Er zijn meerdere applicaties die we dagelijks gebruiken. Vooral webapplicaties. Naarmate hun adoptieniveau toeneemt, worden ook kwetsbaarheden. Hoewel het voor een cybercrimineel niet mogelijk is om alle bestaande applicaties over de hele wereld aan te vallen, moeten ze allemaal over de juiste beveiligingsmaatregelen beschikken om de belangrijkste aanvallen te voorkomen. Helaas slaan cyberaanvallen op elk moment toe en nemen we de signalen over het algemeen niet op tijd waar.
Vandaag in dit artikel hebben we deze handleiding gemaakt, zodat u een overzicht krijgt van de belangrijkste kwetsbaarheden bovenaan OWASP, en hoe we kunnen doorgaan om deze zo goed mogelijk op te lossen of te beperken. We zullen u ook leren wat u in elk geval het beste kunt doen, hoewel er enkele zijn die wat complexer zijn. Het is goed om in gedachten te houden dat de kwetsbaarheden die we hieronder zullen noemen, gebaseerd zijn op het populaire OWASP-project van toepassingskwetsbaarheden.
Gevoelige gegevensblootstelling
Een van de situaties die zowel gebruikers als organisaties betreft, is de beveiliging en privacy van gevoelige gegevens. Onthoud dat gevoelige gegevens kunnen verwijzen naar iets persoonlijks, werk, bankieren, financiën of gezondheid. Elk type gegevens dat informatie over u kan genereren, is van groot voordeel voor cybercriminelen. Gevoelige gegevens lopen niet alleen het risico te worden blootgesteld, maar kunnen ook worden gewijzigd, gestolen of verkocht aan entiteiten die zich bezighouden met de manipulatie van gevoelige gegevens.
Als u de verantwoordelijkheid heeft om gevoelige gegevens te beheren, is classificatie een van de beste praktijken. Een willekeurig voorbeeld, gevoelige gegevens en niet-gevoelige gegevens. Als het gevoelige gegevens zijn, moeten hierop aanvullende beveiligingsmaatregelen worden toegepast, zoals robuustere versleutelingsmethoden en vermijd ze op te slaan indien niet strikt noodzakelijk, naast het vereisen van sterke authenticatie om er toegang toe te hebben, en zelfs dubbele authenticatiefactor om het authenticatieschema te versterken. Aan de andere kant moet u letten op de gegevens die onderweg zijn: het wordt aanbevolen om veilige protocollen zoals toe te passen TLS (transportlaag) Security) en PFS (Perfecte voorwaartse geheimhouding) .
Slechte beveiligingsinstellingen
Het is een van de kwetsbaarheden die het vaakst voorkomen, voornamelijk als gevolg van slechte praktijken bij het ontwikkelen van applicaties. Standaard, onveilige of onvolledige configuraties, implementatie van open clouddiensten wanneer er gevoelige gegevens zijn. Dergelijke gevallen kunnen een groot risico inhouden voor de integriteit van applicaties in het algemeen.
Een van de maatregelen die gemakkelijker in de praktijk kunnen worden gebracht, is het verwijderen van services en elke andere aanvulling op de applicatie die u niet hoeft te gebruiken. Onthoud dat deze "inactieve" componenten een groot voordeel zijn voor cybercriminelen. Een aantal van deze aanvallen is te wijten aan het gebrek aan controle over dit aspect. Controleer ook regelmatig welke mogelijke gaten in de configuratie kunnen ontstaan. Een mogelijkheid voor dit aspect is om toevlucht te nemen tot de documentatie en ondersteuning van uw provider. In veel gevallen hebben ze een behoorlijke hoeveelheid middelen om u te helpen meer uit de applicatie-infrastructuur te halen en het beveiligingsniveau te verhogen.
Verlies van toegangscontrole
Als gebruikersmanagers mogen we eindgebruikers nooit onderschatten. We zeggen het zo omdat er gevallen zijn waarin "normale" gebruikers meer rechten hebben dan zou moeten. Dit kan dus als springplank dienen om meerdere kwaadaardige activiteiten uit te voeren. Het ergste hiervan is dat dit bepaalde beveiligingscontroles kan omzeilen, omdat je daarvoor de rechten hebt. Privilege-escalatie is een probleem voor netwerken van alle soorten organisaties. Aanvallen van het "insider" -type (binnen de organisatie) hebben huiveringwekkende statistieken, dus het is verplicht om de toestemmingen die elk type gebruiker heeft aan te passen.
Aan de andere kant mogen we gebruikers met de betreffende beheerdersrechten niet verwaarlozen. In dit artikel hebben we er uitgebreid over gesproken, en je kunt kijken wat je moet doen om de controlemechanismen .
Injectie op basis van database-engines
Injectie omvat het invoegen van gegevens die code bevatten die kwaadaardige acties kan uitvoeren. Ze kunnen voorkomen in verschillende database-engines zoals SQL, NoSQL en zelfs LDAP (Lightweight Directory Access Protocol) . Een praktisch voorbeeld is wanneer we inloggen op een bepaalde applicatie en in plaats van onze toegangsgegevens in te voeren, we SQL-instructies schrijven die kwaadaardige acties uitvoeren. Dit is soms niet eenvoudig op te sporen. Er zijn echter gevallen van injecties waarbij de toepassing praktisch nutteloos is. Evenzo kunnen de gegevens in de applicaties worden weergegeven of zijn ze mogelijk niet beschikbaar voor hun eigenaren.
De belangrijkste preventiemaatregel die u moet overwegen, is het toepassen van validatie van gegevensinvoer op toepassingen. Hierdoor kan de gebruiker geen enkel type tekst invoeren in elk van de velden van een inschrijfformulier, login, registratie, etc. Het lijkt een vrij basale praktijk te zijn, maar helaas onderschatten veel applicaties en diensten deze bedreiging in het algemeen. Als uw formulier bijvoorbeeld numerieke gegevens vereist, beperkt u de gegevensinvoer tot alleen cijfers. Als het tekst is, beperkt het de invoer van opdrachten die databasezinnen kunnen betekenen.
Zoals we hebben gezien, zijn dit slechts enkele van de door OWASP genoemde kwetsbaarheden. We zijn echter van mening dat dit het geval is enkele van de belangrijkste in relatie tot de impact die ze hebben op de infrastructuur van applicaties en hun gebruikers. We moeten in gedachten houden dat we niet alleen de veiligheidsmaatregelen moeten verhogen in het licht van een dreigend aanvalsrisico, maar dat we dit te allen tijde moeten doen. Goede applicatie-ontwikkeling en implementatiepraktijken vormen de meest effectieve bescherming tegen zoveel kwetsbaarheden.
