كيف يجب عليك حماية نظامك من المخاطر الأمنية المتزايدة؟


OWASP (Open Web Application Security Project)(مشروع أمن تطبيقات الويب المفتوحة) هي منظمة غير ربحية تتعامل مع أمن تطبيقات الويب وتنشر مقالات وتطبيقات حول هذا الموضوع. يتبع الوركيوب  OWASP ويشارك بانتظام في أنشطة التحسين.


يتم سرد مشاكل الأمان المحتملة وطرق تجنب هذه المشاكل في قائمة OWASP TOP 10 كما يلي.

  1. الحقن
  2. المصادقة المكسورة
  3. التعرض للبيانات الحساسة
  4. XML الكيانات الخارجية (XXE)
  5. كسر التحكم في الوصول
  6. سوء التكوين الأمني
  7. البرمجة النصية عبر المواقع (XSS)
  8. إلغاء التسلسل غير الآمن
  9. استخدام المضاعفات ذات نقاط الضعف المعروفة
  10. تسجيل غير فعال والرصد

A1. نقاط ضعف الحقن
يتم تحقيق ثغرات الحقن عن طريق إرسال جزء من أمر أو استعلام إلى المترجم في البيانات المستلمة من المستخدم. تعد نقاط الضعف في الحقن ثغرة أمنية شائعة، خاصة في تطبيقات ويب SQL Injection. هناك أنواع متعددة من الحقن: SQL أو LDAP أو XPath أو NoSQL ومحللي XML وأوامر نظام التشغيل ورؤوس SMTP ولغات التعبير واستعلامات ORM والمزيد. الحقن يسبب تسرب البيانات أو فقدان مباشر.

كيف تحمي؟

وينبغي تجنب استخدام المترجمين الشفويين. إذا كان من المقرر إرسال طلب إلى المترجم الشفهي، فيجب استخدام واجهة برمجة التطبيقات. مثل. تتوفر مكتبات الاستعلام القوية وتعيين الكائنات العلائقية (ORMs).

استخدم "القائمة البيضاء" للتحقق من صحة تسجيل الدخول من جانب الخادم. هذا ليس دفاعا كاملا لأن العديد من التطبيقات تتطلب أحرف خاصة مثل حقول النص أو واجهات برمجة التطبيقات لتطبيقات الجوال. يجب أن تحل الاستعلامات القوية محل المؤشرات عند استدعاء الإجراءات المخزنة.

يجب التحقق من صحة البيانات المدخلة. (يجب استخدام عناصر تحكم الحد أو SQL لحقن SQL. يجب أن تتم حقوق الوصول إلى قاعدة البيانات بشكل صحيح.


A2. المصادقة المكسورة
هذا هو نوع الثغرة الأمنية التي يستخدمها المهاجمون للاستيلاء على معلومات المستخدم وكلمات المرور والجلسات باستخدام القوة الغاشمة (هجوم القوة الغاشمة). يمكن للمهاجمين اكتشاف المصادقة المعطلة باستخدام أداة يدوية أو استغلال هجمات قائمة كلمات المرور والقاموس باستخدام الأداة التلقائية. يمكن للمهاجمين الوصول فقط إلى عدد قليل من الحسابات المهمة وتحقيق أهدافهم. على سبيل المثال ، إذا تمكنوا من الوصول إلى حساب المسؤول ، فيمكنهم إلحاق ضرر كبير بهذا المستخدم.

كيف تحمي؟

يجب تجنب التشغيل الآلي عند إجراء مصادقة متعددة العوامل، إن أمكن. بالنسبة لمستخدمي المسؤولين/المسؤولين، يجب عدم إضافة أي بيانات اعتماد. عناصر التحكم القوية في كلمة المرور إلزامية. يجب أن يتوافق طول كلمة المرور وتعقيدها مع سياسات كلمة المرور الحديثة.

يجب تجنب التشغيل الآلي عند إجراء مصادقة متعددة العوامل، إن أمكن. بالنسبة لمستخدمي المسؤولين/المسؤولين، يجب عدم إضافة أي بيانات اعتماد. عناصر التحكم القوية في كلمة المرور إلزامية. يجب أن يتوافق طول كلمة المرور وتعقيدها مع سياسات كلمة المرور الحديثة.

من الضروري إنشاء أكبر عدد ممكن من الرموز المميزة للجلسة العشوائية وتطبيق رموز الجلسة بشكل صحيح.


