Dünya Çapında Açık Uygulama Güvenliği Projesi, IoT, sistem yazılımı ve web uygulaması güvenliği alanlarında ücretsiz olarak kullanılabilen makaleler, metodolojiler, belgeler, araçlar ve teknolojiler üreten çevrimiçi bir topluluktur. OWASP ücretsiz ve açık kaynaklar sağlar. OWASP Vakfı adlı kar amacı gütmeyen bir kuruluş tarafından yönetilmektedir. OWASP Top 10 - 2021, 40'tan fazla ortak kuruluştan derlenen kapsamlı verilere dayanan son araştırmaların yayınlanmış sonucudur.  --OWASP'ın  web sitesi  OWASP düzenli olarak En İyi 10 güvenlik açığı raporunu yayınlamaktadır. Rapor, web uygulamalarındaki güvenlik açıklarını hedef alıyor.  Bu yazıda bunlardan bazılarını   aracılığıyla nasıl düzeltebileceğimi anlatmak istiyorum. Apache APISIX API Gateway  OWASP En İyi 10 2021  Raporda 2021'de şunlar belirtiliyor:  A01:2021-Bozuk Erişim Kontrolü  A02:2021-Kriptografik Hatalar  A03:2021-Enjeksiyon  A04:2021-Güvensiz  A05:2021-Güvenlik Yanlış Yapılandırması  A06:2021-Hassas ve Eski Bileşenler  A07:2021-Tanımlama ve Kimlik Doğrulama Hataları  A08:2021-Yazılım ve Veri Bütünlüğü Arızaları  A09:2021-Güvenlik Loglama ve İzleme Arızaları  A10:2021-Sunucu Tarafında İstek Sahteciliği  Daha fazla ayrıntı için lütfen   tamamını kontrol edin. raporun  Bir güvenlik açığının düzeltilmesi, onun kesin niteliğine bağlıdır. Örneğin,   düzeltilmesi süreç odaklıdır ve sürümlerin yönetilmesi ve eskilerinin kullanımdan kaldırılması konusunda disiplin gerektirir. Ancak bazıları tekniktir ve yalnızca ters proxy veya API Ağ Geçidinde uygun konfigürasyon gerektirir;     . Savunmasız ve Güncel Olmayan Bileşenlerin örneğin Sunucu Tarafı İstek Sahteciliği  Güvenlik kimsenin umurunda değil  Güvenlik hassas bir konudur çünkü güvenliğin güçlendirilmesi işletmeye herhangi bir değer getirmez. Kariyer odaklı yöneticiler, bir sonraki yıllık değerlendirmelerinde şirketin kârını %X artırdıklarını gösteremeyecekleri için güvenliği önemsemeyecekler. Yönetim kurulu güvenliği ciddiye almadığı sürece kimsenin umursamaması muhtemeldir. Bu nedenle çoğu kuruluş, onay kutusu tabanlı güvenlik, diğer bir deyişle makul inkar edilebilirlik uygular. Güvenliği düzgün bir şekilde uygulamakla ilgileniyorsanız, önceki bir blog gönderisinde bazı düşüncelerimi yazmıştım:   . Güvenliği bir risk olarak değerlendirin  Sonuç olarak, başvuruları güvence altına almak için çok fazla bütçe sağlanmayacaktır. Bu nedenle bu konuda akıllı olmalı ve mevcut bir bileşeni aramalıyız. Neyse ki OWASP, İlk 10'u işlemek için kullanıma hazır bir yapılandırma sunuyor ve bu,   adlı bir yapılandırma aracılığıyla düzeltilebiliyor. Maalesef ModSecurity'i hedef alıyor: Temel Kural Seti  Bazen Modsec olarak da adlandırılan ModSecurity, açık kaynaklı bir web uygulaması güvenlik duvarıdır (WAF). Başlangıçta Apache HTTP Sunucusu için bir modül olarak tasarlanan bu modül, Apache HTTP Sunucusu, Microsoft IIS ve Nginx dahil olmak üzere bir dizi farklı platformda diğer güvenlik özelliklerinin yanı sıra bir dizi Köprü Metni Aktarım Protokolü istek ve yanıt filtreleme yeteneği sağlayacak şekilde geliştirildi. Apache lisansı 2.0 altında yayımlanan ücretsiz bir yazılımdır.  --  Wikipedia'da ModSecurity  Nnginx'i Apache APISIX yapılandırmasıyla yapılandırmak teorik olarak mümkün olsa da, daha basit bir yol daha var.  OWASP Temel Kural Seti ve Coraza  Temel Kural Kümesinin açıklaması ihtiyaçlarımızla oldukça alakalı:  OWASP® ModSecurity Temel Kural Seti (CRS), ModSecurity veya uyumlu web uygulaması güvenlik duvarlarıyla kullanıma yönelik bir dizi genel saldırı algılama kuralıdır. CRS, web uygulamalarını OWASP İlk On da dahil olmak üzere çok çeşitli saldırılara karşı minimum yanlış uyarıyla korumayı amaçlamaktadır. CRS, aşağıdakiler de dahil olmak üzere birçok yaygın saldırı kategorisine karşı koruma sağlar:  SQL Enjeksiyonu (SQLi)  Siteler Arası Komut Dosyası Çalıştırma (XSS)  Yerel Dosya Ekleme (LFI)  Uzaktan Dosya Ekleme (RFI)  PHP Kod Enjeksiyonu  Java Kod Enjeksiyonu  HTTPoksi  Kabuk şoku  Unix/Windows Kabuk Enjeksiyonu  Oturum Sabitleme  Komut Dosyası/Tarayıcı/Bot Algılama  Meta Veri/Hata Sızıntıları  --  OWASP® ModSecurity Temel Kural Seti web sitesi  OWASP ayrıca Go kütüphanesi olarak ModSecurity'nin bir portu olan   da sağlar.   