Application Security Uygulama Güvenliği Chapter 8.

... konulu sunumlar: "Application Security Uygulama Güvenliği Chapter 8."— Sunum transkripti:

1 Application Security Uygulama Güvenliği Chapter 8

2 Orientation • Some attacks inevitably get through network protections and reach individual hosts • In Chapter 7, we looked at OS and host hardening • In Chapter 8, we look at application hardening • This is the last chapter on protection Copyright Pearson Prentice-Hall 20102

3 Oryantasyon • Bazı saldırıların ağ koruması yoluyla alınması ve bireysel bilgisayarlar ulaşması kaçınılmazdır • Bölüm 7, OS ve host güçlendirilmesine baktık • Bölüm 8, uygulama güçlendirilmesine bakacağız • Koruma ile ilgili son bölüm Copyright Pearson Prentice-Hall 20103

4 8-1: Application Security Threats What can happen if an attacker takes over an application? • Can execute commands in a “privilege” mode • Buffer overflow attacks can take place – If an attacker sends too much data, a buffer might overflow, overwriting an adjacent section of RAM • Login screen bypass attacks • Cross-site scripting (XSS) attacks – One user’s input can go to another user’s webpage • SQL injection attacks Copyright Pearson Prentice-Hall 20104

5 8-1: Uygulama Güvenlik Tehditleri Bir saldırgan bir uygulamayı yönetim altına alırsa ne olur? • komutları “yetkili" modunda çalıştırabilir • Buffer overflow saldırıları gerekleştirebilir – Bir saldırganın çok fazla veri gönderirse, buffer RAM de taşma olabilri ve bitişik bir bölümü üzerine yazma olabilir • Giriş ekranı geçilerek yapılan saldırılar • Cross-site scripting (XSS) saldırıları – Bir kullanıcının girişi başka bir kullanıcının web sayfasına gidebilir • SQL enjeksiyon saldırıları Copyright Pearson Prentice-Hall 20105

6 8-1: Application Security Threats • Example of XSS – Attacker sends the victim an e-mail message with a link to a legitimate site – The link includes a script that is not visible in the browser window – The intended victim clicks on the link and the victim is taken to another webpage – The webserver sends back a webpage including the script – The script is invisible to the user (script executes) – The script may exploit a vulnerability in the browser or another part of the user’s software Copyright Pearson Prentice-Hall 20106

7 8-1: Uygulama Güvenlik Tehditleri • XSS örneği – Saldırgan, kurbana uygun bir link içeren bir e-posta iletisi gönderi bir meşru site r – link tarayıcı penceresinde görünmeyen bir script içerir – Kurban linke tıkladığında kurban başka bir web sitesine alınır – webserver geri script içeren bir web sayfası gönderir – script(script çalıştırılır) kullanıcıya görünmez – script tarayıcıda bir güvenlik açığınden yararlanabilir ya da kullanıcının başka bir yazılımından Copyright Pearson Prentice-Hall 20107

8 8-1: Application Security Threats • SQL injection attacks on databases – Programmer expects an input value (text, number, etc) • This may be used as part of an SQL query or operation against database – Say to accept a last name as input and return the person’s telephone number – Attacker enters an unexpected string • For example: a last name followed by a full SQL query string • The program may execute both the telephone number lookup command and the extra SQL query • This information should not be available to the attacker – Attacker may even delete an entire data table Copyright Pearson Prentice-Hall 20108

9 8-1: Uygulama Güvenlik Tehditleri • Veritabanları üzerinde SQL enjeksiyon saldırıları – Programcı bir giriş değeri (metin, sayı, vb) bekler • Bu veritabanına karşı bir SQL sorgusu veya operasyonun parçası olarak kullanılabilir – Girdi olarak bir soyadı kabul eder ve kişinin telefon numarasını döndürmesini söyler – Saldırgan, beklenmedik bir string girer • Örneğin: bir soyadı ardından tam bir SQL sorgu string i • Program hem telefon numarası arama komutu hemde ekstra SQL sorgusu çalıştırabilir • This information should not be available to the attacker – Saldırgan, hatta bütün bir veri tablosunu silebilir Copyright Pearson Prentice-Hall 20109

10 8-3: Hardening Applications  Basics ◦ Provide physical security ◦ Periodic and effective backup ◦ Harden the OS ◦ Harden the application itself Copyright Pearson Prentice-Hall 201010

