Организации могут обеспечить надежную безопасность веб-приложений посредством постоянного, комплексного и автоматизированного сканирования их attack surfaces.
Веб-приложения и application programming interfaces (APIs) играют ключевую роль в модернизации предоставления услуг и коммуникации между гражданами и государственными учреждениями. Однако, по данным ежегодного исследования Verizon по утечкам данных, веб-приложения стали основной точкой атаки для злоумышленников.
Для организаций государственного сектора, которые модернизировались с помощью веб-приложений, становится критически важным перейти от периодических или разовых обзоров уязвимостей к внедрению автоматизированных программ безопасности приложений для усиления защиты от растущих киберинцидентов.
Государственные организации сталкиваются с уникальными вызовами, которые отличают их от частного сектора. Долговечные устаревшие системы с веб-интерфейсами и API разного возраста создают препятствия для своевременного обновления и улучшения безопасности. В отличие от коммерческих секторов, которые могут достаточно быстро внедрять технологические усовершенствования, государственные учреждения часто отстают из-за своей зависимости от старых приложений или систем. Тем не менее, учреждения могут начать решать новые угрозы, стремясь к более глубокому пониманию сценариев атак и получая доступные инструменты, необходимые для преодоления этих вызовов.
“Необходимо комплексное понимание любых возможных сценариев атак; важно понять, кто имеет доступ к этим приложениям, их природу и уровень чувствительности, а также соответствующим образом корректировать решения. Проблема усугубляется при работе с устаревшими системами, которые противодействуют легким изменениям или быстрым обновлениям”– говорит Франк Катуччи, CTO Invicti.
“В некоторых случаях последние версии программного обеспечения могут быть неприменимы из-за наличия старых компонентов или вещей, которые являются критическими для инфраструктуры или бизнес-функций, которые не могут быть нарушены. Поэтому в таких случаях тщательное тестирование становится обязательным. И необходимо понять, без лишнего шума, где находятся реальные риски,” – добавляет Катуччи. Определение всех потенциальных уязвимостей является критически важным, поскольку все больше приложений становятся веб-приложениями и приобретают уязвимости.
Синхронизация безопасности с разработкой
Поскольку API служат шлюзами к ценным данным, они превратились в значительные поверхности для атак. Разработчики все больше полагаются на API в своих приложениях, поэтому потребность в решениях, которые эффективно идентифицируют уязвимости в API, стала критической.
“Поставки современных приложений происходят гораздо быстрее и чаще, что означает, что мы не выпускаем программное обеспечение раз в квартал или раз в год, как это было с нашими устаревшими приложениями. Мы выпускаем их несколько раз в день для более современных типов приложений и API. Поэтому мы должны рассматривать это с другой перспективы”,- объясняет Катуччи.
“Современные приложения имеют другой порог, что означает, что изменения происходят несколько раз в день в быстром темпе. Мы не можем ждать на сканирование в определенный момент времени. Чтобы адаптироваться к этому быстрому темпу изменений, нужно изменить перспективу и интегрировать практики безопасности в процессы DevOps,” – добавляет он.
Средняя стоимость утечки данных в 2023 году составила $4,45 миллиона. Для того чтобы избежать этих потенциальных затрат, периодическое сканирование веб-приложений и API недостаточно. Современная разработка веб-приложений требует стратегии, которая балансирует скорость, точность и увеличенную частоту тестирования.
Software development cycle (SDLC)
Внедрение решений, интегрируемых в цикл разработки программного обеспечения (Software Development Life Cycle, SDLC), обеспечивает всестороннюю защиту для приложений на этапах разработки и эксплуатации, предоставляя точные результаты и снижая объем ручной работы. Примеры таких решений включают dynamic application security testing (DAST), interactive application security testing (IAST) или software composition analysis (SCA).
Эти решения для тестирования не являются одноразовыми усилиями. Как только код меняется или развивается, могут появиться новые уязвимости, а старые — повториться, что делает регулярное и автоматизированное тестирование необходимостью. Согласно AppSec Indicator от Invicti, “Сканирование постоянно растет с года в год с 2019 года. За последние четыре года частота сканирования на один учетный запись выросла на 50%, что свидетельствует о тенденции компаний к более частому сканированию внутренних и внешних веб-приложений и API по мере расширения тестирования безопасности влево (на этапе разработки) и вправо (в производстве).”
Кроме того, отчет показал, что при увеличении частоты сканирования наблюдалось снижение процента серьезных уязвимостей. Он уменьшился почти на 20% в 2022 году. Данные указывают на то, что выделение ресурсов для улучшения программ безопасности приложений, включающих сканирование или тестирование на различных этапах SDLC, приносит положительные результаты.
Повышение частоты сканирования привело к снижению числа сканирований, выявляющих критические уязвимости, согласно отчету. Соответственно, это снижает риск утечки данных для организаций. И поскольку темпы разработки программного обеспечения ускоряются, инициативы по безопасности приложений должны принять двойной подход — расширять меры безопасности как на ранних, так и на поздних этапах цикла разработки, чтобы уменьшить потенциальные утечки данных.
