Securitatea web este o afacere reală și este mai bine să o recunoașteți mai devreme decât să așteptați să se întâmple ceva rău.
Avansarea rapidă a tehnologiei, inclusiv a serviciilor și aplicațiilor web, a revoluționat afacerile moderne. Multe companii și-au mutat cele mai multe operațiuni online, permițând angajaților și partenerilor de afaceri din orice parte a lumii să colaboreze și să partajeze cu ușurință date în timp real.
După ce au fost introduse aplicațiile web moderne HTML5 și Web 2.0, cerințele clienților s-au schimbat. Acum, toată lumea vrea să acceseze orice informație de care ar putea avea nevoie 24/7/365. Drept urmare, companiile online sunt, de asemenea, împinse să-și facă datele disponibile tot timpul.
În timp ce perioada de blocare globală ar fi putut fi destul de bună pentru cei care lucrează de acasă și pentru comercianții cu amănuntul online, a beneficiat enorm și infractorilor cibernetici.
Tranzacțiile online în creștere și munca de la distanță le-au permis să pirateze o mulțime de informații despre cardul de credit și să vizeze lucrătorii de la distanță și organizațiile lor. Acest progres a invitat, de asemenea, escroci și hackeri rău intenționați care dezvoltă noi vectori de amenințare din când în când.
Anul acesta, aproximativ 80% dintre companii au asistat la o creștere a atacurilor cibernetice, în timp ce Coronavirusul a alimentat o creștere cu 238% a amenințărilor asupra băncilor, spune un raport.
Pentru a atenua toate aceste atacuri, securitatea aplicațiilor web a luat naștere cu mult timp în urmă. Și această industrie are nevoie de profesioniști talentați care pot salva organizațiile de la pierderea de date, bani și încrederea consumatorilor.
Acesta este scopul acestui articol în care veți înțelege lucruri despre securitate, ceea ce se așteaptă de la profesioniștii în securitate web și surse de unde puteți învăța și stăpâni abilitățile.
Deci, să începem?
Cuprins
Ce este securitatea aplicațiilor web?
Securitatea web, securitatea cibernetică sau securitatea aplicațiilor web reprezintă modalitatea de a proteja serviciile și site-urile online de diferite amenințări care exploatează vulnerabilitățile asociate codurilor unei aplicații.
Unele dintre țintele comune ale acestor atacuri sunt soluții de gestionare a bazelor de date precum phpMyAdmin, aplicații SaaS, sisteme de management al conținutului (CMS) precum WordPress și multe altele.
Securitatea web are ca scop prevenirea unor astfel de atacuri prin interzicerea accesului, utilizării, distrugerii/întreruperii sau modificării neautorizate.
Deci, care este motivul pentru care atacatorii vizează aplicațiile web pe scară largă?
- Complexitatea inerentă a codului sursă al aplicației, crescând probabilitatea vulnerabilităților, precum și manipularea codului.
- Aplicațiile sunt ușor de executat; prin urmare, atacatorii pot lansa sau automatiza cu ușurință majoritatea atacurilor, care pot viza mii de aplicații simultan.
- Spoturi de mare valoare, care includ date sensibile și private prin manipularea codului sursă, precum și deșeuri financiare
Tipuri comune de vulnerabilitate
Cross-site Scripting (XSS)
XSS permite atacatorilor să infuzeze scripturi la nivelul clientului într-o pagină web și să acceseze direct date importante, să păcălească utilizatorii să dezvăluie date importante sau să uzurpare identitatea utilizatorilor. Consecințele sale includ accesarea conturilor, activarea troienilor, modificarea conținutului paginii etc.
Falsificarea cererii pe mai multe site-uri (CSRF)
CSRF păcălește victimele atunci când fac o solicitare care le folosește autorizarea sau autentificarea. Prin urmare, prin aceste privilegii de cont, atacatorii pot face solicitări uzurpând identitatea utilizatorului. Ar putea duce la transfer de fonduri, modificări de parolă etc.
Refuzarea serviciului (DoS) și Respingerea serviciului distribuit (DDoS)
Atacatorii supraîncarcă serverul vizat și/sau infrastructura acestuia cu diferite trafic de atac. Odată ce serverul devine incapabil să proceseze în mod eficient cererile inkling, începe să se comporte lent și în cele din urmă refuză serviciul pentru mai multe solicitări primite, chiar și de la vizitatori legitimi.
Injecție SQL 💉
Metoda pe care o folosește un atacator pentru a exploata vulnerabilități similară modului în care bazele de date implementează interogări de căutare. Atacatorii folosesc SQI pentru a accesa date neautorizate, pentru a crea sau a modifica permisiunile utilizatorilor, pentru a distruge sau a manipula date sensibile și multe altele.