Coraza'nın üzerine inşa edilmiştir ve proxy'ler için bir dizi Wasm arabirimini belirten   uygular. Son olarak Apache APISIX proxy-wasm entegrasyonu sunar. Coraza'yı Coraza Proxy Wasm, proxy-wasm ABI'yi  Hepsini bir araya koy  Özetleyelim:  OWASP, en iyi 10 web güvenlik açığının bir listesini sağlar  Bunları Temel Kural Seti aracılığıyla ModSecurity için uygular  Coraza, proxy-wasm uygulaması olarak kullanılabilen bir ModSecurity limanıdır  Apache APISIX'i bu şekilde makul ve güvenli varsayılanlarla yapılandırabiliriz. Hadi yapalım.  İlk olarak: Coraza, Apache APISIX dağıtımının bir parçası değil. Yine de Docker ile buraya eklemek çok kolay:   FROM apache/apisix:3.8.0-debian ENV VERSION 0.5.0 #1 ENV CORAZA_FILENAME coraza-proxy-wasm-${VERSION}.zip #1 ADD https://github.com/corazawaf/coraza-proxy-wasm/releases/download/$VERSION/$CORAZA_FILENAME . #2 USER root #3 RUN <<EOF apt-get install zip -y #4 unzip $CORAZA_FILENAME -d /usr/local/apisix/proxywasm rm $CORAZA_FILENAME apt-get remove zip -y chown -R apisix:apisix /usr/local/apisix/proxywasm EOF USER apisix #5  Daha iyi sürdürülebilirlik için değişkenleri tanımlayın  Coraza Wasm sürümünü edinin  Son APISIX sürümlerinde, kullanıcı güvenliği güçlendirmek için   . Paketleri kurmamız gerektiğinden   geçmeliyiz. apisix root  Yüklü olmadığı için   yükleyin, indirilen arşivi açın, arşivi kaldırın,   kaldırın ve çıkartılan klasörün sahibini değiştirin unzip unzip    kullanıcısına geri dön apisix  Bir sonraki adım APISIX'in kendisini Coraza Wasm eklentisini kullanacak şekilde yapılandırmaktır.   wasm: plugins: - name: coraza-filter #1 priority: 7999 #2 file: /usr/local/apisix/proxywasm/coraza-proxy-wasm.wasm #3  Filtrenin adı Wasm kodunda ayarlandı  En yüksek önceliği ayarlayın, böylece diğer eklentilerden önce çalışır  Çıkarılan dosyanın yolu, yukarıdaki   bakın Dockerfile  Son olarak eklentiyi rotalara atayabilir veya her rotaya uygulanacak global bir kural olarak ayarlayabiliriz. Statik yapılandırma kullanıyorum:   global_rules: - id: 1 plugins: coraza-filter: #1 conf: directives_map: #2 default: - SecDebugLogLevel 9 #3 - SecRuleEngine On #4 - Include @crs-setup-conf #5 - Include @owasp_crs/*.conf #6 default_directives: default #7    eklentisini şimdi kullanıma sunulduğuna göre yapılandırın coraza-filter  Yapılandırmaları tanımlayın. Burada tek bir tane tanımladık,   , ancak birkaçını tanımlayıp farklı rotalarda farklı olanları kullanabiliriz. default  Günlüklerde ne olduğunu görmek için günlük düzeyini artırın  Motoru açın  Coraza kurulumunu kullanın  Tüm kuralları kullanın. Daha hassas kontrol için istediklerimizi seçip seçebiliriz  Yukarıda tanımlanan   yapılandırmayı kullanın default  Kurulumumuzu test etmek için   adresine rota tanımlamaya devam ediyoruz. Rotayı   çağıralım: https://httpbin.org/ /get   curl localhost:9080?user=foobar  Yanıt beklendiği gibi:   { "args": { "user": "foobar" }, "headers": { "Accept": "*/*", "Host": "localhost", "User-Agent": "curl/8.4.0", "X-Amzn-Trace-Id": "Root=1-65b9fa13-75900dc029e156ec764ae204", "X-Forwarded-Host": "localhost" }, "origin": "192.168.65.1, 176.153.7.175", "url": "http://localhost/get?user=foobar" }  Şimdi sorgu dizesinde JavaScript göndermeyi deneyelim. Bu isteğin sunucu tarafında beklenmesi mümkün değildir, dolayısıyla altyapımız bizi bundan korumalıdır.   curl 'localhost:9080?user=<script>alert(1)</script>'  Yanıt bir 403 HTTP durum kodudur. Günlüğe bakarsak aşağıdaki ipuçlarını görebiliriz:   Coraza: Warning. XSS Attack Detected via libinjection [file "@owasp_crs/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] Coraza: Warning. NoScript XSS InjectionChecker: HTML Injection Coraza: Warning. Javascript method detected Coraza: Access denied (phase 1). Inbound Anomaly Score Exceeded in phase 1  Coraza işi yaptı!  Çözüm  Çoğu kuruluş güvenliği teşvik etmez. Bu nedenle bu konuda akıllı olmamız ve mevcut bileşenleri mümkün olduğunca kullanmamız gerekiyor.  Coraza ve Core Ruleset'i kullanarak Apache APISIX'i OWASP Top 10'a göre güçlendirebiliriz.   Daha ileri gitmek için:   OWASP Güvenliği İlk 10   OWASP ModSecurity Temel Kural Seti   OWASP Coraza WAF   APISIX - Coraza ile entegrasyon  Bu yazının kaynak kodunun tamamı   bulunabilir. GitHub'da   İlk olarak 4 Şubat 2024'te   yayınlandı A Java Geek'te