Уменьшение “болевых точек”
Когда инженеры AppSec оснащены современными решениями, они могут проводить сканирование и делиться своими результатами с командой DevOps. При этом инженеры не привлекаются напрямую к интенсивным задачам проверки и устранения этих уязвимостей. Ценность этих находок заключается в их способности определить, достаточно ли быстрого и стандартного решения или необходима более продолжительная фаза расследования и коммуникации, которая может занять недели или даже месяцы.
Интеграция этого процесса в DevOps workflow позволяет экономить средства, выявляя проблемы безопасности на самых ранних этапах. Такой проактивный подход предотвращает потенциально дорогую необходимость определения, внедрения и повторного тестирования исправлений на поздних этапах проекта.
Преимущества масштабируемых инструментов тестирования безопасности
DAST – это метод тестирования, который не зависит от технологий и не требует доступа к исходному коду. Он особенно важен для обеспечения безопасности веб-сред, охватывающих как устаревшие, так и современные приложения. Это ценно для государственных организаций, где жизненные циклы приложений, как правило, длятся дольше, чем в коммерческих контекстах. Кроме того, системы и процессы могут быть настолько изолированными, что трудно даже начать разговор о стандартном решении для безопасности.
Включение proof-based тестирования в конвейер разработки позволяет организациям со временем улучшать безопасность, выявляя уязвимости до того, как они повлияют на продукцию. Согласно исследованию Invicti, proof-based сканирование может подтвердить 94% основных уязвимостей, которые можно определить с точностью 99,98%. Proof-based сканирование устраняет неопределенность, показывая, какие проблемы являются реальными и можно определить без ложных срабатываний. Это устраняет необходимость догадок и ручной работы, позволяя перейти к безопасности веб-приложений на любом масштабе.
Это устраняет необходимость догадок и ручной работы, позволяя перейти к безопасности веб-приложений на любом масштабе. Кроме того, организации должны рассмотреть решения, которые предлагают гибкие варианты развертывания в различных средах. Например, это могут быть системы на Windows или Linux, контейнерное развертывание с использованием таких инструментов, как Docker и Kubernetes, или программное обеспечение как услуга (SaaS) в облаке. Последним являются гибридные конфигурации. Это позволяет командам с ограниченным временем интегрировать безопасность в свои существующие среды и рабочие процессы, обеспечивая эффективное, постоянное тестирование и централизованную видимость.
Объединение традиционной и облачной безопасности
Другим развитием, которое начинает наблюдаться, является объединение традиционной безопасности приложений и облачной безопасности. Многие учреждения переходят на облачные и контейнерные среды. Таким образом, они планируют получить преимущества масштабируемой пропускной способности по требованию по сравнению с традиционными локальными сетями.
Это привело к экспоненциальной миграции и разработке веб-приложений, которые легче поддерживать в таких средах. Соответственно, обеспечение их безопасности требует тестирования безопасности веб-приложений и API в препродакшн и продакшн средах.
Решение этого расширенного ландшафта требует целостного подхода, который охватывает людей и процессы. “AppSec не является новым, облачная безопасность не обязательно новая; руководители должны понять их объединение. Нельзя больше позволять этим двум изолированным группам работать отдельно,”– говорит Катуччи.
Он объясняет, что адаптация практик безопасности для гибкой, облачно-центричной современной разработки приложений включает интеграцию безопасности на протяжении всего процесса, принятие принципов zero trust и обеспечение того, чтобы люди и процессы были неотъемлемыми компонентами комплексного пути безопасности.
Стратегии построения успешной программы AppSec
Обеспечение безопасности рабочих нагрузок приложений требует оркестрации, автоматизации и управления, которые могут быть предоставлены только современными решениями для тестирования безопасности веб-приложений. Чтобы ускорить эти усилия, Катуччи рекомендует:
- Сотрудничать с известными коммерческими поставщиками решений по кибербезопасности для работы со зрелыми решениями по безопасности и обеспечения поддержки поставщиков для гладкой реализации, интеграции и кастомизации.
- Принять подход DevSecOps с автоматизированным тестированием безопасности и рассмотреть решения для тестирования, такие как Invicti, для эффективной защиты многочисленных веб-сайтов, приложений и API.
- Понимать поверхности атаки путем картографирования облачных данных, компонентов с открытым исходным кодом и онлайн-ресурсов, включая ведение спецификации программного обеспечения, для выявления потенциальных уязвимостей и точек доступа к ним.
- Регулярно обновлять, тестировать и поддерживать план реагирования на инциденты, чтобы выявлять и устранять пробелы, обеспечивая киберустойчивость в различных потенциальных сценариях, при этом внедряя комплексную политику резервного копирования данных и тестирования восстановления для эффективного снижения риска потери данных.
- Воспитывать культуру, где каждый сотрудник и подрядчик признает свою роль как первой линии защиты, придавая приоритет повышению осведомленности о кибербезопасности и образованию как неотъемлемой части повседневных операций агентства.