11 8-3: Uygulamaları Güçlendirme  Temelleri ◦ Fiziksel güvenlik sağlayın ◦ Periyodik ve etkili yedek ◦ OS yi güçlendirin ◦ Uygulamanın kendisini güçlendirin Copyright Pearson Prentice-Hall 201011

12 8-3: Hardening Applications  Minimize number of applications on a server • Implement secure configurations – Use baselines to go beyond “default” installation configurations • Install patches • Minimize the permissions of applications • Add application layer authentication, authorizations, and auditing – more specific to the application than general OS logins • Implement cryptographic systems (if needed) Copyright Pearson Prentice-Hall 201012

13 8-3: Uygulamaları Güçlendirme  Bir sunucu üzerinde uygulama sayısını azaltmak • güvenli yapılandırmalarınu uygulamak – Varolan yükleme konfigürasyonlarının ötesinde ayarlar kullanmak • Yamaları yüklemek • Uygulamaların izinleri azaltmak • Uygulama katmanı kimlik doğrulama, yetkilendirme ve denetleme eklemek – OS girişlerinden ziyade uygulama için daha özelleşmiş girişler • şifreleme sistemlerinin uygulanması(gerekirse) Copyright Pearson Prentice-Hall 201013

14 8-4: Securing Custom Applications General • Be ware of problems in customized applications – Written by a firm’s own programmers or outsourced – Programmers may not be well trained for secure software development methodology or coding • User input without checking is needed – Testing/validation Copyright Pearson Prentice-Hall 201014

15 8-4: Özel uygulamaları güvenlikleştirme Genel • Özelleştirilmiş uygulamalar sorunlarından haberdar olmak – Uygulamaların bir firmanın kendi programcıları ya da dış kaynaklı yazılması – Programcılar da güvenli yazılım geliştirme metodolojisi ve kodlama için eğitimli olmayabilir • Kontrol gerekmeden kullanıcı input ları – Test / doğrulama Copyright Pearson Prentice-Hall 201015

16 8-4: Securing Custom Applications • Programmers should be trained well for protection – General secure programming principles – Programming language specific information – Application specific threats and countermeasures Copyright Pearson Prentice-Hall 201016

17 8-4: Özel uygulamaları güvenlikleştirme • Programcılar koruma için iyi eğitilmiş olmalı – Genel güvenlik programlama ilkeleri – Programlama dillerine özel bilgileri – Uygulamaya özel tehditleri ve önlemler Copyright Pearson Prentice-Hall 201017

18 8-5: WWW and E-Commerce • Importance of WWW Service and E- Commerce Security – Disruptions to services – Harm to reputation/image – Customer fraud – Exposure of private information Copyright Pearson Prentice-Hall 201018

19 8-5: WWW and E-Commerce • WWW Servis ve E-Ticaret Güvenlik Önemi – Hizmetler deki aksamalar – itibar / görüntü ye zarar – Müşteri dolandırıcılık – Özel bilgilerin ifşa edilemesi Copyright Pearson Prentice-Hall 201019

20 8-5: WWW versus E-Commerce • Some common WWW servers: – Microsoft Internet Information Server (IIS) – Apache on UNIX – etc • E-commerce servers add functionality: – Order entry, shopping cart, payment, etc. – Links to internal corporate databases and external services (such as credit card checking) Copyright Pearson Prentice-Hall 201020

21 8-5: WWW versus E-Commerce • Bazı ortak WWW sunucuları:: – Microsoft Internet Information Server (IIS) – Apache on UNIX – etc • E-ticaret sunucuları işlevsellik eklerler: – Sipariş girişi, alışveriş sepeti, ödeme, vs. – iç kurumsal veri tabanları ve dış hizmetlerine bağlantılar (kredi kartı kontrolü gibi) Copyright Pearson Prentice-Hall 201021

22 WWW service Versus E-Commerce Service Copyright Pearson Prentice-Hall 201022

23 8-7: Some Webserver Attacks • Website defacement (change/replace) • Numerous IIS buffer overflow attacks • IIS directory traversal attacks Copyright Pearson Prentice-Hall 201023

24 8-7: bazı Web sunucu saldırıları • Web sitesi tahrifi (değişim / değiştirme) • Sayısız IIS buffer overflow saldırıları • IIS directory traversal saldırıları Copyright Pearson Prentice-Hall 201024

25 8-8: Directory Traversal Attack Copyright Pearson Prentice-Hall 201025 Attack: to move up levels in directory structure. If allowed, user can get outside the WWW root box, into other directories

26 8-9: Webserver and E-Commerce Protections • Patching software and their components – Patching the webserver and e-commerce SW • Other website protections – Use website vulnerability assessment tools – Read website error logs – Place a webserver-specific proxy server Copyright Pearson Prentice-Hall 201026

27 8-9: Webserver ve E-Ticaret Korumalar • Yama yazılım ve bileşenleri – web sunucusu ve e-ticaret SW yama yükleme • Diğer web sitesi korumaları – web sitesi güvenlik açığı değerlendirme araçları kullanmak – web sitesi hata günlükleri okumak – Bir web sunucusuna özgü proxy sunucusu yerleştirmek Copyright Pearson Prentice-Hall 201027

28 8-10: Seperation of SW Servers Copyright Pearson Prentice-Hall 201028

29 8-11: Browser Attacks and Protections • PCs can be attacked through a browser – Client-side scripting (mobile vode) • Java applets (small Java programs) • Active-X from Microsoft – Sometimes can be highly dangerous • Scripting languages (not full programming languages) – A script is a series of commands in a scripting language – A script usually is invisible to users » JavaScript, VBScript – Malicious links • User usually must click on them to execute • Tricking users to visit other (phishing) websites – Other client-side attacks Copyright Pearson Prentice-Hall 201029

30 8-11: Tarayıcı Saldırıları ve Korunma • Bilgisayarlar bir tarayıcı üzerinden saldırabilir – istemci tarafı (script) komut dosyası • Java applet leri (küçük Java programları) • Microsoft Active-X – Bazen çok tehlikeli olabilir • Scripting dilleri (tam programlama dilleri değil) – Bir script scripting dilinde komutlar dizisidir – Bir komut dosyası genellikle kullanıcılar için görünmez » JavaScript, VBScript – Kötü niyetli linkler • Kullanıcının genelde çalıştırabilmesi için üzerlerine tıklaması gerekir • Diğer web sitelerini ziyaret ederek kullanıcıları kandırılar – Diğer istemci tarafı saldırıları Copyright Pearson Prentice-Hall 201030

31 8-11: Browser Attacks and Protections • Other Client-Side Attacks – T urn the computer into an unintended file server – Executing a command-line interface (CLI) to open a shell • Then attacker can enter many commands – Automatic redirection to unwanted webpage • User may be automatically directed to a malicious website – Cookies • Cookies are placed on user computer – can be retrieved by a website – can contain private information • Can be used to track users at a website • Accepting cookies may be necessary to use many websites Copyright Pearson Prentice-Hall 201031

32 8-11: Tarayıcı Saldırıları ve Korunma • Diğer istemci tarafı saldırıları – Bilgisayarı istenmeyen dosya sunucusu içine döndürün – Bir kabuk(shell) açmak için bir komut satırı arayüzü (CLI) çalıştırılıyor • Daha sonra saldırgan birçok komut girebilir – Istenmeyen web sayfasına otomatik yönlendirme • Kullanıcı otomatik olarak kötü amaçlı bir web sitesine yönlendirilebilir – Cookies (çerezler) • Çerezler, kullanıcı bilgisayarında yerleştirilir – bir web sitesi tarafından alınabilir – özel bilgi içerebilir • Bir web sitesinde kullanıcıları izlemek için kullanılabilir • Çerezleri kabul etme pek çok web sitesini kullanmak için gerekli olabilir Copyright Pearson Prentice-Hall 201032

33 8-11: Browser Attacks and Protections • Enhancing Browser Security – Patches and updates – Set strong security configuration options – Set strong privacy configuration options Copyright Pearson Prentice-Hall 201033

34 8-11: Tarayıcı Saldırıları ve Korunma • Tarayıcı Güvenliğinin Artırılması – Yamalar ve güncellemeler – güçlü güvenlik yapılandırması seçeneklerini kurma – güçlü gizlilik yapılandırma seçenekleri kurma Copyright Pearson Prentice-Hall 201034

35 8-14: E-Mail Security • Malicious code – in attachments and HTML bodies (scripts) • Spam – Unsolicited commercial e-mail – Volume is growing rapidly – Slowing PCs and annoying users – Filtering for spam also rejects some legitimate messages • Inappropriate content • Protecting intellectual property rights (IPR) • Transmission of sensitive personally identifiable information Copyright Pearson Prentice-Hall 201035

36 8-14: E-Mail Güvenliği • Kötü niyetli kod – HTML (scripts) ve ekler olarak • Spam – İstenmeyen ticari e-posta – Hacmi hızla büyüyor – PC leri yavaşlatıyor ve kullanıcıları rahatsız ediyor – Spam filtreleme bazı uygun ve düzgün mesajları reddediyor • Uygunsuz içerik • fikri mülkiyet haklarının korunması • Hassas kişisel bilgileri taşıma Copyright Pearson Prentice-Hall 201036

37 8-15: Possible E-Mail Filtering Locations Copyright Pearson Prentice-Hall 201037

38 8-14: E-Mail Security • Employee training is needed for the following – Company e-mail is not private • company has right to read – Your messages may be forwarded without permission – Never put anything in a message that you would not want to see in court, printed in the newspapers, or read by your boss – Never forward messages without permission Copyright Pearson Prentice-Hall 201038

39 8-14: E-Mail Güvenliği • Personel eğitimi aşağıdakiler için gereklidir – Şirket e-posta sı özel değildir • şirket okuma hakkına sahiptir – Mesajlarınız izin olmadan iletilebilir – gazetelerde basılı, mahkemeye görmek istediğiniz veya patronunuz tarafından okunmasını isyemediğiniz hiç bir içeriği mesajınıza asla koymayınız – İzinsiz Asla mesajları iletmeyiniz Copyright Pearson Prentice-Hall 201039

40 8-14: E-Mail Security Copyright Pearson Prentice-Hall 201040

41 8-16: E-Mail Retention • Benefits of Retention – Major part of corporate memory – Often need to retrieve some old mails • Disadvantages of Retention – Can contain potentially damaging information – Expensive process because of required resources • Accidental Retention – Even if firms delete e-mail from mail servers, – May be stored on backup tapes – Users will often store copies on their own computers • There can be Legal Archiving Requirements Copyright Pearson Prentice-Hall 201041

42 8-16: E-Mail saklama • Saklamanın faydaları – Kurumsal hafızanın büyük bölümü – Genellikle bazı eski postaları almak gerekir • Saklamanın dezavantajları – Zararlı bilgiler içerebilir – Gerekli kaynakları nedeniyle pahalı bir işlem • Yanlışlıkla saklama – Firmaların posta sunucularından e-posta silmeleri bile – yedekleme bantları saklanabilir – Kullanıcıların çoğu zaman kendi bilgisayarlarında kopyaları saklar • Yasal Arşivleme Gereksinimleri olabilir Copyright Pearson Prentice-Hall 201042

43 8-16: E-Mail Retention • Message Authentication – Spoofed messages can cause problems for employees or the firms – Message authentication is need to prevent spoofed sender addresses Copyright Pearson Prentice-Hall 201043

44 8-16: E-Mail saklama • Mesaj kimlik doğrulaması – Sahte mesajlar çalışanlar veya firmalar için sorun yaratabilir – Mesaj kimlik doğrulaması sahte gönderen adresinin önlemek için gerekir Copyright Pearson Prentice-Hall 201044

45 8-18: Voice over IP (VoIP) Copyright Pearson Prentice-Hall 201045

46 8-20: VoIP Threats • Eavesdropping • Denial-of-Service Attacks – Latency and jitter can be highly disruptive • Caller Impersonation • Hacking and Malware Attacks – Compromised servers/clients can do disruptive signaling • Toll Fraud – Attacker uses corporate VoIP network to place free calls • Spam over IP Telephony (SPIT) – Especially disruptive because it interrupts the called party Copyright Pearson Prentice-Hall 201046

47 8-20: VoIP Tehditleri • Dinlenmeler • Denial-of-Service saldırıları – Gecikme ve jitter son derece yıkıcı olabilir • CalArayanı taklit etme • Hacking ve kötü amaçlı yazılım saldırıları – Aşılan sunucular / müşteriler sinyal bozucu yapabilir • Toll Fraud – Saldırgan kurumsal VoIP ağ kullanarak ücretsiz görüşme yapabilir • IP Telephony üzerinden Spam (SPIT) – Özellikle yıkıcı çünkü arama abone sini kesmeleri nedeniyle Copyright Pearson Prentice-Hall 201047

48 8-21: Implementing VoIP Security • Basic corporate security policies • Authentication – SIP Identity provides strong authentication • Encryption for confidentiality – Can add to latency • Firewalls – Firewall must prioritize VoIP traffic Copyright Pearson Prentice-Hall 201048

49 8-21: Güvenli VoIP Uygulama • Temel kurumsal güvenlik politikaları • Kimlik doğrulama – SIP kimliği güçlü kimlik doğrulama sağlar • Gizlilik için Şifreleme – Gecikme ekleyebilir • Güvenlik duvarları – Güvenlik duvarı VoIP trafiğine öncelik vermeli Copyright Pearson Prentice-Hall 201049

