Обеспечение безопасности web приложений

®

IBM Software Group

Обеспечение безопасности
web приложений
Дмитрий Лапыгин
технический специалист по продуктам IBM Rational, IBM EE/A
email: dmitry_lapygin@ru.ibm.com

© 2008 IBM Corporation

IBM Software Group | Rational software

Содержание

•Проблемы в области
тестирования веб-приложений
•Обзор самых распространенных
атак
•Последовательность работы
AppScan
•Возможности инструмента


Последние случаи атак
quot;Аэрофлотquot; прекратил он-лайн продажи авиабилетов из-за
хакерской атаки
ОАО quot;Аэрофлот - российские авиалинииquot; не принимает к оплате
через сайт банковские карты всех банков из-за хакерской атаки.
26 октября 2008 Cпециалисты занимаются решением данной проблемы и в
течение 1-2 дней покупка билетов при помощи банковских карт
через сайт будет доступна.
Неизвестные хакеры 7 февраля воспользовались
уязвимостью на американском сайте quot;Лаборатории
Касперскогоquot; и опубликовали список таблиц баз данных
7 февраля 2009 ресурса, якобы содержащих информацию о пользователях,
кодах активации, найденных в продуктах ошибках, а также
интернет-магазине.

РИА Новости. Официальный сайт одной из крупнейших
российских ежедневных общественно-политических газет -
quot;Коммерсантаquot; - уже несколько дней подвергается хакерским
16 марта 2009 атакам, сообщил РИА Новости в понедельник источник в издании.
Сайт газеты в течение нескольких дней недоступен для просмотра
с внешних источников.


Высокоуровневая архитектура веб-
приложения Здесь
Здесь хранятся
установлено важные
приложение данные

Internet
Internet

Firewall

Клиент
(Browser) Базы данных
SSL App Server
(Presentation)
(Бизнес логика)

Защищенный
транспорт Защищенная сеть Уровень данных
Middle Tier


Безопасность приложений
Ландшафт информационной
безопасности
Rational AppScan
Клиентские
Транспорт Сеть Веб-приложения
станции

Антивирусная Шифрование Брандмауэры /
защита (SSL) Продвинутые
роутеры

Сервера Внутренний
Firewall
приложений сервер

Базы
Веб сервера данных


Миф: “Наш веб-сайт неуязвим”

Мы используем
Мы используем
брандмауэры
брандмауэры Мы проверяем его раз в
Мы проверяем его раз в
(firewall)
(firewall) квартал ручным
квартал ручным
тестированием
тестированием

Мы используем сканеры
Мы используем сканеры
сетевой уязвимости
сетевой уязвимости


Реальность: Безопасность и затраты

Безопасность Затраты

% of Attacks %$
Веб- 10%
приложения

75% 90%

Сервера
25%

75% всех атак приходится на уровень веб-
приложений

2/3 всех веб-приложений уязвимы
Sources: Gartner, Watchfire


Тестирование безопасности в рамках
жизненного цикла разработки
Жизненный цикл
Разработка Сборка QA Безопасность Операции
Позвольте
специалистам по
Разработчики Безопасности
эффективно
доносить
необходимые
исправления
разработчикам

Разработчики

Убедитесь, что
уязвимости
исправлены перед
Обеспечение Разработчиков и установкой
Разработчики Тестировщиков экспертизой по приложений в
обнаружению и испралению промышленное
уязвимостей использование


•Проблемы в области тестирования
веб-приложений
•Обзор самых
распространенных атак
AppScan


XSS процесс

Evil.org

5) Evil.org использует украденную
1) Ссылка на bank.com информацию по сессии пользователя
посылается пользователю для авторизации на сайте
E-mail или HTTP
4) Скрипт посылает пользовательскую
информацию без уведомления пользователя

Пользователь bank.com
2) Пользователь посылает скрипт встроенный как данные

3) Скрипт/данные возвращаются выполненные браузером


Использование XSS

Если Вы запустите мой JavaScript, Я могу…
Украсть информацию (cookies) для веб-домена,
который вы просматриваете
Отслеживать все ваши действия в браузере с
момента запуска скрипта
Переправлять Вас на мой мошеннический сайт
Полностью модифицировать содержание страниц,
которые вы просматриваете в этом домене
…
XSS это наиболее используемая уязвимость
сегодня


