Лучшие практики для безопасности веб- и мобильных приложений

Цифровое пространство еще никогда не было настолько опасным, как сегодня. Количество и сложность кибератак растет из года в год, тогда как организации публичного, государственного и частного секторов очень часто не имеют необходимых ресурсов и опыта для построения комплексной защиты. Одной из самых больших проблем остаются атаки на веб- и мобильные приложения, которые могут скомпрометировать данные в системе, нарушить транзакции или даже полностью парализовать бизнес.

По данным отчета Positive Technologies, в абсолютном большинстве случаев (98%) киберпреступники могут так или иначе атаковать пользователей веб-приложений. 91% изученных веб-приложений подвергались компрометации данных, а у 84% платформ были обнаружены уязвимости неавторизованного доступа.

Пора поговорить о лучших практиках защиты веб и мобильных приложений. Как бизнесу обезопасить свои цифровые инструменты?

Главные угрозы для безопасности веб- и мобильных приложений

С чего начать разбор проблем? Мы будем ориентироваться на перечень критических угроз, который публикуется проектом OWASP – он посвящен обеспечению безопасности веб-приложений. В большинстве своем приведенные проблемы актуальны также и для мобильной разработки.

Последний раз перечень OWASP обновлялся в 2021 году. Рассмотрим, что входит в первую пятерку названых проблем.

Нарушение контроля доступа

Как известно, авторизация дает пользователю права на выполнение определенных действий в системе, а также обеспечивает подтверждение этих прав. Если в этом процессе есть пробелы, возникает критическая уязвимость, известная как Broken access control, нарушение контроля доступа.

В результате такого нарушения пользователи могут получить доступ к не предназначенным для них ресурсам и функциям системы. Например, если приложение позволяет рядовому пользователю получить права администратора, это создает огромный пробел в безопасности, что может привести к хищению, изменению или потере данных. Такие уязвимости возникают по разным причинам: ошибки в конфигурации, ошибки IDOR, незащищенное управление сеансами и т.д. Преступники с легкостью находят такие уязвимости и используют их себе на пользу.

Криптографические сбои

Криптография применяется для защиты чувствительных данных при их передаче: это могут быть номера кредитных карт, персональные данные пользователей и т.п. Но защита данных может провалиться из-за факторов наподобие слабых алгоритмов или коротких ключей шифрования, которые облегчают хакерам задачи по дешифровке чувствительных данных.

Другие примеры сбоев криптографии включают ненадежное хранение паролей, слабую безопасность транспортного уровня, слабые протоколы SSL/TLS и незащищенные наборы шифров, которые могут сделать приложение уязвимым к атакам. Из-за подобных уязвимостей хакеры могут легко скомпрометировать данные или устроить атаку man-in-the-middle.

Инъекции и скриптинг

Подобные атаки используют уязвимости при проверке входных данных и неадекватную их обработку. Злоумышленники проводят инъекции вредоносных данных, такие как SQL-запросы, фрагменты кода или команды, используя формы приложений или URL-адреса. Это позволяет получить доступ к конфиденциальным данным, или даже манипулировать работой приложения, вмешиваться в транзакции.

Вот лишь некоторые разновидности подобных атак:

• SQL-инъекции для атак на базы данных;

• Крос-сайтовый скриптинг (XSS-атака) – инъекция в веб-страницу вредоносного кода, который выполняется в браузере пользователя и позволяет хакерам перехватывать сеансы, воровать файлы cookie и т.п.;

• Инъекции команд (Command Injection) – хакеры интегрируют вредоносные команды в системные команды, выполняемые приложением. Это позволяет получать им неавторизованный доступ к серверам или определенному функционалу;

• LDAP-инъекции. Злоумышленники манипулируют LDAP-запросами, используемыми для аутентификации и авторизации.

• XML-инъекции. Хакеры интегрируют вредоносное содержимое в данные XML, получая возможность нарушить процесс парсинга приложения для получения доступа.

• Инъекция шаблонов на стороне сервера (SSTI). Злоумышленники внедряют вредоносный код в шаблоны на стороне сервера для выполнения вредоносного кода.

