Apsaugokite aplikacijas nuo šiuolaikinių kibernetinių atakų

Interneto aplikacijos, klientų portalai, elektroninės prekybos sistemos ir API dažnai yra tiesiogiai pasiekiami iš interneto, todėl tampa vienu pagrindinių kibernetinių atakų taikinių.

Net ir tinkamai apsaugota tinklo infrastruktūra negali visiškai apsaugoti aplikacijos, jeigu pačioje aplikacijoje yra pažeidžiamumų, netinkamai valdoma prieiga arba nepakankamai kontroliuojamos vartotojų užklausos.

AVEDUS projektuoja, diegia ir prižiūri aplikacijų saugumo sprendimus, padedančius apsaugoti interneto aplikacijas ir API nuo pažeidžiamumų išnaudojimo, automatizuotų atakų, DDoS ir kitų kibernetinių grėsmių.

Aplikacijų apsaugą integruojame į bendrą organizacijos kibernetinio saugumo architektūrą.

Kas yra aplikacijų saugumas?

Aplikacijų saugumas (Application Security) – technologijų, procesų ir saugumo kontrolės priemonių visuma, skirta apsaugoti aplikacijas, jų vartotojus ir apdorojamus duomenis.

Aplikacijos gali būti atakuojamos skirtingais būdais – išnaudojant programinio kodo pažeidžiamumus, autentifikavimo ar prieigos kontrolės trūkumus, netinkamas konfigūracijas, API saugumo spragas ar automatizuotus užklausų srautus.

Todėl efektyvi aplikacijų apsauga turi veikti keliais lygmenimis:

• kontroliuoti į aplikaciją siunčiamas užklausas;

• aptikti ir blokuoti kenkėjišką srautą;

• apsaugoti aplikacijų API;

• kontroliuoti automatizuotus botų veiksmus;

• mažinti DDoS atakų poveikį;

• identifikuoti aplikacijų pažeidžiamumus;

• stebėti saugumo įvykius ir galimas atakas.

Web Application Firewall – WAF

WAF (Web Application Firewall) yra vienas pagrindinių interneto aplikacijų apsaugos komponentų.

Skirtingai nuo tradicinės tinklo ugniasienės, WAF analizuoja HTTP ir HTTPS užklausas aplikacijos lygmenyje.

Tai leidžia identifikuoti ir blokuoti bandymus išnaudoti aplikacijų pažeidžiamumus.

WAF gali padėti apsaugoti nuo:

• SQL Injection;

• Cross-Site Scripting (XSS);

• kenkėjiškų HTTP užklausų;

• neteisėto failų įkėlimo;

• aplikacijų pažeidžiamumų išnaudojimo;

• automatizuoto pažeidžiamumų skenavimo;

• kitų interneto aplikacijoms skirtų atakų.

Tinkamai sukonfigūruotas WAF suteikia papildomą apsaugos sluoksnį tarp interneto ir aplikacijos.

API saugumas

Šiuolaikinės aplikacijos vis dažniau tarpusavyje komunikuoja naudodamos API.

Per API perduodami duomenys tarp mobiliųjų aplikacijų, interneto portalų, debesijos sistemų, partnerių ir vidinių organizacijos aplikacijų.

Todėl API tampa svarbia organizacijos atakos paviršiaus dalimi.

API saugumo priemonės padeda:

• identifikuoti naudojamas API;

• kontroliuoti prieigą;

• autentifikuoti užklausas;

• analizuoti API srautą;

• aptikti neįprastą naudojimą;

• riboti perteklinį užklausų skaičių;

• apsaugoti nuo žinomų API atakų.

Ypatingas dėmesys turi būti skiriamas API, kurios suteikia prieigą prie jautrių organizacijos ar klientų duomenų.