Includerea fișierelor de la distanță
Atacatorii îl folosesc pentru a injecta fișiere rău intenționate cu coduri într-un server de aplicații web pentru a executa aceste coduri pentru a dăuna aplicației, a o manipula și a fura date.
Alții
Alte atacuri includ corupția memoriei, încălcarea datelor, clickjacking, traversarea directoarelor, injectarea de comandă, depășirea untului și multe altele.
Sper că acestea sunt suficiente pentru a înțelege că securitatea web este necesitatea momentului și de ce toată lumea trebuie să o implementeze cât mai curând posibil înainte ca aceasta să poată reprezenta vreo amenințare pentru aplicația dvs. și să vă dăuneze financiar sau reputației.
Datorită cerințelor sale tot mai mari, mulți oameni vin să învețe. Și dacă ești dornic să înveți acest subiect, ar putea fi o opțiune de carieră grozavă și benefică la nivel personal.
Ce fac Web Security Professionals?
Profesioniștii în securitate web sunt cei responsabili pentru protejarea aplicațiilor web, a rețelelor relevante și a datelor aplicațiilor. Acestea ajută la atenuarea încălcării datelor prin monitorizarea rețelei și reacționarea la amenințări.
Acești profesioniști au experiențe ca administratori de rețea sau de sistem, programatori. Pentru că acest domeniu necesită curiozitate, gândire critică, pasiune pentru cercetare și învățare. Ei trebuie să fie capabili să depășească hackerii care sunt „distructiv de creativi” în dezvoltarea și injectarea diferitelor amenințări.
Deoarece amenințările de securitate pot apărea oricând, profesioniștii în securitate trebuie să fie la curent cu toate cele mai recente tactici pe care le folosesc hackerii pentru a se strecura în sisteme și rețele. Unele dintre responsabilitățile profesioniștilor în securitatea web sunt:
- Găsiți vulnerabilități în aplicații web, baze de date și criptare.
- Reduceți atacurile prin remedierea problemelor de securitate
- Efectuați audituri periodic pentru a asigura cele mai bune practici de securitate
- Implementați instrumente de prevenire și detectare a punctelor terminale pentru a preveni atacurile rău intenționate
- Implementați sisteme de gestionare a vulnerabilităților între activele din cloud și on-premise
- Gestionați curățenia în cazul în care apar atacuri
- Colaborați cu alte operațiuni IT pentru a planifica recuperarea în caz de dezastru.
- Lucrați cu liderii echipei și HR pentru a educa toți angajații să detecteze activități suspecte.
Câteva bune practici de securitate pentru a securiza aplicațiile web
Utilizarea paravanelor de protecție pentru aplicații web (WAF)
WAF vă ajută să vă protejați aplicațiile web de solicitările HTTP rău intenționate. Pune o barieră între atacator și serverul tău. Poate proteja stratul șapte împotriva amenințărilor precum XSS, CSRF, injecție SQL etc.
Reducerea DDoS
După cum sugerează și numele, este folosit pentru a atenua atacurile DDoS ale aplicațiilor și la nivelul rețelei, astfel securizând site-urile web, aplicațiile și infrastructura serverului.
Bot 🤖 filtrare
Este implementat pentru a filtra traficul prost bot.
Protecție DNS
Este făcut pentru a vă proteja cererea DNS împotriva deturnării prin atacuri pe cale și otrăvirea cache-ului DNS.
Folosind HTTPS
HTTPS criptează toate datele schimbate între server și clientul dvs. pentru a proteja acreditările de conectare, informațiile din antet, cookie-urile, datele de solicitare etc.
Așadar, dacă v-ați hotărât să învățați securitatea aplicațiilor web, vă puteți referi la următoarele resurse de învățare și vă puteți îmbunătăți abilitățile 🧑💻.
PortSwigger
Învățați de la creatorii Burp Suite – o platformă lider pentru o varietate de instrumente de securitate cibernetică de PortSwigger. Este un training online și GRATUIT care vă poate stimula cariera în securitate cibernetică.
Cu laboratoarele interactive, puteți învăța oricând și de oriunde și puteți urmări progresul în timp. Oferă instruire în vulnerabilitățile logicii de afaceri, dezvăluirea informațiilor, otrăvirea cache-ului web, deserializarea nesigură, injecția SQL, XSS, CSRF, injectarea XXE și multe altele.
Materialele de învățare PortSwigger sunt realizate de profesioniști cu experiență, echipa de cercetare și fondatorul lor – Dafydd Stuttard. El este, de asemenea, autorul unei cărți celebre numită Web Application Hacker’s Handbook.