Каждая такая уязвимость может иметь огромные последствия.

Ненадежный дизайн

Это понятие охватывает ошибки в программном дизайне приложений и недостатки в архитектуре, которыми могут воспользоваться преступники. Подобные уязвимости возникают тогда, когда разработчики не могут оценить все потенциальные риски и угрозы безопасности на этапе проектирования и технической разработки продукта. Причиной проблем в дизайне может быть пренебрежение должными практиками и стандартами безопасности ради ускорения разработки.

Пример опасного дизайна: приложение выдает слишком тщательные сообщения в отчетах о системных ошибках. Это может быть удобно для поддержки, но такими отчетами могут воспользоваться и преступники, которые попытаются использовать диагностические данные для планирования скриптинга и SQL-инъекций.

Ложная конфигурация безопасности

Уязвимости возникают тогда, когда настройки безопасности приложения определены недостаточно четко или разворачиваются и поддерживаются по умолчанию. Например, приложение становится уязвимым в следующих случаях:

• Проверка безопасности на любом уровне стека приложений выполнена неправильно, или разрешения для облачных сервисов настроены неправильно;

• Включены или установлены ненужные функции, порты, сервисы, страницы, аккаунты и т.п.;

• Не настроены должным образом настройки безопасности в серверах приложений, фреймворках приложений (например, Struts, Spring, ASP.NET), библиотеках, базах данных и т.п.;

• Учетные записи и их пароли по умолчанию остаются включенными и неизменными;

• ПО морально устарело или не получило критических обновлений безопасности.

Безусловно, это далеко не все угрозы для веб- и мобильных приложений. В перечне OWASP фигурируют и другие распространенные уязвимости: уязвимые и устаревшие компоненты, ошибки идентификации и проверки подлинности, нарушение целостности ПО и данных, проблемы ведения журнала безопасности, подделка запросов на стороне сервера (SSRF) и т.д. 

Никуда не деваются и комплексные угрозы кибербезопасности: фишинг и все его разновидности, ransomware и malware-софт, атаки в цепочке поставок ПО и т.д. Понимание сущности и масштабов этих угроз помогает бизнесу правильно выбрать соответствующие практики защиты веб и мобильных приложений.

5 практик для кибербезопасности веб- и мобильных приложений

Круг угроз кибербезопасности постоянно расширяется. Злоумышленники постоянно ищут новые уязвимости в системах, совершенствуют методы фишинга и социальной инженерии, применяют новейшие технологии наподобие ИИ. Так что практики кибербезопасности мобильных приложений должны развиваться так же быстро и гибко. Давайте назовем главные направления этого развития.

Защита аутентификации и управления сеансами

Старые системы с логинами и паролями теряют актуальность. Любое современное веб- или мобильное приложение должно полагаться на защищенный механизм входа пользователя в систему, который может охватывать двухфакторную аутентификацию, хеширование, биометрические проверки и т.д. Крайне важно ввести на сайте надежные и уникальные идентификаторы сеансов, ограничить время ожидания в системе и защитить приложение от CSRF-атак. 

Надежная авторизация

Архитектура системы должна гарантировать, что пользователи могут получить доступ только к данным и функционалу, которые действительно необходимы им в рамках определенной приложением пользовательской роли. Важно внедрять в системе архитектуру Zero Trust, предусматривающую отказ от концепции внутреннего периметра и декларирующую отсутствие доверия к любой учетной записи или устройству, работающему с приложением. Все пользователи, устройства и запросы должны проходить дополнительную идентификацию и авторизацию в системе.

Валидация входящих данных

Это самый лучший путь противодействия инъекционным атакам, направленным на попытки интеграции вредоносного кода в приложение (например, SQL, JS или HTML-код) из-за уязвимостей в формах ввода. Чтобы предотвратить такие атаки, важно наладить двустороннюю валидацию: как на стороне фронтенда, так и на стороне сервера. Это гарантирует, что любая инъекция будет перехвачена и отклонена еще до обработки, и не сможет нанести ущерб приложению или его пользователям.

