SekciaApplication Security
Technologická kategória
WAF
WAF patrí do oblasti Application Security. WAF chráni webové aplikácie a API pred útokmi na aplikačnej vrstve, napríklad injection, cross-site scripting, zneužitím protokolu, škodlivými payloadmi a automatizovanými pokusmi o exploitáciu.
Slovník skratiek
Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.
- WAF
- Web Application FirewallAplikačný firewall chrániaci webové aplikácie a API pred útokmi na aplikačnej vrstve.
Čo technológia rieši
WAF chráni webové aplikácie a API pred útokmi na aplikačnej vrstve, napríklad injection, cross-site scripting, zneužitím protokolu, škodlivými payloadmi a automatizovanými pokusmi o exploitáciu.
Prečo je dôležitá
Najväčšiu hodnotu prináša pri verejných aplikáciách, partnerských portáloch, e-commerce, exponovaných API a prostrediach, kde nie je možné opraviť aplikáciu okamžite.
V praxi nejde iba o technickú funkciu, ale o schopnosť zaradiť riešenie do širšej bezpečnostnej architektúry. Organizácie často prevádzkujú desiatky konzol a nástrojov, pričom problémom nie je len samotná bezpečnosť, ale aj orientácia v tom, ktorá technológia rieši konkrétny typ rizika.
Táto kategória pomáha presne pomenovať riešený problém, zúžiť výber relevantných riešení a odlíšiť technológie, ktoré sa na prvý pohľad prekrývajú. To je dôležité najmä pre partnerov a zákazníkov, ktorí už kybernetickej bezpečnosti rozumejú, ale potrebujú rýchlo zmapovať trh a dostupné portfólio.
Typické scenáre použitia
WAF sa najčastejšie rieši vtedy, keď organizácia potrebuje presnejšiu kontrolu nad konkrétnou vrstvou bezpečnosti v oblasti Application Security. Môže ísť o doplnenie existujúcej architektúry, nahradenie zastaraného nástroja, rozšírenie viditeľnosti alebo zjednotenie funkcií, ktoré sú dnes rozdelené medzi viacero produktov.
Miesto v architektúre
V širšej architektúre Application Security treba WAF posudzovať podľa toho, ako sa napája na existujúce bezpečnostné a prevádzkové procesy. Praktická hodnota vzniká až vtedy, keď riešenie poskytuje použiteľné dáta, jasné politiky, zrozumiteľný reporting a integrácie s existujúcimi nástrojmi.
Pri mapovaní na výrobcov z portfólia SecTec je preto dôležité vnímať nielen samotnú funkcionalitu, ale aj spôsob nasadenia, licenčný model, úroveň správy, podporované platformy a možnosť prepojenia s ďalšími oblasťami. V konkrétnej architektúre môže byť WAF samostatnou platformou, funkciou alebo súčasťou širšieho riešenia.
Ako technológiu posudzovať
Pri výbere riešenia odporúčame sledovať najmä:
- aký problém riešenie pokrýva a kde sú jeho hranice
- či podporuje existujúce prostredie organizácie
- ako sa integruje so SIEM, SOAR, XDR, IAM, cloudom alebo ticketingom
- akú úroveň automatizácie, reportingu a auditovateľnosti poskytuje
- či znižuje prevádzkovú komplexitu alebo iba pridáva ďalšiu izolovanú konzolu
Súvisiace oblasti
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Exfiltrácia a únik dátÚtočník vyhľadáva, zhromažďuje a odosiela citlivé dáta z koncových zariadení, cloudu, e-mailu alebo interných úložísk.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- BOLA – narušená autorizácia na úrovni objektuÚtočník mení identifikátor objektu v API požiadavke a získa prístup k dátam alebo operáciám, ktoré patria inému používateľovi, účtu alebo tenantovi.
- BOPLA – narušená autorizácia vlastností objektuAPI sprístupní alebo dovolí meniť citlivé vlastnosti objektu, ku ktorým používateľ nemá mať prístup, vrátane excessive data exposure a mass assignment.
- BFLA – narušená autorizácia na úrovni funkcieBežný alebo neprihlásený používateľ zavolá administrátorskú či privilegovanú API funkciu, ku ktorej nemá mať prístup.
- Narušená API autentifikácia a zneužitie tokenovÚtočník obchádza prihlasovanie, obnovu hesla alebo validáciu tokenu a preberá identitu používateľa či služby.
- Zneužitie citlivých business procesov a botovAutomatizovaný útočník zneužíva legitímnu funkcionalitu, napríklad nákup, rezerváciu, registráciu, hlasovanie, komentovanie alebo obnovu účtu.
- SSRF – Server-Side Request ForgeryÚtočník prinúti server alebo API načítať ním zvolenú adresu a získa prístup k interným službám, metadátam cloudu alebo chráneným sieťovým cieľom.
- Chybná konfigurácia API a exponované rozhraniaNezabezpečené predvolené nastavenia, debug endpointy, chybné CORS, detailné chyby alebo chýbajúce hlavičky sprístupnia útočníkovi dáta a funkcie.
- Nebezpečné spracovanie dát z cudzieho APIAplikácia dôveruje dátam alebo presmerovaniam z partnerského API viac než bežnému vstupu a prenesie kompromitáciu dodávateľa do vlastného prostredia.
- Credential stuffing a password sprayingÚtočník automatizovane skúša uniknuté dvojice mena a hesla alebo malé množstvo bežných hesiel proti veľkému počtu účtov.
- Injection a vykonanie príkazuNedôveryhodný vstup zmení význam príkazu, dotazu alebo šablóny a umožní čítanie dát, obídenie logiky alebo vykonanie kódu.
- Path traversal a file inclusionÚtočník manipuluje cestu k súboru alebo importovaný názov a číta, zapisuje či vykonáva obsah mimo povoleného adresára.
- Škodlivý upload a nebezpečná deserializáciaAplikácia prijme alebo spracuje škodlivý súbor či serializovaný objekt a umožní vykonanie kódu, obídenie kontrol alebo kompromitáciu ďalších používateľov.
- Client-side injection a Cross-Site ScriptingÚtočník dostane nedôveryhodný obsah do prehliadača používateľa a vykoná skript v kontexte dôveryhodnej aplikácie.
Relevantné techniky ATT&CK
- T1059 · Command and Scripting InterpreterDetect, Prevent, Respond
- T1078 · Valid AccountsDetect, Prevent, Respond
- T1189 · Drive-by CompromiseDetect, Prevent, Respond
- T1190 · Exploit Public-Facing ApplicationDetect, Prevent, Respond
- T1567 · Exfiltration Over Web ServiceDetect, Prevent, Respond