A3. التعرض للبيانات الحساسة

يحدث هذا النوع من الثغرات الأمنية بسبب عدم تشفير البيانات أو استخدام خوارزميات التشفير القديمة الافتراضية والمكشوفة. يجب تشفير معلومات بطاقة الائتمان وكلمات المرور والسجلات الشخصية ووثائق الشركة والعديد من المعلومات المهمة الأخرى.

في الوقت نفسه ، حتى إذا تم تشفير المعلومات أثناء التسجيل على جانب الخادم ، إذا كانت المعلومات غير مشفرة أثناء نقلها من العميل إلى الخادم ، فإن هذا يخلق ثغرة أمنية. لذلك ، يجب استخدام التشفير أثناء النقل بالإضافة إلى التشفير من جانب الخادم.

كيف تحمي؟

يجب استخدام خوارزميات تشفير قوية بدلا من خوارزميات التشفير القديمة. لا تنشر أبدا مفاتيحك الخاصة على قنوات غير آمنة. بدلا من استخدام بروتوكولات النص الواضح غير الآمنة مثل http و ftp و smtp وبروتوكولات SSL مثل https و ftps و smtps ، يجب استخدام هذا النقل المشفر.

بموجب متطلبات معيار أمان بيانات PCI 3، يجب عليك حماية بيانات حامل البطاقة. أفضل ممارسة هي عدم تخزين البيانات غير الضرورية أبدا.


A4. كيانات XML الخارجية (XXE)
تحدث هذه الثغرة الأمنية بسبب XML pars قديم أو تم تكوينه بشكل خاطئ. باستخدام هذه الثغرة الأمنية، يمكن للمهاجمين إرسال ملف xml ضار إلى الخادم وقراءة الملفات من الخادم وتشغيل التعليمات البرمجية وتنفيذ هجوم dos.

كيف تحمي؟
استخدم تنسيق JSON الأقل تعقيدا إن أمكن. حافظ على تحديث المكتبات ذات الصلة ب XML. سيكون من المفيد إيقاف تشغيل خاصية الكيان الخارجي XML. يجب أن يتم عنصر التحكم "أثناء الإدراج" بواسطة الخادم.


A5. التحكم في الوصول المكسور
يمكن للمهاجمين استخدام هذه الثغرة الأمنية للوصول إلى الملفات غير المصرح بها أو استخدام وظائف غير مصرح بها أو الوصول إلى بيانات المستخدمين الآخرين أو تعديل الأذونات.

كيف تحمي؟
يجب حظر البيانات الأخرى غير البيانات العامة افتراضيا. من الضروري أن يتم إجراء آلية التحكم في الأذونات بشكل صحيح واستخدامها في أماكن أخرى وأن يتم تعطيل قائمة دليل الخادم. من الضروري تسجيل عمليات الوصول غير الصحيحة والإبلاغ عنها إلى مسؤول النظام، وأن يقوم المسؤول بتثبيتها بانتظام.


A6. سوء تكوين الأمان
وهو نوع من الثغرات الأمنية التي تحدث نتيجة لإعدادات الخدمة غير الصحيحة أو غير المكتملة. يمكن أن يحدث سوء تكوين الأمان على أي مكدس تطبيقات، بما في ذلك خدمات الشبكة أو النظام الأساسي أو خادم الويب أو خادم التطبيقات أو قاعدة البيانات أو أطر العمل أو التعليمات البرمجية المخصصة والأجهزة الظاهرية المثبتة مسبقا أو الحاويات أو التخزين.

كيف يتم حمايتها؟
إزالة الميزات أو أطر العمل غير المستخدمة. قم بإجراء فحوصات للتحقق من فعالية التكوينات والإعدادات في جميع البيئات. تأكد من تغيير كلمات المرور الافتراضية


A7. البرمجة النصية عبر المواقع (XSS)
يحدث ذلك نتيجة لإرسال البيانات المستلمة من المستخدم كاستجابة html دون التحقق والتصفية. هناك ثلاثة أشكال من XSS تستهدف عادة متصفحات المستخدمين:

  • XSS المنعكس: هي القدرة على تشغيل رمز JS في متصفح المستخدم الفوري للبيانات المستلمة من المستخدم. عادة ما يحدث XSS المنعكس بسبب النقر فوق الروابط الضارة.
  • XSS المخزنة: تعتبر عموما خطرا كبيرا أو حرجا. لأنه يتم تسجيله بواسطة الخادم ويتم تشغيل التعليمة البرمجية في كل مرة يتم فيها استدعاء تلك الصفحة.
  • DOM XSS: بيانات محددة ديناميكيا يمكن التحكم فيها من قبل المهاجمين في أطر عمل JS وتطبيقات الصفحة الواحدة وواجهات برمجة التطبيقات. 