Соблюдение высоких стандартов

При разработке и развитии продукта важно опираться на самые актуальные стандарты, фреймворки и рекомендации по кибербезопасности: OWASP, ISO 27001, NIST CSF, PCI DSS, GDPR и т.д. Эти гайдлайны содержат практически все необходимые методы защиты веб и мобильных приложений. Их применение будет гарантировать использование безопасных паттернов программного дизайна, актуальных технологий и подходов к аутентификации и авторизации пользователей, шифрованию, валидации данных и т.д.

Регулярное pen-тестирование

Проверка и тестирование продукта является неотъемлемой частью кибербезопасности. В рамках pen-тестирования специалисты могут взять на себя роль хакеров и попытаться найти уязвимость в приложении. Такая проверка может проводиться по методу white box (хакеру известные внутренние параметры системы), gray box (известны лишь некоторые параметры) или black box (параметры неизвестны). Вы можете найти пример подобного тестирования в нашем блоге: мы проводили для нашего клиента pen-тестирование eCommerce-приложения.

Эти направления и практики кибербезопасности веб приложений можно считать ключевыми, но это не исчерпывающий список. Важно учитывать множество других аспектов: обучение персонала, использование потенциала ИИ и машинного обучения, противодействие социальной инженерии и т.д.

Разработайте защищенные мобильные и веб-приложения вместе с WEZOM

Наша команда уже четверть века разрабатывает диджитал-продукты для бизнеса: мобильные и веб-приложения любой сложности, корпоративный софт, цифровые экосистемы. Клиенты WEZOM – это логистические и производственные компании, крупные ритейлеры, энергетические холдинги, крупные застройщики, медицинские учреждения. Во всех этих областях безопасность имеет определяющее значение, поэтому мы хорошо понимаем, как обеспечить защиту мобильных приложений, софта и веб-решений.

Наш подход к проектам – это кастомная разработка, которая строится на лучших практиках и стандартах проектирования ПО. Так что если вас интересуют подобные возможности, вы можете обсудить их с нашими экспертами прямо сейчас. Давайте вместе создадим надежное и уникальное приложение для вашего бизнеса.

Вывод

Мобильные и веб-приложения остаются одними из главных целей для киберпреступников. Исследования показывают, что критические уязвимости можно найти практически в любом подобном продукте: нарушения контроля доступа, инъекции вредоносного кода, криптографические сбои, проблемы с программным дизайном и настройками безопасности. Часто организации не располагают необходимыми ресурсами и опытом, чтобы должным образом укрепить свое диджитал-направление.

Как обеспечить защиту веб приложений в таких условиях? Начинать стоит с поиска уязвимостей и внедрения лучших мировых практик и стандартов кибербезопасности. Прекрасным решением на этом пути для любой организации может стать поиск внешнего IT-партнера, у которого есть необходимый опыт и знания.

FAQ

Каковы последствия слабой безопасности приложений для бизнеса?

Организация, не уделяющая должного внимания кибербезопасности, ставит под удар свои транзакции и чувствительные данные своих пользователей. Последствия могут быть непредсказуемыми: нарушение операций, компрометация данных, прямой финансовый ущерб, потеря репутации и доверия пользователей.

Каковы основные уязвимости безопасности веб-приложений?

Защита веб-приложений чаще всего сталкивается с такими проблемами как нарушение контроля доступа, криптографические сбои, инъекции и скриптинг, пробелы в политике безопасности, ошибки в программном дизайне ПО и т.д. Методы защиты веб приложений в большинстве своем фокусируются на исправлении этих недостатков.

Каковы основные уязвимости безопасности мобильных приложений?

Для мобильных приложений характерны те же проблемы, что и для веб-приложений: несанкционированный доступ, атаки на серверную часть, несовершенное шифрование и т.д. Есть и специфические проблемы безопасности, связанные с особенностями мобильных ОС и возможностями смартфонов. Методы защиты мобильного приложения фокусируются на надежной валидации данных и строгом контроле доступа к функциям смартфона.