Wat zijn een WEB-applicatie en API-beveiliging (WAAP)? #
De webapplicatie en API-beveiliging (WAAP) is een progressieve evolutie van de RELIANOID beveiligingsproduct, de Web Application Firewall (WAF). De WAAP biedt dezelfde functies als een traditionele WAF, maar beschermt naast webapplicaties ook API's.
Met de evolutie van cloudservices en SaaS (Software as a Service) heeft de noodzaak om verschillende omgevingen te integreren het gebruik van API's bevorderd, wat de beste oplossing biedt voor het orkestreren van al deze services. Deze functionaliteit maakt WAAP geavanceerder dan WAF, omdat men een WAAP kan implementeren aan de rand van een netwerk met openbare services of het in dezelfde omgeving kan configureren met een ADC.
Het is dus hier waar de RELIANOID ADC en WAAP bundelen hun krachten en bieden bescherming voor webapplicaties en API's vóór de levering van een applicatie.
Waarom een WAAP nodig is #
Omdat API's en webapplicaties gemakkelijk via internet toegankelijk zijn, is beveiliging een groot probleem, omdat gevoelige gegevens daardoor blootstaan. Een aanvaller kan een beveiligingslek veroorzaken om persoonlijke informatie te verkrijgen. Een WAAP is daarom noodzakelijk, omdat traditionele webbeveiliging de volgende taken niet aankan:
Het matchen van handtekeningen is niet voldoende voor de beveiliging van applicaties:
De inhoud van webapplicaties en API's verandert voortdurend. De handtekening van de inhoud is daarom moeilijk te verkrijgen. Omdat gepubliceerde inhoud en API's op het web voortdurend veranderen, moet het systeem voortdurend leren.
Het blokkeren van verkeer op basis van het bron-IP-adres of de bestemmingspoort is niet voldoende:
Traditionele firewalls blokkeren IP's en poorten, maar deze informatie is meestal versleuteld. Een mechanisme om de inhoud te ontsleutelen, analyseren en opnieuw te versleutelen is essentieel. Wij gebruiken het TLS-mechanisme, zodat de WAAP een dieper beveiligingsniveau kan bieden.
HTTP(S)-verkeer wordt momenteel het meest gebruikt en kan leiden tot complexe analyses: het meeste webverkeer wordt geleid naar het Layer 7-protocol HTTP(S) van het OSI-model, wat leidt tot complexe gedragspatronen tussen het HTTP-protocol, dat in de jaren 80 werd gedefinieerd, en de moderne protocollen die vandaag de dag worden gebruikt. Dit vereist dat de beveiligingsoplossing niet alleen het IPS- of IDS-mechanisme gebruikt, maar ook bescherming biedt tegen aanvallen op de hogere laag in het OSI-model, Layer 7-protocollen zoals HTTP en HTTPS.
Welke functies kan een WAAP bieden die een traditionele WAF niet kan? #
De WAAP biedt geweldige mogelijkheden die een traditionele WAF niet kan bieden:
Automatisering en leren: De WAAP is een dynamisch element dat is geïntegreerd in een ADC. Deze beveiligingsfunctie ontvangt informatie en leert voortdurend door middel van mechanismen zoals DoS-detectie, botdetectie, protocolbescherming en -handhaving. De WAAP-engine heeft een kanaal nodig voor het ontvangen van invoergegevens, waar de engine continu nieuwe informatie ontvangt en deze vergelijkt met de verwerkte en gecontroleerde gegevens.
Beveiligde API's en microservices: Dagelijks bouwen engineers API's en microservices om publieke diensten aan te bieden. De WAAP moet deze eindpunten beschermen, rekening houdend met de blootgestelde informatie.
Hoe Relianoid werkt als WAAP #
RELIANOID ADC bevat een cybersecuritymodule genaamd IPDS (Intrusion Prevention and Detection System). Deze module biedt WAAP-mogelijkheden, automatisering en leermogelijkheden voor webapplicaties en API's. Relianoid bevat een pakket genaamd relianoid-ipds, dat dagelijks wordt bijgewerkt. Dit pakket bevat meer dan 4 mechanismen voor webapplicaties en API-beveiliging. De eigenschappen zijn:
Blokkeerlijstregels #
Blokkeringslijsten maken deel uit van een beveiligingsmechanisme voor het groeperen van verkeer op basis van geolocatie en verschillende bronnen, zoals hieronder beschreven:
geo_*:Deze blokkeerlijsten bevatten IP's en netwerken op basis van landen.
