- WAF - наше все?! Дмитрий Евтеев Positive Technologies
Содержание
- 2. Наиболее часто встречающиеся уязвимости веб-приложений при проведении анализа методом «черного ящика» (данные за 2009 год, http://ptsecurity.ru/analytics.asp)
- 3. IBM X-Force 2009 Trend and Risk Report (http://www.servicemanagementcenter.com/main/pages/IBMRBMS/SMRC/ShowCollateral.aspx?oid=74711) Куда мы движемся?
- 4. Что в итоге? ScanSafe сообщила о массовом взломе веб-сайтов …таковых могло оказаться до 114 тыс… Скорее
- 5. Статистика дефейсов zone-h.org (http://zone-h.org/stats/ymd) …как следствие…
- 6. Распределение критических уязвимостей на сайтах (данные за 2009 год, http://ptsecurity.ru/analytics.asp) Уязвимости, используемые для массовых атак
- 7. % сайтов с уязвимостями различной степени риска (данные за 2009 год, http://ptsecurity.ru/analytics.asp) Динамика устранения уязвимостей на
- 8. А может WAF?
- 9. Что такое Web Application Firewall (WAF) http://server/?id=6329&print=Y АТАКА WAF Webserver http://server/?id=5351 http://server/?id=8234 http://server/?id="> ... http://server/?id=1+union+select... http://server/?id=/../../../etc/passwd
- 10. По режиму работы: Мост/Маршрутизатор/Обратный прокси-сервер Встроенный (в CMS/на стороне клиента) По модели защиты: Основанные на сигнатуре
- 11. За универсальность фильтров приходится расплачиваться ошибками первого и второго рода Не все фильтры одинаково полезны Ряд
- 12. Уязвимость уязвимости рознь Неполный список администраторов такого приложения: **admin, user**, r**t , …
- 13. Внедрение операторов SQL Огромное разнообразие СУБД (гибкость языка SQL) Межсайтовое выполнение сценариев Помимо постоянного развития браузеров
- 14. PHPIDS??! Мое приложение сможет работать? REGEXP: (?:%c0%ae\/)|(?:(?:\/|\\)(home|conf|usr|etc|proc|opt|s?bin|local|dev|tmp|kern|[br]oot|sys|system|windows|winnt|program|%[a-z_-]{3,}%)(?:\/|\\))|(?:(?:\/|\\)inetpub|localstart\.asp|boot\.ini)
- 15. Универсальный способ проведения SQL-инъекций с обходом фильтров по умолчанию /*!sql-code*/ и /*!12345sql-code*/ XSS over SQLi /?id=-1/*!+union+select+'%3Cscri'+'pt%3Eal'+'ert(1)%3C/script%3E',2,3*/
- 16. KIS??! /?id=1+and+(select+(@v:=password)+from+users+limit+0,1)+union+select+@v-- /?id=1+and+(select+(@v:=password)+from+users+limit+1,1)+union+select+@v-- и т.д. /?id=1 union select password from users
- 17. Защита веб-приложений должна быть комплексной Требования к ИБ Архитектура Разработка (SDLC) Внедрение (CIS, etc) Поддержка Оценка
- 18. Обнаружение уязвимостей Эффективное использование WAF (Virtual Patching)
- 19. Система контроля защищенности (eq MaxPatrol) Обнаружение уязвимости, решение по устранению, правила фильтрации для Web Application Firewall
- 20. Резюме WAF – это не долгожданная "серебряная пуля" В силу своих функциональных ограничений WAF не способен
- 22. Скачать презентацию
Наиболее часто встречающиеся уязвимости веб-приложений при проведении анализа методом «черного ящика»
Наиболее часто встречающиеся уязвимости веб-приложений при проведении анализа методом «черного ящика»
IBM X-Force 2009 Trend and Risk Report (http://www.servicemanagementcenter.com/main/pages/IBMRBMS/SMRC/ShowCollateral.aspx?oid=74711)
Куда мы движемся?
IBM X-Force 2009 Trend and Risk Report (http://www.servicemanagementcenter.com/main/pages/IBMRBMS/SMRC/ShowCollateral.aspx?oid=74711)
Куда мы движемся?
Что в итоге?
ScanSafe сообщила о массовом взломе веб-сайтов
…таковых могло оказаться до
Что в итоге?
ScanSafe сообщила о массовом взломе веб-сайтов
…таковых могло оказаться до
Статистика дефейсов zone-h.org (http://zone-h.org/stats/ymd)
…как следствие…
Статистика дефейсов zone-h.org (http://zone-h.org/stats/ymd)
…как следствие…
Распределение критических уязвимостей на сайтах (данные за 2009 год, http://ptsecurity.ru/analytics.asp)
Уязвимости, используемые
Распределение критических уязвимостей на сайтах (данные за 2009 год, http://ptsecurity.ru/analytics.asp)
Уязвимости, используемые
% сайтов с уязвимостями различной степени риска (данные за 2009 год,
% сайтов с уязвимостями различной степени риска (данные за 2009 год,
А может WAF?
А может WAF?
Что такое Web Application Firewall (WAF)
http://server/?id=6329&print=Y
АТАКА
WAF
Webserver
http://server/?id=5351
http://server/?id=8234
http://server/?id=">
Что такое Web Application Firewall (WAF)
http://server/?id=6329&print=Y
АТАКА
WAF
Webserver
http://server/?id=5351
http://server/?id=8234
http://server/?id=">