IT Professional Security - ΤΕΥΧΟΣ 37

I SSUE
Web Application Firewalls
Εάν διαπιστώσουν ότι η πληροφορία που προσπαθεί να
εκχωρήσει είναι απόρρητη, είτε αποκόπτουν τη διαρροή,
είτε κωδικοποιούν την πληροφορία.
Μηχανισμοί Authentication: υπάρχει πληθώρα μηχανισμών
για την ταυτοποίηση χρηστών κάθε web εφαρμογής,
ώστε να διασφαλίζεται η αυθεντικότητα του χρήστη. Μερικοί
από αυτούς είναι: Two-factor authentication, Single
Sign On (SSO).
κακόβουλου κώδικα Javascript, ο hacker μπορεί να αποκτήσει
πρόσβαση σε έναν web server. Το WAF δημιουργεί
μοναδικά πιστοποιητικά (injection anti-UI redressing
measures) με σκοπό την αποτροπή τέτοιων περιστατικών.
Anti-virus and malware protection: υπάρχουν εφαρμογές
που επιτρέπουν τη φόρτωση αρχείων στους web
servers, από απομακρυσμένους χρήστες. Ενεργοποιώντας
antivirus και antimalware εξετάζουν τα αρχεία πριν αυτά
φορτωθούν στους servers.
Layer 7 DDoS Protection: οι επιθέσεις Denial of Service
έχουν πλέον φτάσει και στο επίπεδο των Web applications.
Τα WAF έχουν την ευφυΐα να εντοπίζουν τις επιθέσεις
αυτές, διασφαλίζοντας τη διαθεσιμότητα της εφαρμογής.
Slow Client Protection: σε αυτή την επίθεση ο hacker
κρατάει για πολύ ώρα το session με το web server ανοιχτό
καθυστερώντας να στείλει τα πακέτα που πρέπει. Έτσι ο
Server αφιερώνει υπερβολικούς πόρους στο συγκεκριμένο
session με αποτέλεσμα (ειδικά εάν γίνεται μαζικά) να καθυστερεί
στην εξυπηρέτηση άλλων αιτημάτων (αποτέλεσμα
- DoS). Το WAF διαθέτει μηχανισμό για τον εντοπισμό
και την απόρριψη τέτοιων επιθέσεων.
XML / Web Services protection: όσο οι web εφαρμογές
αναπτύσσονται, χρησιμοποιούν μεταξύ άλλων και XML για
τη μεταφορά δεδομένων μεταξύ των servers και των χρηστών.
Οι επιθέσεις XML είναι πλέον διαδεδομένες και τα
WAF έχουν ενσωματωμένο XML Firewall με σκοπό την
αποτροπή τέτοιων επιθέσεων.
Data Loss Protection: πέρα από τους μηχανισμούς ελέγχου
της εισερχόμενης κίνησης, έχουν ενσωματωμένους
μηχανισμούς για την αποτροπή διαρροής πληροφοριών.
Πέραν των μηχανισμών ασφάλειας που είναι απαραίτητοι για
την προστασία web εφαρμογών, ένα εξίσου σημαντικό θέμα
είναι η διαθεσιμότητα των εφαρμογών αυτών (application
delivery). Η εξασφάλιση άμεσης παροχής υπηρεσιών προς
τους χρήστες, είναι σημαντικός παράγοντας. Αυτό εν γένει
εξυπηρετείται από τους Load Balancers. Παρόλα αυτά, ε-
πειδή η ανάγκη για ασφάλεια και διαθεσιμότητα είναι δύο
κομμάτια που ενδιαφέρουν το ίδιο κοινό, οι περισσότεροι
κατασκευαστές WAF έχουν ενσωματώσει και μηχανισμούς
application delivery.
Οι βασικότεροι μηχανισμοί που έχουν ενσωματωθεί στη λειτουργία
των WAF είναι οι ακόλουθοι:
SSL Offloading: οι πληροφορίες που ανταλλάσσονται μεταξύ
των servers και των χρηστών είναι κατά κανόνα κρυπτογραφημένες.
Επειδή οι διαδικασίες κρυπτογράφησης
και αποκρυπτογράφησης είναι χρονοβόρες και χρησιμοποιούν
μεγάλο μέρος των πόρων ενός server, τα WAF
αναλαμβάνουν το κομμάτι αυτό, με σκοπό την ελάφρυνση
των server που εξυπηρετούν και την επιτάχυνση των διαδικασιών.
L4/L7 Load Balancing: το φορτίο διαμοιράζεται στους
διαθέσιμους servers με τέτοιο τρόπο ώστε να μην επιβαρύνεται
η λειτουργία κάποιου έναντι κάποιου άλλου.
Session Persistence: κάθε φορά που ένας χρήστης ανοίγει
ένα session με κάποιον web server, το WAF φροντίζει
ώστε η ανταλλαγή πληροφοριών να ολοκληρωθεί στον ί-
διο server με τον οποίο ξεκίνησε το αρχικό αίτημα.
Όλα τα παραπάνω καθιστούν το Web Application Firewall
πολύ χρήσιμο έως και απαραίτητο σε κάθε εταιρεία που θέλει
να προσφέρει αξιόπιστες web εφαρμογές, γι αυτό και το
μερίδιο αγοράς που στρέφεται προς αυτή τη λύση αυξάνεται
με υψηλούς ρυθμούς τα τελευταία χρόνια. Βάσει ερευνών
της Research&Markets, την πενταετία 2013-2018 αναμένεται
αύξηση περί το 18% στην αγορά του WAF, ενώ οι κατασκευαστές
στρέφονται και σε νέες τεχνολογίες με επίκεντρο το
virtualization στις web εφαρμογές. iTSecurity
34 | security