6 Web Application Security Best Practices
Ecco sei pratiche essenziali per fortificare l'applicazione web contro gli attacchi:
#1: Convalida e sanificazione degli input
Gli attacchi iniettabili si presentano in una varietà di forme, tra cui:
La protezione da queste e altre forme di attacchi injection richiede un'attenta convalida e sanificazione degli input. L'input dell'utente deve essere convalidato per garantire che sia conforme ai formati e ai tipi di dati previsti. Ad esempio, l'input dei dati deve essere confrontato con gli elenchi consentiti, che consentono valori validi, o con gli elenchi di blocco, per negare i modelli dannosi noti.
Le tecniche di sanificazione includono la rimozione o l'escape dei caratteri speciali e il controllo/ritaglio della lunghezza per limitare le dimensioni dell'input dei caratteri. L'applicazione Web deve inoltre sfruttare le istruzioni preparate o le query parametrizzate per le interazioni con il database per prevenire gli attacchi SQL injection.
#2: HTTPS
HTTPS crittografa le informazioni inviate tra il browser dell'utente (il client) e l'applicazione web (il server), svolgendo un ruolo importante nell'autenticazione e nella protezione dei dati.
L'uso dell'algoritmo di crittografia Transport Layer Security (TLS) versione 1.3+ garantisce ciò.
Anche se un utente malintenzionato intercetta con successo i pacchetti di dati, non sarà in grado di decifrare i dati senza la chiave di decrittazione. L'ottenimento di certificati SSL (Secure Sockets Layer)/TLS validi da un'autorità di certificazione (CA) attendibile previene potenziali minacce come intercettazioni, attacchi man-in-the-middle (MitM) e dirottamento della sessione.
#3: Crittografia dei dati
L'applicazione Web memorizza comunemente dati sensibili, tra cui:
- Informazioni proprietarie sull'azienda
- Dati del cliente
La crittografia garantisce la sicurezza di questi dati. L'uso di solidi algoritmi di crittografia dei dati, come Advanced crittografia Standard (AES) e Rivest-Shamir-Adleman (RSA), garantisce che, anche se un utente malintenzionato ottiene l'accesso al dispositivo di archiviazione o al database, non sarà in grado di leggerlo.
Sia AES che RSA possono essere utilizzati a livello di campo per proteggere singoli file o campi di dati in un database, a livello di volume per crittografare l'intero dispositivo di archiviazione o a livello di database per crittografare e decrittografare automaticamente i dati contenuti nei volumi di archiviazione del database.
#4: Il principio del privilegio minimo (PoLP)
Il privilegio minimo è un concetto fondamentale nella sicurezza informatica. Il PoLP consiglia di concedere agli utenti le autorizzazioni più basse possibili necessarie per eseguire le attività previste.
Nel contesto dell'applicazione web, il PoLP si applica ai sottosistemi, ai servizi automatizzati e agli account utente che compongono il sistema dell'applicazione web. Che si tratti di codice o di configurazione, a questi componenti devono essere concesse solo le autorizzazioni minime necessarie per eseguire le loro funzioni, e non di più.
In questo modo si riduce il potenziale di diffusione dei danni in caso di violazione di un sottosistema e si evita l'escalation dei privilegi se un utente o un account di servizio viene compromesso durante un incidente.
#5: Codifica dell'output
L'Applicazione Web può ricevere dati immessi da un utente e quindi rivisualizzare tali input all'interno delle pagine dell'Applicazione. Un esempio familiare di ciò è la funzionalità di commento dell'utente.
XSS è una forma comune di attacco injection che sfrutta le vulnerabilità di sicurezza nei vettori di input dell'utente come i moduli di commento. La codifica dell'output protegge l'applicazione web codificando i dati in modo da impedire l'esecuzione di script dannosi se presenti nei dati forniti dall'utente.
Ad esempio, la codifica dell'output può convertire i caratteri della parentesi angolare < and > in modo che vengano visualizzati come testo normale anziché come istruzioni HTML eseguibili, neutralizzando così <script> i tag contenenti codice JS potenzialmente dannoso.
# 6: Controllo degli accessi e autenticazione
L'applicazione Web presenta spesso una varietà di tipi di account utente e si basa su vari metodi di autenticazione per l'accesso ad essi. La protezione dei ruoli, delle autorizzazioni e dei processi di autenticazione per questi account riduce il rischio di violazione dei dati.
I meccanismi di autenticazione, tra cui i criteri per le password complesse, l'uso dell'autenticazione a più fattori (MFA) e i criteri di blocco degli account, consentono di verificare e proteggere le identità degli utenti.
L'implementazione dei controlli di autorizzazione limita l'accesso non autorizzato a dati e funzioni sensibili, come ad esempio
- Controllo degli accessi basato sugli attributi (ABAC)
- Controllo degli accessi in base al ruolo
- Controllo degli accessi obbligatorio (MAC)
La combinazione di solidi controlli di autenticazione e autorizzazione applica il principio del privilegio minimo, riduce il rischio di violazioni dei dati, limita l'accesso agli account con autorizzazioni elevate e facilita gli audit trail dell'attività degli utenti all'interno dell'applicazione.
Feedback