Tutorialele sunt explicate cuprinzător în conținutul text și video pentru a vă ajuta să vă amintiți cu ușurință punctele cheie. Laboratoarele lor interactive fac cursul general interesant și este locul în care vă cer puzzle-uri realiste pentru a vă testa abilitățile de hacking.
EdX
Fundamentele securității web de EdX este excelent pentru înțelegerea principiilor de bază. Vă oferă o imagine de ansamblu asupra atacurilor comune și a contramăsurilor potrivite pentru fiecare dintre ele doar teatral și practic.
De asemenea, vă învață cele mai bune practici de securitate existente în prezent pentru a securiza aplicațiile web. Dacă doriți să vă înscrieți la curs, nu aveți nevoie neapărat de cunoștințe anterioare de securitate. Dar dacă o faci, te va ajuta foarte mult să înțelegi mai bine lucruri precum HTTP, JavaScript, HTML etc.
Durata cursului este de 5 săptămâni, care include 4-6 ore pe săptămână. Este complet GRATUIT să înveți; cu toate acestea, dacă doriți, puteți plăti 48,97 USD pentru a obține un certificat verificat și semnat de instructor, cu sigla instituției pe el. Acest certificat poate fi folosit pentru a crește perspectivele de angajare și poate fi partajat pe LinkedIn sau poate fi încorporat în CV-ul sau CV-ul tău.
Stanford
Cursul CS 253 Web Security de la Stanford oferă rezumatul complet al securității web și își propune să îi facă pe studenți să înțeleagă atacurile web comune și cum să le prevină. Cursul acoperă nu numai elementele fundamentale, ci și înclinațiile avansate în securitatea web.
Unele dintre subiecte includ:
- Principii de securitate web
- Atacuri și contramăsuri
- Vulnerabilitatea aplicațiilor web
- Model de securitate pentru browser
- Atacurile prin injecție, DoS și TLS
- Amprenta digitală, confidențialitate, politică de aceeași origine, autentificare, scriptare între site-uri, securitate JavaScript
- Apărare în profunzime
- Amenințări emergente
- Tehnici de scriere a codurilor securizate, exploatări de securitate
- Implementarea standardelor web în evoluție și apărarea aplicațiilor web slabe
Pentru a urma acest curs, trebuie să fi urmat CS 142 sau orice altă experiență echivalentă în dezvoltarea web. Aici, prezența este obligatorie, iar nota se bazează pe:
- 75% pe teme
- 25% la examenul final
Pentru a pregăti mai bine, puteți citi soluția pentru Examenul final 2019 si altul exemple de întrebări pentru CS 253.
Prietenos pentru începători
Fara indoiala, Udemy este unul dintre cele mai bune locuri pentru a studia online pentru diferite cursuri; Securitatea aplicațiilor web este una dintre ele. Dacă ești începător, acest curs este grozav pentru tine, deoarece nu necesită cunoștințe anterioare de codare.
În acest curs veți învăța:
- Identificarea celor mai bune 10 amenințări detectate de OWASP sau Open Web Application Security Project
- Înțelegerea modului în care aceste amenințări pot fi atenuate
- Impactul fiecărei amenințări asupra afacerii dvs
- Modul în care atacatorii execută aceste amenințări
Cursul este explicat în cea mai simplă limbă, astfel încât toți cei care au puține informații pe internet și pe computer să îl poată înțelege. De asemenea, acoperă apărarea în profunzime, o explicație pentru falsificare, dezvăluirea de informații, falsificare, repudiere, ridicarea privilegiilor și DoS.
Tutori cu experiență sunt acolo pentru a vă învăța tot ce aveți nevoie pentru a stăpâni elementele de bază ale securității web.
Coursera
O altă opțiune foarte bună de pe listă este Coursera, care vă învață cum puteți utiliza OWASP ZAP sau Zed Attack Proxy. Acest instrument ajută profesioniștii în securitate, precum și testerii de penetrare în găsirea vulnerabilităților.
- Ele vă învață cum puteți scana pentru vulnerabilități, analiza rezultatele scanării, generați rapoarte din acestea etc.
- Veți învăța, de asemenea, configurarea proxy-ului browserului pentru a scana răspunsurile și solicitările pasiv prin explorarea site-urilor web.
- O scurtă explicație a modului de vizualizare, interceptare, redirecționare și modificare a solicitărilor web care apar între aplicația web și browser.
- În plus, veți învăța să utilizați listele de dicționar pentru a găsi foldere și fișiere pe serverul dvs. web.
- În plus, puteți înțelege cum puteți accesa cu crawlere site-urile pentru a găsi adrese URL și linkuri.
Instructorii cursului vă ghidează pas cu pas fiecare subiect din videoclipul cu ecran divizat și, deoarece este pe cloud, nu trebuie să pierdeți timpul cu descărcarea. Coursera oferă certificate incluse pentru fiecare program fără costuri suplimentare.