50 8-22: Skype Security Concerns • Widely Used Public VoIP Service • Uses Proprietary Protocols and Code • Vulnerabilities? Backdoors? Etc. • Firewalls have a difficult time even recognizing Skype traffic • Encryption for Confidentiality  Inadequate Authentication ◦ Uncontrolled user registration; can use someone else’s name and so appear to be them  Peer-to-Peer (P2P) Service ◦ Bad for corporate security control  Skype File Sharing Copyright Pearson Prentice-Hall 201050

51 8-22: Skype Güvenlik Kaygıları • Yaygın kullanılan Kamu VoIP Hizmeti • Özel Protokoller ve Kod Kullanır • Güvenlik açıkları? Arka kapı? Vb.. • Güvenlik duvarları Skype trafiğini tanımada bile bazı zamanlar zorlanır • Gizlilik için şifreleme  Yetersiz Kimlik Doğrulama ◦ Kontrolsüz kullanıcı kaydı; başkasının adını kullanır ve onları gibi görünür  Peer-to-Peer (P2P) Hizmetleri ◦ Bad for corporate security control  Skype Dosya Paylaşımı Copyright Pearson Prentice-Hall 201051

52 8-23: Other Applications • Databases – Often used in mission-critical applications – Relational databases • Tables with rows (entities) and columns (attributes) – Avoid SQL injection attacks (discussed before) – Restrict Access to Data • Restrict users to certain columns or rows – Restrict Granularity • Allow only access to sums and averages for aggregates Copyright Pearson Prentice-Hall 201052

53 8-23: Diğer uygulamalar • Veritabanları – Genellikle kritik uygulamalarda kullanılan – İlişkisel veritabanları • Satır (varlık) ve sütunlar (nitelikler) ile tablolar – SQL enjeksiyon saldırılarını önlemek (daha önce tartışılan) – Veri erişimini kısıtlama • Belli sütunları veya satırları kullanıcılara kısıtlama – Parçaları Kısıtlamak • Allow only access to sums and averages for aggregates Copyright Pearson Prentice-Hall 201053

54 8-24: Servers in Instant Messaging (IM) Copyright Pearson Prentice-Hall 201054 Presence servers merely tell the clients that others exist and what their IP addresses are Durum sunucuları var olan diğer istemcileri ve onların IP adresleri istemcilere söyler

55 8-24: Servers in Instant Messaging (IM) Copyright Pearson Prentice-Hall 201055 All transmissions go through relay servers when relay servers are used.

56 8-25: Spreadsheet Vault Server Copyright Pearson Prentice-Hall 201056 1. The vault server stores spreadsheets and strongly controls access to them. Authentication Authorizations Auditing 1. The vault server stores spreadsheets and strongly controls access to them. Authentication Authorizations Auditing 2. Spreadsheets record each change for auditing purposes 2. Spreadsheets record each change for auditing purposes

57 8-25: Spreadsheet Vault Server Copyright Pearson Prentice-Hall 201057 3. Cryptographic Protections for Transmissions 3. Cryptographic Protections for Transmissions 4. Strong Client Security 4. Strong Client Security

58 8-26: TCP/IP Supervisory Applications • TCP/IP Supervisory Protocols – Many supervisory protocols in TCP/IP • ARP, ICMP, DNS, DHCP, LDAP, RIP, OSPF, BGP, SNMP, etc. • The targets of many attacks – Such as SNMP • GET messages to get information from a managed object • SET messages to change the configuration of a managed object • IT security people wust work with the networking staff – To ensure that appropriate security is being applied to supervisory protocols Copyright Pearson Prentice-Hall 201058

59 8-26: TCP / IP Denetim Uygulamaları • TCP / IP denetim Protokolleri – TCP / IP birçok denetleme protokolleri • ARP, ICMP, DNS, DHCP, LDAP, RIP, OSPF, BGP, SNMP, etc. • Birçok saldırının hedefleri – SNMP gibi • GET mesajları yönetilen bir nesneden bilgi almak için • SET mesajları yönetilen bir nesneyi konfigürasyonunu değiştirmek için • IT güvenlik personelleri ağ personeli ile birlikte çalışmalıdır – Bunu garanti etmek için denetim protokolleri için uygun güvenlik uygulanmalıdır Copyright Pearson Prentice-Hall 201059