Read all my posts!

Read My Stories

Follow @nicolas_frankel on Twitter

Bu ses hikayenin orijinal dilinde üretilmiştir!

Çok uzun; Okumak

Boost your HackerNoon story @ $159.99! 🚀

Apache APISIX API Ağ Geçidi ile Web Güvenlik Açıkları Nasıl Giderilir?

About Author

YORUMLAR

ETİKETLERİ ASIN

BU YAZI

Related Stories

İş Akışınızı 10 Kat Nasıl İyileştirirsiniz: 17 Temel Uygulama

Bu 18 Geliştirici Aracıyla Üretkenliğinizi Artırın 🚀🔥

Kazanmak için Dokun: Telegram, Solana'dan Önce Sonraki 10 Milyar Kripto Kullanıcısına Katılabilir

Telegram: Kripto Adası'nın anakaraya olan köprüsü

İş Akışınızı 10 Kat Nasıl İyileştirirsiniz: 17 Temel Uygulama

Bu 18 Geliştirici Aracıyla Üretkenliğinizi Artırın 🚀🔥

Kazanmak için Dokun: Telegram, Solana'dan Önce Sonraki 10 Milyar Kripto Kullanıcısına Katılabilir

Telegram: Kripto Adası'nın anakaraya olan köprüsü

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps