Иммунитет для сайтов. Как устроена защита онлайн-сервисов

Каждый день миллионы людей заходят на сайты, оформляют заказы, вводят пароли и отправляют сообщения. Мало кто задумывается, что в этот же момент тысячи автоматических программ пытаются взломать эти сайты. Как ученые и инженеры научились отличать обычных посетителей от злоумышленников и при чем тут облачные технологии, разбираемся с экспертами облачного провайдера Рег.облако.

Что происходит, когда вы открываете сайт

Что происходит, когда вы открываете сайт

Когда вы вводите адрес интернет-магазина в браузере, происходит обмен данными. Ваш браузер отправляет запрос — сервер его обрабатывает и возвращает страницу, картинку или результат операции. Это основа работы любого сайта: поиска, регистрации, комментариев, оформления заказа, личного кабинета.

Но вместе с реальными людьми на сайт приходят автоматические программы — боты. Часть из них полезна: например, поисковые роботы Google или Яндекс индексируют страницы, чтобы вы могли найти их через поиск. А часть — вредоносна. Одни подбирают пароли к аккаунтам, другие ищут дыры в формах, третьи заваливают сервер запросами, чтобы он перестал работать.

Для бизнеса это означает не только технические сбои, но и потерю заказов, утечку данных клиентов и подорванную репутацию. Именно поэтому сайты нуждаются в защите, и не только на уровне «пускать / не пускать», но и на уровне понимания того, что именно человек или программа пытается сделать.

Наверх
↑

Как работает изнутри защита сайтов и веб-приложений

Как работает изнутри защита сайтов и веб-приложений

Чтобы понять, как работает защита, представим интернет как многоэтажное здание. Данные передаются по сети послойно — эта идея лежит в основе модели OSI (Open Systems Interconnection model), международного стандарта, описывающего, как информация путешествует от одного компьютера к другому.

Всего слоев семь, и каждый отвечает за свой участок: от передачи сигналов по проводам (физический уровень) и доставки данных между соседними устройствами (канальный уровень) до маршрутизации между сетями (сетевой уровень) и надежной передачи пакетов (транспортный уровень). Верхние три уровня — сеансовый, представления и прикладной — управляют соединением, форматом данных и, наконец, самими сервисами вроде HTTP-запросов — сообщений, которые браузер отправляет серверу, чтобы получить данные или выполнить действие: открыть страницу, отправить форму, оформить заказ.

Простейший защитный механизм — обычный файрвол, или сетевой экран. Он работает на сетевом уровне: проверяет IP-адрес (это уникальный числовой адрес устройства в сети, по которому данные находят нужный компьютер, как почтовый адрес находит нужный дом), порт, протокол и право на доступ к серверу. Он как вахтер на проходной: смотрит на пропуск, но не заглядывает в портфель.

Отсюда проблема. Запрос покупателя, который ищет «кроссовки», и запрос злоумышленника, который вводит в ту же строку фрагмент кода, для файрвола выглядят одинаково. Оба — легальные HTTP-запросы с правильным адресом и портом.

Здесь на сцену выходит WAF — Web Application Firewall, или межсетевой экран прикладного уровня. Если файрвол — вахтер, то WAF — служба безопасности внутри здания, которая проверяет не только пропуск, но и содержимое сумок.

WAF работает на седьмом, прикладном уровне модели OSI — там, где живут HTTP-запросы. Он анализирует не только адрес, но и содержание: URL, параметры, заголовки, тело запроса, данные форм, методы API (это конкретные операции, которые программа может запросить у сервиса через его интерфейс: например, получить список товаров, создать заказ или обновить профиль пользователя) и последовательность действий клиента. Система пытается понять не только кто обращается к сайту, но и что именно он пытается сделать.

Если пользователь вводит в поиске название товара — запрос проходит дальше. Если вместо этого в поле появляется фрагмент кода, похожий на попытку обратиться к базе данных или выполнить команду на сервере, WAF может заблокировать его до того, как он достигнет приложения.

Наверх
↑

Какие атаки чаще всего угрожают сайтам

Какие атаки чаще всего угрожают сайтам

Веб-приложение обязано принимать данные от пользователя — так устроены поиск, регистрация, оформление заказа и API. Но именно через эти механизмы злоумышленник может передать приложению то, чего оно не ожидает.

SQL-инъекция. Если приложение неправильно обрабатывает ввод, атакующий вставляет в форму фрагмент SQL-кода — языка, на котором программы общаются с базами данных. В результате он меняет логику запроса и получает доступ к закрытым данным.

Межсайтовый скриптинг (XSS, Cross-Site Scripting). Это атака, при которой атакующий добавляет вредоносный скрипт в комментарий, профиль или форму на сайте.

Удаленное выполнение кода (RCE, Remote Code Execution). Речь идет об ошибках в приложении или конфигурациях, которые позволяют атакующему выполнять команды на сервере. Последствия — кража данных, компрометация сервера, проникновение в другие части инфраструктуры.