TOR_knooppunten: Deze blokkeerlijst is afkomstig van het TOR-project. Hier vinden we de bron-IP's waar TOR-verkeer op internet wordt gepubliceerd.
webexploit: Leden van de bronlijst zijn geïdentificeerd als web-exploitanten. Deze aanvallers probeerden meerdere verzoeken op webservers uit te voeren om kwetsbaarheden te vinden.
spyware:De meegeleverde bron(nen) zijn een lijst met IP-adresreeksen van schadelijke spyware en adware.
volmacht: bevat TOR en andere open proxies.
mail_spammer:De opgenomen bron is een lijst met IP-adressen die spam versturen.
slechte_peers:De opgenomen bron is een lijst gebaseerd op meldingen van slechte daden in p2p.
CIArmy: De hier opgenomen bronnen worden aangeboden door het CIArmy-project. Dit project biedt de gegevensbron die is verkregen door analyse van het verkeer op basis van een groep sentinels op het internet.
bogon:De hier opgenomen bron beweert afkomstig te zijn uit een gebied van de IP-adresruimte dat gereserveerd is, maar nog niet toegewezen of gedelegeerd is door het internet.
DOS-regels #
Denial of Service-mitigatie is een reeks regels die bedoeld zijn om de impact van aanvallen op een service te beperken of te beschermen. Hierdoor is de service bijvoorbeeld onbruikbaar geworden vanwege een overweldigend aantal onrechtmatige verzoeken. RELIANOID De IPDS-engine bevat verschillende technieken voor het uitvoeren van DoS-beveiliging voor webapplicaties en API's.
Deze regels worden hieronder beschreven:
Valse TCP-vlaggen:
In elk TCP-verkeer volgen de TCP-pakketten een bekende stroom. Een BOGUS TCP-aanval is een aanval waarbij de TCP-stroom niet het verwachte TCP-pad volgt. Het pakket kan bijvoorbeeld een onverwacht SYN-FIN-pad volgen in plaats van een SYN-ACK-pad. RELIANOID bewaakt en beheert de TCP-stroom. Als er een onverwacht pakket wordt ontvangen, RELIANOID zal het laten vallen.
Totale verbindingslimiet per bron-IP:
RELIANOID past een bronlimiet toe op basis van het aantal verzoeken per seconde, en wanneer de limiet per bron-IP is bereikt, RELIANOID zal de binnenkomende pakketten verwijderen.
Limiet RST-pakket per seconde:
Dit is een veelvoorkomende DoS-aanval waarbij de aanvaller probeert een TCP-socket te openen. Zodra het TCP-antwoordpakket is ontvangen, stuurt de aanvaller een TCP RST-pakket naar de host.
Verbindingslimiet per seconde:
RELIANOID past een bestemmingslimiet toe op basis van het aantal verzoeken per seconde. Als de limiet per bestemmings-IP is bereikt, RELIANOID zal de binnenkomende pakketten verwijderen.
RBL-regels #
Een realtime blackholelijst is een beveiligingssysteem dat door mailservers wordt gebruikt om zich te beschermen tegen spammers. Als de mailserver een verbinding ontvangt, registreert deze het bron-IP-adres en probeert dit te koppelen aan bekende DNS-servers. Als de DNS-resolutie werkt, wordt het bron-IP-adres als aanvaller gedetecteerd.
RELIANOID heeft dit beveiligingsmechanisme ontwikkeld, waardoor het mogelijk is om elk bron-IP-adres in een bepaalde stroom te registreren en te proberen het bron-IP-adres te koppelen aan een DNS-zone. Hiervoor is een selectie gemaakt van enkele van de meest robuuste RBL-domeinen.