Apsauga nuo DDoS atakų

DDoS (Distributed Denial of Service) atakos skirtos sutrikdyti aplikacijos ar interneto paslaugos veikimą siunčiant didelį kiekį kenkėjiško tinklo arba aplikacijos lygmens srauto.

Sėkminga ataka gali padaryti interneto svetainę, klientų portalą, elektroninės prekybos sistemą ar kitą kritinę paslaugą nepasiekiamą teisėtiems vartotojams.

DDoS apsauga padeda aptikti neįprastą srautą, atskirti teisėtas užklausas nuo atakos srauto ir sumažinti atakos poveikį organizacijos paslaugoms.

Apsauga gali būti įgyvendinama organizacijos infrastruktūroje, debesijoje arba derinant kelis apsaugos sluoksnius.

Apsauga nuo automatizuotų botų

Ne visas aplikacijų srautas generuojamas žmonių.

Automatizuoti botai gali būti naudojami slaptažodžių tikrinimui, vartotojų paskyrų perėmimui, duomenų rinkimui, automatizuotam pažeidžiamumų skenavimui ir kitoms kenkėjiškoms veikloms.

Bot Management sprendimai padeda atskirti teisėtus vartotojus ir naudingus automatizuotus procesus nuo kenkėjiškų botų.

Tai ypač aktualu elektroninės prekybos, finansinių paslaugų, klientų savitarnos ir kitoms viešai prieinamoms sistemoms.

Vartotojų ir prieigos apsauga

Aplikacijos saugumas priklauso ne tik nuo jos programinio kodo.

Kompromituota vartotojo ar administratoriaus paskyra gali suteikti užpuolikui teisėtai atrodančią prieigą prie sistemos.

Todėl aplikacijų apsaugą svarbu derinti su identiteto ir prieigos valdymo priemonėmis:

• daugiafaktore autentifikacija (MFA);

• Single Sign-On (SSO);

• privilegijuotų prieigų valdymu;

• prieigos teisių kontrole;

• vartotojų veiksmų stebėjimu.

Tai padeda apsaugoti aplikaciją net tada, kai užpuolikas bando pasinaudoti pavogtais prisijungimo duomenimis.

Aplikacijų pažeidžiamumų vertinimas

Nauji aplikacijų pažeidžiamumai gali atsirasti dėl programinio kodo pakeitimų, naudojamų komponentų, bibliotekų, netinkamų konfigūracijų ar naujai aptiktų saugumo spragų.

Todėl aplikacijų saugumą svarbu periodiškai vertinti.

Pažeidžiamumų vertinimas padeda nustatyti potencialias saugumo problemas ir prioritetizuoti jų šalinimą pagal keliamą riziką.

Reguliarus vertinimas leidžia sumažinti laiką, kurį kritinis pažeidžiamumas gali likti nepastebėtas.

Aplikacijų įsilaužimų testavimas

Automatinis pažeidžiamumų skenavimas negali visiškai įvertinti aplikacijos atsparumo realiai atakai.

Įsilaužimų testavimo (Penetration Testing) metu saugumo specialistai kontroliuojamomis sąlygomis analizuoja aplikaciją ir tikrina galimus atakos scenarijus.

Testuojama autentifikacija, prieigos kontrolė, vartotojų įvestis, sesijų valdymas, API ir kiti aplikacijos saugumo mechanizmai.

Tai leidžia nustatyti ne tik pavienius techninius pažeidžiamumus, bet ir jų kombinacijas bei verslo logikos trūkumus, kuriuos galėtų išnaudoti realus užpuolikas.

OWASP principai

Vertinant interneto aplikacijų ir API saugumą svarbu atsižvelgti į plačiai naudojamas OWASP metodikas ir rekomendacijas.

Jos padeda sistemingai vertinti dažniausiai pasitaikančias aplikacijų saugumo rizikas, tokias kaip netinkama prieigos kontrolė, autentifikavimo problemos, injekcijų atakos, saugumo konfigūracijos klaidos ir kiti pažeidžiamumai.

