Роль Всемирной паутины в среде разработки программных продуктов за последнее время значительно выросла. Приложения, основанные на веб-технологиях, стали востребованы для решении задач из разных отраслей и постепенно стали вытеснять ПО, базирующееся на других технологиях. Это привело к усложнению веб-приложений в плане структуры, архитектуры и реализации, что в свою очередь выдвинуло новые требования к вопросам защищенности веб-приложений.
Задача создания безопасного веб-приложения достаточно сложна и обширна, ведь для этого необходимо полное понимание слабых мест в системе безопасности. Правда сегодня существуют автоматические системы, которые могут определить эти слабые места и защитить веб-приложения от атак злоумышленников путем анализа запросов на веб-сервер от пользователей.
Вопросы безопасности и надежности являются актуальными на всех этапах разработки. И хотя по этому поводу было написано множество документов и статей, но мало что изменилось – программисты продолжают писать программы, учитывая вопросы безопасности не в полной мере. Учитывая тенденцию к переносу стандартных клиент-сервеных приложений в веб-среду, растущую популярность технологий AJAX и других элементов Веб 2.0 можно констатировать, что с течением времени актуальность защиты онлайн-приложений будет только расти.
Пути защиты интернет-приложений
На сегодня есть ряд решений, которые способны защитить веб-ресурс, не изменяя его структуры и сохраняя бизнес-процесс в роботе. Наиболее функциональное и комплексное решение по защите веб-приложений — это Barracuda Web Application Firewall (WAF) от компании Barracuda Networks, специализирующейся в сфере информационной безопасности. Во всех разработках компании делается упор на скорость установки, простоту управления и экономическую эффективность – в идеале как устройства рlug-and-рlay.
Barracuda WAF — аппаратный межсетевый экран, работающий на прикладном уровне и осуществляющий фильтрацию трафика веб-приложений. Устройство анализирует поведение каждого пользователя в используемом приложении и события в реальном времени, что предотвращает выполнения вредоносных запросов. Предоставляется детальный отчет об атаках и попытках взлома, в котором можно увидеть полную информацию о злоумышленнике или же ботах.
Barracuda Web Application Firewall защищает веб-приложений и веб-сервисы от вредоносных атак, а также может увеличить производительность и масштабируемость этих приложений. WAF предлагает возможность обеспечения безопасности и управления корпоративных веб-приложений с одного устройства с помощью интуитивно понятного интерфейса в реальном времени. Barracuda WAF обеспечивает защиту от всех распространенных атак на веб-приложений, включая SQL инъекций, межсетевого скриптинга, подделок сессий, Brute Force атак, DDOS, вредоносных сканеров, потерь информации, инъекций ОС командами, подделок Cookie, переполнений буфера и много других. Многие приложения уязвимы для выше перечисленных атак, поскольку разработчики приложений не всегда используют практику безопасного программирования. Barracuda Веб Application Firewall предназначен для борьбы со всеми типами атак, которые были определены как серьезные угрозы.
Barracuda WAF также может послужить экономической выгодной альтернативой стандарту PCI DSS, поскольку позволяет обойти прохождение дорогостоящего аудита программного кода приложений для компаний, которые должны соответствовать этому стандарту.
Функционал продукта
На базовом уровне, Barracuda Web Application Firewall проверяет все входящие запросы, которые соответствуют http-, HTTPS- и FTP-спецификациям. Например, входящие запросы с более чем одним заголовком типа content-length, как правило, представляют собой основу для атак http-запроса, поэтому в соответствии со спецификацией HTTP автоматически блокируются.
WAF оснащен встроенным XML-файрволом для улучшения безопасности XML-кода в веб-приложениях и веб-сервисах. Файрволл XML обнаруживает и предотвращает специфические XML нападения, например такие как чрезвычайно длинные сообщения, множество вложенных элементов, рекурсивные движения, заражение схем и WSDL.
Чтобы уменьшить сетевой трафик, Barracuda WAF может автоматически сжимать содержимое HTML в GZIP, чтобы потом распаковать в браузере пользователя. Также данное оборудование позволяет снизить нагрузку на конечные веб-серверы и повысить производительность за счет кэширования веб-содержимого во избегании неоднократных запросов к конечным веб-серверам.
Напоследок отметим, что Barracuda WAF обладает высокой отказоустойчивостью. Функция Ethernet Hard Bypass в режиме Bridge в случае отказа оборудования обеспечивает надежную доставку всех запросов к приложению даже посредством всего одного устройства WAF. Для веб-приложений с жесткими требованиями безопасности этот продукт может быть установлен в избыточной конфигурации в паре с еще одним Barracuda WAF. Таким образом, безопасность пользовательских сессий не будет поставлена под угрозу в случае сбоя одного из них.
Материалы подготовлены отделом ИТ- безопасности компании «ИТ Лэнд»
Комментарии и вопросы Вы можете адресовать support@itland.com.ua с пометкой «BarracudaWeb»
