Безпека прикладних програм

• Актив — це ресурс такого значення як дані у сховищі зберігання даних, гроші на рахунку в аккаунті, файли у файловій системі або системний ресурс.
• Уразливість — це певне «слабке місце» у програмі, яке може бути використане різного виду загрозами для отримання несанкціонованого доступу до активу.
• Атака (напад або використання) — дія, яка спрямована на завдання шкоди активу.
• Загроза — це все, що може використовувати уразливості та отримати, нанести шкоду або знищити актив.

Методи знаходять різні підмножини (осередки) уразливостей безпеки, що заховані у програмі і є найбільш ефективними у окремі періоди її життєвого циклу. Кожен з них представляє певні цикли часу, зусилля, витрати щодо знаходження цих уразливостей.

1. Огляд «білої скриньки» або огляд коду.

Інженер глибоко розуміє програму та вручну переглядає початковий код, записуючи уразливості безпеки. Після здійсненого аналізу інженер знаходить унікальні вирішення знайдених проблем. У такому випадку відома внутрішня структура програми, де проходить перевірка побудови всіх елементів програми та коректність взаємодії її частин.

2. Огляд «чорної скриньки».

Використовується лише за допомогою програми, яка перевіряє її на наявність уразливостей безпеці, при якому не потрібні початкові коди.

3. Інструментарій.

Існують автоматизовані інструменти, які перевіряють наявність недоліків та дефектів безпеки, часто з більшою позитивною швидкістю, ніж залучення людини. До такого інструментарію відносяться сканери, фаєрволи, антивіруси, фільтри та інше.

Використання цих методів належним чином протягом усього життєвого циклу розробки програмного забезпечення для максимізації безпеки — роль команди, що займається питаннями безпеки.

Загрози або атаки є головним чинником впливу на роботу прикладних програм. Спільнота OWASP винайшла список 10 уразливостей для веб-програм та описує практики безпеки для організацій, прагнучи створити відкриті стандарти для цієї галузі[1]. З 2017 року організація перераховує основні загрози безпеки застосунків, такі як:[2]

Очікується, що частка мобільних пристроїв, які надають функціональні можливості відкритої платформи, будуть збільшуватись надалі. Відкритість цих платформ дає значні можливості для усіх частин мобільних середовищ забезпечуючи простір дій для гнучких програм і сервісів: опції можуть бути встановлені, видалені або оновлені безліч разів згідно із  потребами та вимогами користувача. Проте, із відкритості систем приходить і необмежений доступ до мобільних ресурсів і прикладних програмних інтерфейсів (API's — Application Programming Interface's), невідомими і недовіреними оригіналами, які можуть нанести значну шкоду користувачу, пристрою, мережі або усім складовим відразу, якщо вони не будуть управлятися відповідними захисними структурами і мережевими запобіжними засобами. Захист мобільних застосунків у деякому розумінні забезпечується на більшості відкритих операційних систем мобільних пристроїв (Symbian OS,[3] Microsoft, інші). Промислові групи також створили певні рекомендації включаючи організацію GSM та Mobile Terminal Plaform, OMTP.[4]

Існує декілька стратегій підвищення безпеки мобільних програм:

• «Білий список» (white listing).
• Забезпечення безпеки транспортного рівня.
• Надійна аутентифікація та авторизація.
• Криптування даних перед записом пам'яті
• Sandboxing застосунків.
• Збільшення рівнів доступу застосунків за один API рівень.^{[що це?]}
• Процеси прив'язані до ідентифікатора (ID) користувача.
• Попередньо визначена взаємодія між мобільним застосунком та операційною системою.
• Вимагати від користувача привілейованого або підвищеного рівня доступу.
• Правильна обробка сеансу.

Одним із способів захисту програм є їх оновлення. Оновлення коду запобігає існуванню уже існуючих проблем та уразливостей у попередній версії програми за рахунок виправлень проблемних зон коду. Регулярне оновлення може зменшити ризик виникнення таких незручностей.

Вебзастосунок (англ. Web Application) — це застосунок, у якому клієнтом виступає браузер, а сервером — веб-сервер. Вони являють собою об'єкти потенційного впливу так як:

• Весь час перебувають під впливом Інтернету та використовують незахищені інструменти.
• Через необхідніть їх використання та швидшої реалізації, безпека може бути недокінця продуманою, що може викликати помилки.
• Зібрані, здебільшого, із  гібридного відкритого коду, сторонніх бібліотек, які можуть містити у собі уразливості.