PentesterLab
PentesterLab acoperă de la niveluri de bază până la niveluri avansate. Te învață cum să găsești și apoi să exploatezi vulnerabilitățile manual. Toate exercițiile lor acoperă slăbiciunile comune sau problemele întâlnite în diferite sisteme.
Pentru o învățare mai bună, acestea oferă sisteme reale și vulnerabilități reale, astfel încât să puteți învăța în timp real, fără emulare. Exercițiile lor online vă permit să obțineți certificate după finalizarea cursului. Toate exercițiile sunt împărțite în insigne pe care le puteți finaliza pentru a beneficia de certificat.
YouTube
YouTube este centrul de cunoștințe; trebuie doar să-l folosești corect!
Deci, există un canal – Google Chrome Developers cu 505.000 de abonați pe YouTube pe care îl puteți căuta pentru a afla.
În acest tutorial, puteți înțelege câțiva vectori tipici de atac și cum vă puteți proteja datele, utilizatorii și reputația. În continuare, vi se va prezenta un nou curs care are ca scop furnizarea de prelegeri concise și exerciții practice pe teme care includ atât apărare, cât și atac.
Mozilla
Întoarce-te la Documente web MDN de Mozilla și accesați articole utile despre securitatea web. Articolele enumerate aici acoperă o varietate de subiecte precum securitatea conținutului, securitatea conexiunii, securitatea datelor, scurgerea de informații, integritatea datelor, protecția împotriva clicurilor, securitatea datelor utilizatorilor etc.
Informațiile din aceste articole vă vor ajuta să vă protejați site-ul web și toate codurile acestuia împotriva furtului de date și a atacurilor. Puteți afla câteva lucruri interesante, cum ar fi cum vă puteți remedia site-ul, dacă ați blocat conținut mixt, despre algoritmii de semnătură și multe altele.
Invicti
Un articol cuprinzător de Invicti este apt să explice esențialul securității aplicațiilor web. Este scris excelent pentru a ajuta chiar și începătorii să înțeleagă termenii și tehnologiile utilizate în securitatea web.
În articol, sunt explicate miturile și elementele de bază ale securității aplicațiilor web și cum companiile actuale își pot îmbunătăți securitatea site-ului și a aplicațiilor pentru a ține la distanță atacatorii cibernetici.
Aici vei învăța:
- Cum să vă securizați aplicațiile web
- Selectarea scanerului de vulnerabilități potrivit
- Diferența dintre scanerul de vulnerabilități web gratuit și cel comercial
- Cum vă puteți testa scanerul de vulnerabilități și când să îl utilizați
- Câteva bune practici pentru a vă securiza serverul web, precum și alte componente
SANS
Urmează acest curs – SEC22 de la SANS dacă urmăriți apărarea aplicațiilor web. Vă va ajuta să înțelegeți toate vulnerabilitățile de securitate asociate cu aplicația dvs. web, astfel încât să vă puteți proteja activele web.
Cursul vă prezintă tehnici de atenuare pentru arhitectură, infrastructură și codare, alături de metodele din lumea reală. Vă veți familiariza cu natura acestor vulnerabilități pentru a înțelege de ce se întâmplă și cum să le atenuați.
Este potrivit pentru persoanele care sunt responsabile cu gestionarea, implementarea sau apărarea aplicațiilor web. Poate include analiști de securitate a aplicațiilor, arhitecți, dezvoltatori, audituri, testeri de stilouri etc.
Cursul va acoperi subiecte precum:
- Cele mai bune 10 amenințări OWASP
- Probleme specifice din primele 25 erori ale software-ului CWE
- Integrarea cloud într-o aplicație web
- Configurarea limbii aplicației
- Configurarea infrastructurii și managementul securității
- Mecanisme de autentificare
- Antete HTTP
- Defecte în logica afacerii
- Erori de codare precum XSS, CSRF, injectare SQL etc.
Dacă înțelegeți elementele de bază ale conceptelor și tehnologiilor aplicațiilor web precum JavaScript și HTML, sunteți bine să urmați cursul.
Cloudflare
Acesta este un alt articol din lista de Cloudflare care acoperă lucruri despre securitatea aplicațiilor web.
Mai exact, explică:
- Care este sensul acestei terminologii,
- Câteva vulnerabilități tipice și apoi
- Cele mai bune practici pentru a preveni vulnerabilitățile de securitate web
Citiți acest articol pentru a clarifica câteva concepte de bază care vă vor ajuta foarte mult atunci când vă înscrieți pentru un program de securitate pentru aplicații web.
Concluzie
Învățarea securității aplicațiilor web a devenit crucială, deoarece atacurile cibernetice cresc rapid.
Toate cele bune!