Owl für IIS identifiziert SQLs, kurz bevor diese zur Laufzeit ausgeführt werden. Das ist durch die Implementierung der Runtime Application Self-Protection (RASP) -Modul.
Ihre Web-Anwendung wird immer Eingabe über Abfrage und Post-Parameter. Die Eingabe kann Cross-Site-Scripting, SQL-Injection und andere Sicherheitslücken zu produzieren. Inzwischen wissen wir, dass WAF Einschränkungen hat, da es nicht im Prozess, sondern im Netzwerk ausgeführt wird: 1. Einige können von SSL-Schlüsseln abhängig sein, wenn der Datenverkehr verschlüsselt ist. Diese können den DH-Fall nicht behandeln 2. Es kann nicht sicher sein, welcher Benutzer für welche SQL-Anweisungen verantwortlich ist, da der Prozess einen anderen Benutzer verwenden kann, um die SQLs auszuführen. 3. Eine anspruchsvolle URL-Manipulation kann die WAF 4. Developer-Einstellung einer Hintertür in der Anwendung täuschen (Aktiviert durch zusätzlichen Abfrageparameter, um endlich einen dedizierten schädlichen Code auszuführen). Wie WAF das herausfinden kann?
Nehmen Sie folgendes Beispiel: Benutzerbrowser sendet diese HTTP-Anforderung, um eine Liste der Benutzer in der Abteilung http: //applicationHost/getData.aspx? Code = derpatment zu erhalten. Der Benutzer kann aber auch manuell in einen anderen Codewert wie http: //applicationHost/getData.aspx? Code = company ändern. Darüber hinaus können wir sagen, dass die SQLs werden von einem Thread-Pool, die mit einigen generischen Benutzer authentifiziert ausgeführt. 1. Das Datenbanktool kann nicht erkennen, wer die Anfrage gestartet hat. 2. WAF muss anspruchsvoll sein, um herauszufinden, dass etwas mit der URL falsch ist.
Die einzige Option, die Benutzerdaten (Name und IP) mit der exakten SQL-Anweisung korrelieren müssen, die die Anwendung ausführt, An dem Punkt, an dem die Anwendung die SQL-Anweisung aus dem Prozess sendet. Das ist das echte SQL, nachdem die Anwendung die Eingabeverarbeitung abgeschlossen hat. Keine Heuristik, kein falsch positiv. Owl für IIS zielt darauf ab, alle SQL-Anweisungen aufzudecken.
Was ist neu in dieser Version:
Version 1.3:
- Die Audit-Datei enthält nun den Benutzernamen
- Integration mit IBM Guardium, um Anwendungsbenutzernamen zu übergeben
Kommentare nicht gefunden