WAF-regels #
RELIANOID inspecteert HTTP(S)-verkeer op twee manieren:
1 – Gebruikmakend van vooraf gedefinieerde regels gebaseerd op OWASP-regelsets (Open Web Application Security Project). De regelsets die zijn opgenomen in RELIANOID 6 zijn gebaseerd op OWASP Core Rule Set versie 4. Deze regels worden dagelijks bijgewerkt. Als er wijzigingen optreden in de OWASP-regelset, worden deze wijzigingen opgenomen in de volgende update van het IPDS-pakket.
2 – Gebruikmakend van regels verkregen van externe leveranciers of door u, onze klant, op maat gemaakte regels. RELIANOID maakt gebruik van de ModSecurity engine-ondersteuning voor regels van derden of het maken van uw eigen regels op basis van de dissector HTTP-taal.
Standaard RELIANOID IPDS omvat beveiligingspakketten tegen de volgende aanvallen:
SQL-injectie (SQLi)
Cross-site scripting (XSS)
Lokale bestandsopname (LFI)
Op afstand bestanden opnemen (RFI)
PHP/Java/Ruby/Perl-code-injectie
Shellshock
Unix Shell-injectie
Sessiefixatie
Scripting/Scanner/Botdetectie
De regels die gevonden zijn in RELIANOID 6 Inclusief:
VERZOEK-905-ALGEMENE-UITZONDERINGEN
Deze regels worden gebruikt als uitzonderingsmechanismen om veelvoorkomende foutpositieve resultaten te verwijderen.
VERZOEK-911-METHODE-HANDHALING
Toegestane aanvraagmethoden.
AANVRAAG-913-SCANNER-DETECTIE
Controleert op scanners zoals crawlers, bots, scripts, etc.
VERZOEK-920-PROTOCOL-HANDHALING
Valideert HTTP-verzoeken en elimineert zo een groot aantal aanvallen op de applicatielaag.
AANVRAAG-921-PROTOCOL-AANVAL
Controleert op protocolaanvallen.
AANVRAAG-930-APPLICATIE-AANVAL-LFI
Controleert op applicatie-aanvallen met behulp van Local File Inclusion (LFI).
AANVRAAG-931-APPLICATIE-AANVAL-RFI
Controleert op applicatieaanvallen met behulp van Remote File Inclusion (RFI).
AANVRAAG-932-APPLICATIE-AANVAL-RCE
Controleert op applicatie-aanvallen met behulp van Remote Code Execution (RCE).
AANVRAAG-933-TOEPASSINGSAANVAL-PHP
Controleert op applicatie-aanvallen met behulp van PHP.
AANVRAAG-934-APPLICATIE-AANVAL-GENERIEK
Controleer op applicatie-aanvallen met Node.js, Ruby en Perl.
AANVRAAG-941-APPLICATIE-AANVAL-XSS
Controleert op applicatie-aanvallen met behulp van XSS.
AANVRAAG-942-TOEPASSINGSAANVAL-SQLI
Controleert op applicatie-aanvallen met behulp van SQL-injectie.
AANVRAAG-943-APPLICATIE-AANVAL-SESSIE-FIXATIE
Controleert op applicatie-aanvallen met behulp van sessiefixatie.
AANVRAAG-944-TOEPASSINGSAANVAL-JAVA.
Controleert op applicatie-aanvallen met behulp van Java.
De IPDS-engine is een mechanisme voor bedreigingsintelligentie voor webapplicaties en API-beveiliging. Het wordt dagelijks bijgewerkt via het relianoid-ipds-pakket, dat als kern van de engine fungeert en deze up-to-date houdt. RELIANOID regels en door de klant aangepaste regels.
Deze relianoid-ipds kernregelset gebruikt verschillende mechanismen voor het creëren van deze beveiligingsregels, zoals het doorzoeken van gegevens van derden, het analyseren van sentinel-logs of het uitvoeren van big-data-analyses op basis van privé-informatie. Als u vaststelt dat de RELIANOID De IPDS-kernregels bevatten enkele bron-IP's of regels als valspositief. Neem contact met ons op, dan lossen we het probleem zo snel mogelijk op.