Прикладные DDoS-атаки. В этом случае злоумышленники отправляют внешне корректные запросы к ресурсоемким частям сервиса: поиску, форме авторизации, API. По отдельности они выглядят нормально, но в большом количестве исчерпывают ресурсы приложения. Общая черта всех сценариев — вредоносный трафик маскируется под пользовательский.

Наверх
↑

Как отражается кибератака: объясняем на примере облачного WAF

Как отражается кибератака: объясняем на примере облачного WAF

WAF получает запрос раньше веб-приложения и проверяет его по нескольким признакам.

Первый механизм — сигнатурный анализ. У системы есть набор шаблонов, характерных для распространенных атак: SQL-инъекций, XSS, попыток обратиться к служебным файлам. Если запрос совпадает с паттерном, WAF отклоняет его или фиксирует событие. Это похоже на антивирус: есть база известных «болезней», и система сверяет с ней входящие данные. Подход хорошо работает против массовых атак, но злоумышленники умеют менять форму запросов и кодировать символы — поэтому защита опирается не только на шаблоны.

Второй уровень — анализ поведения и контекста. WAF учитывает, как часто клиент обращается к ресурсу, какие страницы запрашивает, насколько типична последовательность его действий, не превышает ли он лимит. Множество попыток войти в аккаунт за короткое время — признак подбора паролей. Непрерывные обращения к тяжелому поисковому запросу — признак прикладной DDoS-атаки.

Отдельную роль играет антибот-защита. Современные автоматические системы имитируют действия человека: делают паузы, меняют параметры браузера, переходят между страницами. Поэтому для их выявления недостаточно одного признака. Сервис сопоставляет технические характеристики клиента и поведенческие факторы, чтобы отличить пользователя, поискового робота и нежелательный скрипт. Для бизнеса это важно не только в контексте атак: боты массово проверяют наличие товаров, резервируют дефицитные позиции, создают фальшивые заказы и искажают аналитику.

Кроме того, WAF позволяет добавлять пользовательские правила: ограничить доступ к административному разделу по списку IP, задать лимит обращений к чувствительному API, запретить запросы к устаревшему разделу сайта. Это дает возможность учитывать специфику приложения без доработки его кода. Вся проверка занимает миллисекунды — в идеале пользователь не замечает работы защитного слоя.

Наверх
↑

Как облачные технологии сделали защиту сайтов доступной для всех

Как облачные технологии сделали защиту сайтов доступной для всех

Традиционно WAF требовал собственной технологической инфраструктуры: оборудования, интеграции в сетевую схему, обновления правил и постоянного сопровождения ИТ-специалистами. Для малого и среднего бизнеса такой проект мог быть слишком сложным и дорогим — это как содержать собственный штат телохранителей, чтобы просто сходить в магазин.

В облачной модели защитный контур работает у облачного провайдера, а компания подключает к нему сайт, приложение или API и управляет правилами через интерфейс сервиса. Подключение занимает значительно меньше времени, нагрузка может расти без закупки оборудования, а стоимость проще планировать в рамках подписки.

Например, WAFaaS в Рег.облаке предназначен для защиты сайтов, веб-приложений и API без отдельного проекта по развертыванию инфраструктуры — его можно быстро подключить и настроить самостоятельно в личном кабинете. Трафик проходит через защитный контур, где проверяются HTTP-запросы, применяются профили защиты и фильтруется подозрительная активность. После этого приложение получает уже проверенные запросы.

Такой формат полезен компаниям, у которых сайт влияет на продажи или обслуживание клиентов, но нет выделенной команды информационной безопасности. А таких компаний очень много: это практически любой интернет-магазин, онлайн-сервис, веб-студия, рекламное агентство, корпоративный портал и сайт компании, медиа-ресурс и СМИ.

Наверх
↑

Облачный WAF решает конкретную задачу: ставит перед веб-ресурсом фильтр, который анализирует веб-трафик и не пропускает часть опасных запросов к серверу. Для бизнеса это способ добавить защиту на уровне сайта или API без закупки оборудования и развертывания отдельного ИТ-проекта. 

Если провести аналогию, WAF — не просто замок на двери, а умный охранник, который понимает, что происходит, и отличает курьера с пиццей от грабителя с отмычкой. А облачная модель сделала такого охранника доступным не только крупным корпорациям, но и небольшим командам. 

Попробовать, как работает такая защита на практике, можно в Рег.облаке. В отличие от большинства подобных решений, WAFaaS в Рег.облаке предлагает уровень защиты, сопоставимый с корпоративными дорогостоящими решениями, но доступный по обычной подписке. Любой пользователь может подключить сервис самостоятельно, использовать готовые профили защиты и управлять им без развертывания сложной ИТ-инфраструктуры.

Реклама: ООО «РЕГ.РУ», ИНН: 7733568767, erid: 2W5zFHVZmqs

Источник