sieci przed uruchomieniem witryn.
W rzeczywistości kontrole bezpieczeństwa muszą być przeprowadzane na bardzo wczesnym etapie rozwoju i powinny być stosowane na każdym etapie cyklu życia oprogramowania. Programiści muszą być dobrze przeszkoleni w zakresie cyberbezpieczeństwa i bezpiecznych praktyk kodowania. Jednorazowe testowanie aplikacji zdecydowanie nie jest skuteczne. Ciągła regresja ataków na zabezpieczenia sieciowe musi być wdrażana na każdym etapie.
Standaryzacja bezpieczeństwa w sieci
OWASP (Open Web Application Security Project) to jednostka zajmująca się standardami bezpieczeństwa aplikacji internetowych. Zapewnia pełną dokumentację, narzędzia, techniki i metodologie w dziedzinie bezpieczeństwa aplikacji internetowych. OWASP jest jednym z bezstronnych źródeł informacji o najlepszych praktykach w zakresie bezpieczeństwa aplikacji internetowych.
Najważniejsze zagrożenia bezpieczeństwa w sieci OWASP
Poniżej znajdują się najważniejsze zagrożenia bezpieczeństwa w sieci zgłoszone w OWASP.
Zastrzyk SQL:
Jest to rodzaj ataku iniekcyjnego, który umożliwia wykonywanie złośliwych i niewłaściwych zapytań SQL, które mogłyby kontrolować bazy danych serwera WWW. Atakujący mogą używać instrukcji SQL w celu ominięcia środków bezpieczeństwa aplikacji. Mogą uwierzytelniać lub autoryzować strony lub witryny sieci Web oraz uzyskiwać zawartość baz danych SQL z pominięciem instrukcji SQL. Ten atak może się zdarzyć na stronach, które używają SQL, MYSQL, Oracle itp. Jako baz danych. Jest to najbardziej rozpowszechniony i niebezpieczny atak bezpieczeństwa zgodnie z dokumentacją OWASP 2017.
Skrypty między witrynami (XSS):
Umożliwia to atakującym wstrzykiwanie skryptów po stronie klienta do aplikacji internetowych i stron przeglądanych przez innych użytkowników. Luka w zabezpieczeniach związana ze skryptami krzyżowymi może być wykorzystana do ominięcia zasad takich jak te same zasady pochodzenia. Według stanu na 2007 r. XSS stanowiło 84% wszystkich ataków bezpieczeństwa w sieci.
W zależności od wrażliwości danych XSS może być niewielkim atakiem lub poważnym zagrożeniem dla stron internetowych.
Exploitery składają złośliwe dane do treści dostarczanej do przeglądarki klienta. Gdy dane są dostarczane do klienta, wygląda na to, że połączone dane pochodzą z samego zaufanego serwera i mają wszystkie zestawy uprawnień po stronie klienta. Atakujący może teraz uzyskać wyższy dostęp i uprawnienia do wrażliwej zawartości strony, sesyjnych plików cookie i różnych innych informacji.
Zepsute uwierzytelnianie i zarządzanie sesjami:
Ten atak pozwala przechwycić lub ominąć uwierzytelnianie na stronie internetowej lub w aplikacji.
Jest to raczej słaby standard, za którym podążają twórcy stron internetowych, powodujący takie problemy, jak na przykład:
- Przewidywalne dane logowania.
- Nie chroni prawidłowo poświadczeń logowania użytkownika, gdy są przechowywane.
- Identyfikatory sesji są ujawniane w adresie URL.
- Hasła, identyfikatory sesji nie są wysyłane zaszyfrowanymi adresami URL.
- Wartości sesji nie wygasają po określonym czasie.
Aby zapobiec takim atakom, programista powinien zachować ostrożność przy utrzymywaniu odpowiednich standardów, takich jak ochrona haseł i właściwe szyfrowanie hasła podczas przekazywania, nie ujawnianie identyfikatorów sesji, przekroczenie limitu czasu sesji po określonym czasie, odtwarzanie identyfikatorów sesji po pomyślnym zalogowaniu próba.
Aby naprawić zepsute uwierzytelnianie
- Długość hasła powinna wynosić co najmniej 8 znaków.
- Hasło powinno być złożone, aby użytkownik nie mógł go przewidzieć. Powinno to korzystać z odpowiednich reguł ustawiania hasła, takich jak kombinacje znaków alfanumerycznych, znaków specjalnych i wielkich / małych liter.
- Błędy uwierzytelnienia nigdy nie powinny wskazywać, która część danych uwierzytelniających jest nieprawidłowa. Reakcje na błędy powinny być do pewnego stopnia ogólne. Np .: Niepoprawne poświadczenia zamiast podania nazwy użytkownika lub hasła, które dokładnie są niepoprawne.
Nieprawidłowe konfiguracje bezpieczeństwa:
Jest to jedna ze złych praktyk, które narażają strony internetowe na ataki. Na przykład Konfiguracje serwerów aplikacji zwracają użytkownikom pełny ślad stosu, informując atakujących, gdzie jest usterka, i odpowiednio atakują witryny. Aby zapobiec takim przypadkom, ważne jest wdrożenie silnej architektury aplikacji i okresowe skanowanie zabezpieczeń.
Wniosek
Bardzo ważne jest, aby każda strona internetowa działała zgodnie z odpowiednimi standardami, utrzymywała właściwe techniki kodowania, miała solidną architekturę aplikacji, okresowo uruchamiała skanowanie i starała się w większym stopniu unikać ataków bezpieczeństwa sieci.
Polecane artykuły
Jest to przewodnik na temat bezpieczeństwa aplikacji internetowych. Tutaj omówiliśmy wprowadzenie, standaryzację, najwyższe ryzyko związane z bezpieczeństwem sieci. Możesz także przejrzeć następujące artykuły, aby dowiedzieć się więcej -
- Pytania do wywiadu dotyczącego bezpieczeństwa cybernetycznego
- Pytania do wywiadu programistycznego
- Kariera w tworzeniu stron internetowych
- Co to jest Elasticsearch?
- Co to jest skrypty między witrynami?