OWASP rekomendacijos gali būti naudojamos tiek projektuojant aplikacijų apsaugą, tiek atliekant jų saugumo vertinimą.

Virtual Patching

Ne kiekvieną aplikacijos pažeidžiamumą galima pašalinti iš karto.

Kartais aplikacijos atnaujinimui reikia programinio kodo pakeitimų, testavimo arba ilgesnio diegimo proceso.

Tokiais atvejais WAF gali būti naudojamas kaip laikinas papildomas apsaugos sluoksnis – sukuriant taisykles, blokuojančias konkretaus pažeidžiamumo išnaudojimą.

Šis metodas vadinamas Virtual Patching.

Jis nepakeičia pažeidžiamumo pašalinimo pačioje aplikacijoje, tačiau gali padėti sumažinti riziką iki tol, kol bus įdiegtas nuolatinis pataisymas.

Aplikacijų saugumo stebėjimas

Aplikacijų apsauga neturėtų baigtis saugumo sprendimų įdiegimu.

WAF, API apsaugos, autentifikavimo ir kitos sistemos generuoja informaciją apie atakas, neįprastą vartotojų elgesį ir kitus saugumo įvykius.

Ši informacija gali būti perduodama į SIEM ir SOC/MDR sistemas bei analizuojama kartu su tinklo, galinių įrenginių ir identiteto saugumo įvykiais.

Tai leidžia matyti platesnį atakos kontekstą ir greičiau reaguoti į galimus incidentus.

Aplikacijų saugumas ir NIS2

Viešai pasiekiamų aplikacijų ir kritinių informacinių sistemų apsauga yra svarbi bendro organizacijos kibernetinių rizikų valdymo dalis.

Pažeidžiamumų valdymas, prieigos kontrolė, saugumo stebėjimas, incidentų aptikimas ir atsparumas paslaugų sutrikdymo atakoms padeda mažinti aplikacijoms kylančią riziką.

Todėl aplikacijų saugumo vertinimas ir apsaugos priemonių stiprinimas gali būti platesnio NIS2 pasirengimo proceso dalis.

Daugiasluoksnė aplikacijų apsauga

Vien WAF ar kita atskira saugumo technologija negali apsaugoti aplikacijos nuo visų galimų grėsmių.

Efektyviausia apsauga sukuriama derinant skirtingus saugumo sluoksnius:

Saugus programinis kodas → Prieigos kontrolė → WAF → API Security → Bot Management → DDoS apsauga → Pažeidžiamumų vertinimas → Įsilaužimų testavimas → Nuolatinė stebėsena.

Toks modelis padeda sumažinti tiek žinomų pažeidžiamumų, tiek sudėtingesnių kibernetinių atakų keliamą riziką.

Kodėl AVEDUS?

Kompleksinis požiūris į aplikacijų saugumą

Vertiname ne tik pačią aplikaciją, bet ir tinklo infrastruktūrą, vartotojų prieigas, API bei kitus su aplikacija susijusius saugumo komponentus.

Nuo apsaugos iki testavimo

Galime derinti WAF, DDoS ir API apsaugos technologijas su pažeidžiamumų vertinimu bei įsilaužimų testavimu.

Integracija su bendra saugumo architektūra

Aplikacijų apsaugos sprendimus integruojame su tinklo saugumo, identiteto valdymo, SIEM ir SOC/MDR sistemomis.

Nuo projektavimo iki priežiūros

AVEDUS gali įvertinti esamą situaciją, suprojektuoti aplikacijų apsaugos architektūrą, įdiegti reikalingas technologijas ir užtikrinti jų tolesnę priežiūrą.

Apsauga pagal realią riziką

Saugumo priemones parenkame pagal aplikacijos paskirtį, joje apdorojamų duomenų svarbą, pasiekiamumą iš interneto ir galimą kibernetinio incidento poveikį organizacijai.