Discovery: За даними SANS, багато організацій навіть не знають, скільки програм вони мають у своїх доменах. Cлужба Discovery вирішує цю різницю видимості, створивши загальну інвентаризацію всіх веб-застосунків, таких як корпоративні сайти, тимчасові маркетингові сайти, пов'язані сайти (.mail, .info тощо), міжнародні домени та сайти, отримані через M & A. Крім того, Discovery масово використовує паралельну інфраструктуру автоматичного масштабування, щоб перевірити тисячі програм на день.

DynamicMP (Massively Parallel): знижує рівень ризику шляхом швидкого виявлення уразливостей, які віднайдені організацією OWASP та CWE / SANS . Протестувати тисячі веб-застосунків одночасно можна динамічним скануванням. Зменшити ризик можливо закривши тимчасові сайти та передаючи інформацію про захист та розповсюдження до мережевих брандмауерів (WAF).

DynamicDS (Глибоке сканування). Використовує глибоке різностороннє сканування, яке визначає вразливості веб-застосунків, використовуючи як аутентифіковані, так і неаутентифіковані сканування, включаючи пошук векторів атак, таких як міжсистемні скрипти (XSS), SQL injection, недостатньо захищені облікові дані та витоки інформації. Також інтегрує інформацію про розвідувальний захист з WAF, щоб забезпечити віртуальне оновлення.

Virtual Scan Appliance (VSA): виконує глибоку перевірку програм, що знаходяться під захистом брандмауера, як правило, в QA або в середовищі сканування, щоб знайти вразливості перед застосуванням. VSA також допомагає захищати внутрішні веб-програми від інсайдерських атак або атак зловмисними сторонніми особами, які хочуть отримати доступ до активу особи.

Всі результати об'єднуються з іншою інформацією про загрозу через центральну платформу на основі хмар.[5]

Уразливості залишають програми відкритими до будь-якого використання. Методи тестування безпеки усувають уразливості у безпеці програм^{[джерело?]}. Вважається, що тестування безпеки реалізується протягом усього життєвого циклу програми, щоб уразливості були знешкоджені правильно та у встановлений час. Є випадки, у яких тестування часто виконується як наслідок, у кінці життєвого циклу.

Сканери уразливостей та зокрема сканер веб-застосунків, інакше відомих як інструменти тестування, історично використовувались організаціями та консультантами з безпеки для автоматичного тестування безпеки HTTP запитів-відповідей. Але це не замінює потребу в фактичному огляді вихідного коду. Початковий код програм може бути перевірений вручну або автоматично. Враховуючи індивідуальний звичайний розмір програм людський мозок не в змозі провести аналіз потоку даних з необхідним аналізом для повного контролю програми, щоб знайти програмні вразливості. Людський мозок спрямований на фільтрацію, переривання^[Що?] та звіт про вихід^[Що?] автоматизованих інструментів аналізу вихідного коду, доступних у комерційному відношенні, а також про можливі шляхи через скомпільовану кодову базу для виявлення уразливостей на рівні виникнення головної причини.

Існує багато видів автоматизованих інструментів для ідентифікації програмних уразливостей. Деякі з них вимагають великого досвіду проведення експертизи безпеки, а інші використовуються для повного автоматичного застосування. Результати залежать від типу інформаційних елементів (вихідної, бінарної, HTTP — трафіку, конфігурації, бібліотек, з'єднань), що надають інструменту якість аналізу і виправлення уразливостей. Звичайні технології для ідентифікації програмної вразливості включать:

• Статичне тестування безпеки (SAST, англ. Static Application Security Testing) — це технологія, яка здебільшого використовує інструмент аналізу початкового коду (англ. Source Code Analysis Tool). Метод аналізує безпеку коду програми перед її запуском і використовується для посилення коду. Цей метод дає меншу кількість неточностей, але вимагає доступу до початкового коду програми.[7]

• Динамічне тестування безпеки (DAST, англ. Dynamic Application Security Testing) — це технологія, яка може знайти видиму вразливість пропускаючи URL ресурсу через автоматичний сканер. Цей метод дуже масштабний, добре інтегрований та швидкий.^{[джерело?]} Недоліки DAST полягають у складності конфігурації і високої імовірності помилкового спрацювання.[8]

