четверг, 19 февраля 2015 г.

СОИБ. Внедрение. Настройка Web Application Firewall, часть 1

Некоторые тестеры-разоблачители WAF, считают что достаточно поставить коробочку / подключить сервис и всё - можно проводить свои изощренные эксперименты, выдавать разоблачительные статьи и разрабатывать на коленке собственные спасительные утилиты.

Моё мнение - WAF отлично справляется со своей задачей и нужно просто правильно его "готовить".

Посмотрим какие настройки должны выполняться на WAF в реальных проектах (не считая инициализации, базовых и сетевых настроек, подключения онлайн-сервисов)  и разберем подробно для чего эти настройки нужны:
·        Так как мы глубокий анализ  трафика web трафика задача ресурсоемкая, а мы хотим эффективно использовать ресурсы нашего WAF, то нам нужно точное определение области защиты (весь трафик не касающийся области защиты будем пропускать без проверок):
o   определяем защищаемые площадки (Sites)
o   задаем перечень ip-адресов серверов web приложений (Server Groups)
o   для каждого сервера указываем сервисы и порты, связанные с web приложениями (web services)
o   определяем все web приложения, расположенные на наших web сервисах (а их может быть больше 1, например:  www.microtest.ru, www.security-microtest.ru) и задаем соответствие приложений и URL. В дальнейшем это нам поможет включать разные политики на разные приложения,  а при мониторинге WAF и реагировании на инциденты поможет быстро определить приложения, на которые производится атака. Это важно -  за разные приложения могут отвечать разные группы разработчиков, специалистов поддержки

·        Наиболее критические web приложения будут использовать HTTPS для защиты передаваемой информации. Чтобы наш WAF хоть что-то увидел нужно импортировать SSL сертификаты с закрытыми ключами для каждого из web серверов (SSL inspection)

·        Задаем  шаблон сообщения об ошибке, для тех случаев когда запросы были заблокированы WAF-ом. Это позволит нам на этапе опытной эксплуатации определять и отделять ложные срабатывания WAF от ошибок web приложений.
<html><header><title>Error</title></header>
<body><H2>Внимание</H2><br>
Ваш запрос к web приложению не может быть выполнен в связи с нарушением политик безопасности. Свяжитесь с службой поддержки для получения дополнительной информации.<br>
Event id: $(EVENT_ID)<br>
</body></html>
·        Проблемой для нас будет, если используются балансировщики трафика, а в крупных web приложениях они используются:


o   разместив WAF до балансировщиков, мы видим в поле ip-адреса назначения запросов адреса балансировщиков, а не адреса защищаемых web серверов.  
o   разместив WAF после балансировщиков мы видим в поле ip-адреса источика запросов – адреса балансировщиков, а не пользователей или атакующих.
o   можно подключить WAF до и после балансировщиков, но в таком случае мы будем обрабатывать 2 раза один и тот же трафик и получать в 2 раза больше событий и нарушений
Одно из красивых решений:  разместить WAF после балансировщиков, а на балансировщиках настроить опцию регистрации форвардинга, в которой в запрос будет добавляться указание ip-адреса источника (в опцию X-Forwarded-For). В таком случае, на WAF для определенных web сервисов нам надо будет настроить распознавание ip-адреса источника из поля X-Forwarded-For

Так-же мы не хотим чтобы ip-адреса балансировщиков попадали в долговременный черный список (в отличае от ip-адресов атакующих) нужно добавить в исключения в настройках реакций WAF


·        Полезным было бы задать в WAF структуру web приложений с указанием всех каталогов, страниц и используемых параметров на каждой странице. Это пригодится нам для тонкой настройки политик в дальнейшем (например, мы захотим явно указать все страницы, на которых разрешено принимать данные от пользователя или например, захотим отметить все страницы, на которых могут отображаться персональные данные).

Вручную задавать такие данные – задача трудоемкая, а ведь надо ещё и актуализировать при изменениях web приложений. Поэтому, хорошо если ваш WAF поддерживает динамическое профилирование web-приложений. 
В таком случае нам нужно его включить и настроить правила динамического обновления профилей web приложений

На этом мы закончим первую часть настроек, а впереди нас ещё ждет назначение политик безопасности, определение ценных данных, маскировка информации, настройка специализированных плагинов для конкретных web приложений, тюнинг профилей, жесткое определение типов параметров и задание ограничений для них, настройка реакций, настройки корреляции событий, настройка отчетов и окон мониторинга.

Жду отзывов – интересны ли вам подобные статьи и стоит ли делать продолжение?


вторник, 3 февраля 2015 г.

СОИБ. Общее. Интересности с поИБ вендорских полей

Несмотря а может быть и вопреки модной теме инпортозамещения, двукратному увеличению стоимости решений в связи с изменением курса доллара, слухах об уменьшении бюджетов известные западные вендоры поИБ в начале года проявляют саму активность:
·        Cisco Systems уже отметилась несколькими региональными конференциями (чего в Краснодаре уже давно не было), серийно сертифицировали в ФСТЭК  IPS (в дополнение к большому набору сертификатов ASA) и запустили насертификацию ещё ряд продуктов (Cisco 2911, 2921, 2951, 3560C, 3850, ASAv, VSG, UCS, Sourcefire 3D)


·        Check Point Software Technologies запустили шлюзы на сертификацию в системе ФСТЭК, и так же на тематические испытания в ФСБ (ещё пару лет назад, представители вендора говорили что не планируют связываться с сертификацией ФСБ и применять SG для защиты ПДн в качестве криптошлюзов. Возможно что скоро мы будем иметь возможность выбирать Check Point SG для реализации подсистем МЭ, СОВ, СКЗИ для ПДн)

·        IBM Security запустили в первом квартале русскоязычную программу эспертного роста по решениям безопасности IBM с целой кучей вебинаров, практических работ и обучений

·        HP Development Company недавно сертифицировали свой NGIPS  и (не обошлось без пересечений с IBM) проводят партнерские вебинары

·        Сертифицированное решение Stonegate NGFW, влившееся в McAfee продолжает жить (несмотря на желание конкурентов поскорее их закопать) – сертификат на NGFW и VPN будет действовать до середины 2016 года, а в процессе сертификации новая версия McAfee NGFW 5.7 (на МЭ, САВЗ, СОВ)


Кто знает, может быть мы увидим от иностранных вендоров, отстаивающих свои позиции в России, много интересного в этом году?!