كيف تحمي؟
من الضروري التحقق من صحة البيانات الواردة ، وتجنب طلب HTML غير الموثوق به في إخراج HTML. سيؤدي تنفيذ الترميز الواعي بالسياق إلى تقليل المخاطر الأمنية.


A8. إزالة التسلسل غير الآمن
تحدث هذه الثغرة الأمنية نتيجة لإزالة تسلسل المدخلات الضارة غير الموثوق بها من المستخدم. لذلك ، من الضروري التحقق من البيانات من المستخدم.

كيف تحمي؟

يجب فرض عمليات التحقق من النزاهة مثل التوقيعات الرقمية على الكائنات المتسلسلة. يجب تطبيق قيود الكتابة قبل إنشاء الكائن. من الضروري عزل التعليمات البرمجية المتسلسل وتشغيلها في البيئات ذات الامتيازات المنخفضة كلما أمكن ذلك.

من الضروري تسجيل اتصالات الشبكة التسلسلية الصادرة أو مراقبتها أو تقييدها من الخادم أو الحاوية ، أو حظرها في حالة حدوث حالات شاذة. إذا كانت المسلسلات المماثلة قادمة من نفس المستخدم ، فيجب إعطاء تحذير وحظره.


A9. استخدام المكونات ذات الثغرات الأمنية المعروفة
في حين أنه من السهل العثور على نقاط الضعف المكتوبة مسبقا للعديد من نقاط الضعف المعروفة ، فإن نقاط الضعف الأخرى تتطلب جهدا مكثفا لفتح ثغرة أمنية محددة. يحدث هذا النوع من الثغرات الأمنية نتيجة لاستخدام الإصدارات القديمة من الخدمات والتطبيقات والمكونات الإضافية مع عمليات الاستغلال المعروفة. بعد أن يعثر المهاجمون على إصدارات هذه الخدمات ، يمكنهم استخدام عمليات الاستغلال المعروفة لاختطاف التطبيق / الخادم. وهذا يشكل خطرا كبيرا.

كيف تحمي؟
من الضروري الحفاظ على تحديث نظام التشغيل والخدمات والتطبيقات وإزالة الخدمات غير المستخدمة. من الضروري التحقق بانتظام من وجود نقاط ضعف جديدة وإجراء تصحيحات مناسبة. احصل على المكونات فقط من المصادر الرسمية عبر روابط آمنة. تفضل الحزم الموقعة لتقليل فرصة إضافة مكون ضار معدل.


A10. عدم كفاية التسجيل والرصد

إن عدم كفاية تسجيل واستخدام وجهات النظر هو السبب الجذري لكل حدث رئيسي تقريبا. يجب مراجعة اليوميات / السجلات بعد اختبار اختراق الاستراتيجية لتحديد ما إذا كان لديك مراقبة كافية أم لا. يجب تسجيل تصرفات المختبرين بشكل كاف لفهم الضرر الذي يمكن أن يفعلوه.

تبدأ معظم الهجمات الناجحة بالبحث عن نقاط الضعف. إن السماح باستمرار مثل هذه التحقيقات يزيد من احتمال الاستغلال الناجح إلى ما يقرب من 100٪.

كيف تحمي؟

تأكد من أنه يمكن تسجيل جميع عمليات تسجيل الدخول وفشل التحكم في الوصول وأخطاء التحقق من صحة تسجيل الدخول من جانب الخادم باستخدام سياق مستخدم كاف لتحديد الحسابات المشبوهة أو الضارة والاحتفاظ بها لفترة كافية من الوقت للسماح بتحليل الطب الشرعي المتأخر.

باستخدام حلول إدارة السجلات المركزية، يجب إنشاء السجلات بتنسيق سهل الاستهلاك (؟). وينبغي القيام بالرصد والإنذار الفعالين بحيث يتم الكشف عن الأنشطة المشبوهة والاستجابة لها في الوقت المناسب. تأكد من أن المعاملات عالية القيمة لها مسارات تدقيق.


التجميع والترجمة باستخدام مصادر OWASP

?

?