• Інтерактивне тестування безпеки додатка (IAST, англ. Interactive Application Security Testing) — це таке тестування, яке оцінює додатки з використанням ПЗ. Ця методика дозволяє IAST комбінувати сили обох методів SAST і DAST, та забезпечувати доступ до коду, HTTP — трафіку, бібліотек, зворотніх зв'язків та інформації про конфігурацію.[9] Деякі продукти IAST вимагають реалізації атаки, у той час як інші можуть використовуватися під час нормального тестування.[10][11]

Прогрес у професійному шкідливому програмному забезпеченні, орієнтованому на клієнтів онлайн організацій змінив вимоги до веб-додатків з 2007 року. Як правило, передбачається, що значна частина Інтернет-користувачів буде скомпроментована через шкідливе ПЗ, та що будь-які дані, отримані від інфікованого хоста, можуть бути шкідливими. Тому, захист додатків почав зароджувати унікальні розвинені системи для боротьби з шахрайством та евристичними системами виявлення у back-office, а не в межах коду клієнта або коду веб-сервера.[12] З 2016 року розроблені додатки самозахисту (RASP) під час виконання програми.[8][13] RASP — це технологія, яка використовується разом із середовищем або у середовищі виконання додатка, яка налаштовує додаток, проводить виявлення атак та їх запобіганню.[14][15]

Cisco FirePower — це міжмережевий екран, який має набір функцій, які допомагають організувати безпеку додатків, застосувань, веб-застосувань та іншого софту. Cisco FirePower включає у себе такі сервіси:[16]

• моніторинг та контроль за додатками;
• превентивний захист від Інтернет-загроз;
• аналітика та автоматизація;
• VPN та політика аутентифікації;
• захист від шкідливого ПЗ;
• профілювання мережі

Cisco FirePower слідкує за мережевим середовищем, додатками, застосунками, трафіком і має багатий функціонал по обмеженню доступу до різного роду додатків, наприклад, Tor, Skype, Oracle та інші. Система не просто фільтрує трафік на мережевому рівні, але вона має можливість відстежувати поведінку недозволених додатків, а також забороняти використовувати функції, сервіси або додатки. Як приклад буде слугувати додаток Skype через який проводиться  спілкування, відеозв'язок, обмін повідомленнями. Cisco FirePower може обмежити повний список функцій або дозволити виконувати лише одну з них. Така реалізація є досить суттєвою, коли головною метою, щодо захисту інформації є обмеження права на одну або декілька функцій, в залежності від потреб безпеки. Також програма дозволяє проаналізувати та подивитися список усіх користувачів додатків у одній мережі. Контроль здійснюється за різного роду додатками: веб-додатки, клієнтські додатки, серверні додатки.[17] Окрім цих функцій, Cisco FirePower дозволяє бачити та контролювати користувачів відомих програм Proxy, Onion, інші. Це може значно покращити рівень обслуговування додатків та запобігти неправомірним діям зі сторони користувача.

Складність: більшість організацій мають десятки різних технологій забезпечення безпеки, які часто несумісні між собою, крім того ситуація ускладнюється відсутністю на ринку достатньої кількості досвідчених фахівців в цій області.

Відкритість коду: доступ до такого коду у додатку є у кожного, тобто туди можна вносити зміни і створювати свої додатки, змінювати функціонал, створювати уразливості та на базі них віруси.

У таблиці наведені основні практики безпеки додатків та їх опис.[18]

• CERT C Coding Standard
• Common Weakness Enumeration
• DISA-STIG
• Gramm-Leach-Bliley Act
• Health Insurance Portability and Accountability Act (HIPAA)
• ISO/IEC 27034-1:2011 Information technology — Security techniques — Application security — Part 1: Overview and concepts
• ISO/IEC TR 24772:2013 Information technology — Programming languages — Guidance to avoiding vulnerabilities in programming languages through language selection and use
• NIST Special Publication 800-53
• OWASP
• PCI Data Security Standard (PCI DSS)
• Sarbanes-Oxley Act (SOX)

• Застосунок
• Уразливість (інформаційні технології)
• Комп'ютерна мережа
• Операційний центр безпеки