دیوار آتش برنامه های وب
دیوار آتش برنامه های تحت وب و یا فایروال وب، یک حالت خاص از فایروال است که بر روی وب کار میکند و میتواند ترافیک ورودی و خروجی به یک سرور را فیلتر، نظارت و یا مسدود کند. فایروال وب با بررسی ترافیک HTTP میتواند از حملات بر روی برنامه های وب جلوگیری کند [۱] . حملاتی از جمله تزریق اس‌کیوال، تزریق اسکریپت از طریق وبگاه، درج فایل و یا تغییر تنظیمات سیستمی[۲].
تاریخچه[ویرایش]
فایروال های وب در اواخر دهه 1990 زمانی که حملات به سرورهای وب افزایش یافته بود وارد بازار شدند [۳].
اولین محصول از فایروال وب توسط شرکت Perfecto Technologiesبا نام AppShield توسعه پیدا کرد که بیشترین تمرکز آن برای بازار تجارت الکترونیک بود[۴].
در سال 2002 یک پروژه متن باز به نام ModSecurity ایجاد شد تا تکنولوژی فایروال وب را بیشتر در دسترس قرار دهد. این پروژه از یک سری قانون و فیلترهای اولیه برخوردار بود که از برنامه های وب حفاظت میکرد و اساس کار آن بر اساس خط مشی OWASP بود [۵].
در 2003 این پروژه قانون ها و فیلترهای خود را گسترش داد تا با لیست 10 آسیب پذیری OWASP که یک رتبه بندی از بیشتری آسیب پذیری ها ارائه میکند، خود را هماهنگ کند[۶].
بر اساس مجله CISO انتظار میرود که بازار فایروال های وب تا سال 2002، 5.48 میلیارد دلار رشد کند[۷].
توضیحات[ویرایش]
فایروال وب نوع خاصی از فایروال است ک ه به طور خاصی برای برنامه های وب پیاده سازی می شود. این سامانه در بیرون از مسیر برنامه های وب قرار میگیرد و ترافیک وب ورودی و خروجی را بررسی میکند هر چیز مخربی را شناسایی و مسدود میکند. اوسپ، یک تعریف فنی برای فایروال وب ارائه میکند: "یک راه حل امنیتی در سطح برنامه های وب که از نظر فنی مستقل از خود برنامه وب است"[۸].
PCI DSS 6.6 فایروال وب را اینگونه توصیف میکند: "فایروال وب سامانه ای برای اجرای سیاست امنیتی بین برنامه وب و مشتری است که این سامانه میتواند هم به صورت نرم افزاری و هم سخت افزاری پیاده سازی شود"[۹].
این سامانه میتواند هم در سطح دستگاه های خانگی و هم در سطح سرورها پیاده سازی شوند. فایروال وب میتواند هم به صورت یک سامانه مستقل و هم در تجمیع با دیگر سامانه های شبکه پیاده سازی شود. به عبارت دیگر یک فایروال وب میتواند هم به صورت فیزیکی و هم به صورت مجازی پیاده سازی شود تا در مقابل تهدیدات خارجی از آسیب پذیری ها محافظت کند. آسیب پذیری های یک برنامه وب را هم با تست نفوذ و هم با برنامه های اسکن خودکار آسیب پذیری میتوان کشف کرد.
Samate، اسکنر امنیتی برنامه های وب را اینگونه توصیف میکند: "یک برنامه خودکار که برنامه های وب را تحت بررسی قرار میدهد تا آسیب پذیری های امنیتی بالقوه آن را کشف کند، علاوه بر جست و جو برای آسیب پذیری، این ابزارها به دنبال خطاهای کدنویسی نیز هستند"[۱۰].
فایروال وب یک راه حل کامل برای امنیت نیست بلکه باید آن ها را در کنار دیگر راه حل امنیتی مثل فایروال شبکه، و یا سیستم های جلوگیری از نفوذ به کار برد تا یک سامانه کامل دفاعی و چندلایه به دست آید. فایروال های وب با استفاده از ترکیبی از قانون ها و فیلترهای منطقی و تحلیل امضاها و parsing برای شناسایی حملات اقدام میکنند. حملاتی از جمله: تزریق اس‌کیوال، تزریق اسکریپت از طریق وبگاه
OWASP یک لیستی از 10 نقص امنیتی مهم و رایج را اعلام میکند. تمامی فایروال های وب تجاری طوری طراحی می شوند که حداقل این لیست 10 نقص امنیتی اعلام شده توسط OWASP را شامل شوند.
فایروال های وب غیرتجاری نیز وجود دارند که همان طور که گفته شد یک مورد معروف و متن باز آن modsecurity است.
منابع[ویرایش]
This article "دیوار آتش برنامه های وب" is from Wikipedia. The list of its authors can be seen in its historical and/or the page Edithistory:دیوار آتش برنامه های وب. Articles copied from Draft Namespace on Wikipedia could be seen on the Draft Namespace of Wikipedia and not main one.
- ↑ «Web Application Firewall». TechTarget.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «اسلاید درس امنیت داده و شبکه دانشگاه صنعتی شریف» (PDF). ۱۳۹۹.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «Web application firewall». Wikipedia.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «Perfecto Technologies Delivers AppShield for E-Business - InternetNews». www.internetnews.com. ۲۰۱۶-۰۹-۲۰.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «ModSecurity homepage». ModSecurity.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «What is OWASP? Guide to the OWASP Application Security Top 10».صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «Web Application Firewall Market Worth $5.48 Billion by 2022». دریافت‌شده در ۱۰ آوریل ۲۰۱۸.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ Maximillan Dermann; Mirko Dziadzka; Boris Hemkemeier; Alexander Meisel; Matthias Rohr; Thomas Schreiber. «OWASP Best Practices: Use of Web Application Firewalls ver. 1.0.5». OWASP.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ «Information Supplement: Application Reviews and Web Application Firewalls Clarified ver. 1.2» (PDF). PCI DSS.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
- ↑ Paul E. Black; Elizabeth Fong; Vadim Okun; Romain Gaucher. «NIST Special Publication 500-269 Software Assurance Tools: Web Application Security Scanner Functional Specification Version 1.0» (PDF). SAMATE NIST.صفحه پودمان:Citation/CS1/fa/styles.css محتوایی ندارد.