SQL-инъекции

Всавка SQL команд в данные, вводимые
пользователем:
Получить данные о продукте по id:
Select * from products where
id=‘$REQUEST[“id”]’;
Взлом: послать параметер id со значением ‘ or
‘1’=‘1
В результате будет выполнен SQL запрос:
Select * from products where id=‘’ or ‘1’=‘1’
Все продукты будут выбраны


•Проблемы в области тестирования
веб-приложений
•Обзор самых распространенных
атак
AppScan


Как работает Rational AppScan
• Подход к приложению как к “черному ящику”
• Обследование веб приложения и построение модели сайта
• Определить векторы атак основываясь на выбранной политике
тестирования
• Тестирование посредством посылки модифицированных HTTP запросов
приложению и проверка HTTP ответов в соответствии с правилами
проверки Веб приложение

HTTP Запрос

Приложение

База данных
Веб
HTTP Ответ Сервер


Проверяемые уровни безопасности

Rational AppScan
Web Services

Web Applications

Third-party Components

Web Server Configuration

Web Server

Database
ISS

Applications
Operating
System
Network


Последовательность работы AppScan
1. Выбрать шаблон сканирования

2. Конфигурация быстрого сканирования (мастер)
а) Ввести стартовый URL
б) Выполнить ручной вход
в) (Опционально) Обзор тестовых политик

3. Запустить Scan Expert

4. Обзор предложенных изменений конфигурации и применить выборочно

5. Запустить автоматическое сканирование (Automatic Scan)

6. Проверить результаты и (если потребуется)
а) Обследовать дополнительные ссылки вручную
б) Распечатать отчеты
в) Обзор задач по исправлению


Возможности Rational AppScan
• Автоматизированное сканирование
и тестирование web-приложений на
типовые уязвимости
• Сканирование широкого спектра
web-приложений, включая сервисы, Security Privacy Quality

выполнение и разбор Java-Script
• Мощные средства исправления Standards Compliance

1 2 3
уязвимостей, включая список Scan
Scan Analyze
Analyze Report
Report
Detailed, Actionable
действий для закрытия Detailed, Actionable
Information
Information

обнаруженных уязвимостей
• Интеграция со средствами
тестирования, совместное
расписание и отчетность Web-приложения –
• Более 40 готовых отчетов на основная цель атак!
соответствие требованиям
безопасности


Фаза обследования

Построение
дерева
приложения

Количество
выполненных/
сгенерированных
тестов


Фаза обследования – советы по
оптимизации сканирования

Советы по
оптимизации
сканирования


Фаза тестирования

Найденные


Информация об уязвимостях

Описание

Обучающее
видео,
описывающее
уязвимость


Рекомендации по устранению


Тестовые HTTP запросответ

Изменение к
обычному
запросу


Задачи по устранению уязвимостей

Интеграция
с ClearQuest
для трекинга
дефектов


Генерация отчетов


Полезные ссылки

Видео презентация
http://www.ibm.com/developerworks/ru/events/appscan_video/register.html
Здесь можно скачать пробную версию Rational AppScan
http://www.ibm.com/developerworks/downloads/r/appscan/standarded.html?
S_TACT=105AGX28&S_CMP=DLMAIN
Форум
http://www.ibm.com/developerworks/forums/forum.jspa?forumID=1320


Дополнительная информация:
• IBM Rational software • Architecture management
• IBM Rational Software Delivery Platform • Rational trial downloads
• Process and portfolio management • Leading Innovation Website
• Change and release management • IBM Rational TV
• Quality management • IBM Rational Business Partners
© Copyright IBM Corporation 2007. All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any
kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor
shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of
IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and/or
capabilities referenced in these materials may change at any time at IBM’s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product
or feature availability in any way. IBM, the IBM logo, the on-demand business logo, Rational, the Rational logo, and other IBM products and services are trademarks of the International Business
Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others.

Обеспечение безопасности web приложений

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie Обеспечение безопасности web приложений

Ähnlich wie Обеспечение безопасности web приложений (20)

Mehr von SQALab

Mehr von SQALab (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (20)

Обеспечение безопасности web приложений