4 thách thức hàng đầu trong bảo mật ứng dụng hiện đại
An toàn thông tin - Ngày đăng : 17:36, 10/03/2020
Mới chỉ bắt đầu phát triển trong khoảng 10 năm trở lại đây, nhưng phần mềm dưới dạng dịch vụ SaaS (Software as a Service) đã được các doanh nghiệp (DN) ở mọi quy mô trên thế giới ưa chuộng. Theo một khảo sát gần đây nhất từ BetterCloud, đến năm 2020, 73% DN thế giới sẽ chuyển sang dùng SaaS hoàn toàn.
Với nhiều lợi ích mang lại cho DN như chi phí áp dụng và chi phí chuyển đổi thấp, độ linh hoạt cao, SaaS ngày càng được nhiều DN sử dụng. Bằng cách ứng dụng SaaS, DN có thể tập trung hơn vào việc ổn định và phát triển kinh doanh thay vì việc xử lý, nâng cấp, quản trị hệ thống.
Tuy nhiên, sự phổ biến của SaaS cũng đòi hỏi các yêu cầu bảo mật bảo hơn, tương tự như câu chuyện với GDPR.
Những thách thức trong bảo mật ứng dụng
Để đảm bảo an toàn cho các ứng dụng hiện đại là rất khó, cho dù chúng là ứng dụng trên web hay di động, được phát triển tùy chỉnh hoặc dựa trên đám mây. Để hỗ trợ và tăng tốc hoạt động kinh doanh, các ứng dụng hiện phụ thuộc rất nhiều vào tài nguyên của bên thứ ba thông qua các giao diện API.
Việc quản lý tất cả các API cần thiết để tự động hóa và đồng bộ hóa các công cụ là một thách thức lớn. Số lượng ứng dụng càng nhiều thì bề mặt tấn công ứng dụng càng lớn, khiến nguy cơ rủi ro đang tăng theo cấp số nhân.
Theo báo cáo "Bảo mật mạng và ứng dụng toàn cầu" hàng năm của Radware, các lỗ hổng ứng dụng hiện là mối đe dọa an ninh mạng đang phát triển nhanh nhất đối với các tổ chức, DN.
Ngoài ra, các ứng dụng và API mà chúng sử dụng luôn ở trong tình trạng thay đổi liên tục, do đó các chính sách bảo mật phải thích ứng để theo kịp tốc độ, nhưng việc này không hề dễ dàng, đặc biệt trong môi trường đám mây lớn. Các giải pháp bảo mật sẽ đưa ra các quyết định trong thời gian thực để giảm thiểu các cuộc tấn công tiên tiến hơn hiện đang nhắm mục tiêu vào các ứng dụng.
Ngoài ra, cần phải bảo vệ toàn diện, chứ không đơn thuần là triển khai tường lửa ứng dụng web (WAF). Theo báo cáo bảo mật ứng dụng web của Radware, chỉ 33% các tổ chức cho rằng WAF của họ giảm thiểu tất cả các loại tấn công ứng dụng web.
Bảo vệ các điểm yếu chỉ là bước khởi đầu. Với các mối đe dọa nâng cao, các giải pháp bảo mật ứng dụng phải làm nhiều hơn nữa. Bài viết giới thiệu 4 thách thức hàng đầu khi nói đến việc bảo vệ các ứng dụng hiện đại.
Quản lý bot
52% lưu lượng truy cập Internet là được bot tạo ra, một nửa trong số đó là các “bot xấu”. Trong khi đó, theo báo cáo bảo mật của Radware, chỉ 79% các tổ chức có thể phân biệt rõ ràng giữa các bot tốt và xấu.
Thiếu cái nhìn toàn diện về lưu lượng bot này khiến các DN trở thành nạn nhân một loạt các cuộc tấn công, bao gồm chiếm đoạt tài khoản người dùng và thông tin thanh toán, thu thập dữ liệu bí mật, ngoài ra là tiếp thị và phân tích website sai lệch.
Các bot thế hệ tiếp theo (Next-generation bot) ngày càng tinh vi và phức tạp, bắt chước hành vi của con người và bỏ qua CAPTCHA hoặc các thách thức bảo mật khác. Các bot phân tán làm cho việc bảo vệ dựa trên fingerprinting của thiết bị và dựa trên IP không hiệu quả.
Bảo vệ các API
Các mối đe dọa đối với các lỗ hổng API bao gồm cấy mã độc, tấn công giao thức, chuyển hướng không hợp lệ và tấn công bot. Theo Radware, 1/3 số cuộc tấn công chống lại API nhằm mục đích gây ra trạng thái từ chối dịch vụ (DoS). Bất chấp lỗ hổng bảo mật mà API gây ra nhưng nhiều DN có xu hướng cấp quyền truy cập API vào dữ liệu nhạy cảm mà không kiểm tra API để phát hiện hoạt động độc hại.
Tấn công từ chối dịch vụ
Các loại tấn công DDoS lớp ứng dụng khác nhau vẫn rất hiệu quả trong việc làm gián đoạn dịch vụ ứng dụng. Chúng bao gồm HTTP/S Floods, tấn công thấp và chậm (Slowloris, LOIC, Torshammer), tấn công IP động, tràn bộ đệm, tấn công Brute Force,...
Được thúc đẩy phần lớn bởi các botnet IoT, các cuộc tấn công ở tầng ứng dụng đã trở thành phương thức tấn công DDoS ưa thích. Ngay cả giải pháp bảo vệ ứng dụng tốt nhất cũng không có giá trị nếu dịch vụ bị sập.
Bảo mật liên tục
Trong DevOps, tính nhanh nhẹn, linh hoạt thường được đánh giá bằng chi phí bảo mật. Phương pháp phát triển và triển khai nhanh dẫn đến các ứng dụng liên tục được sửa đổi và cập nhật. Trong một môi trường như vậy, rất khó để thường xuyên cập nhật kịp thời các chính sách bảo mật nhằm bảo vệ dữ liệu nhạy cảm.
Các giải pháp bảo mật học máy (Machine learning) được coi là chìa khóa để giải quyết vấn đề này, vì chúng có thể ánh xạ tài nguyên ứng dụng, phân tích các mối đe dọa, đồng thời tối ưu hóa các chính sách bảo mật trong thời gian thực.
Vận hành một kế hoạch bảo mật toàn diện
Để giảm thiểu rủi ro từ những thách thức bảo mật trên, các tổ chức, DN cần phải thiết lập và sử dụng các quy trình kiểm soát bảo mật, người quản lý ứng dụng cần chịu trách nhiệm về vòng đời ứng dụng. Tổ chức cần phải có một chương trình bảo mật ứng dụng để điều phối hiệu quả tất cả các khía cạnh của cơ sở hạ tầng.
Mặt khác, cần lưu ý rằng bất kỳ giải pháp bảo mật ứng dụng nào mà DN bạn lựa chọn cần đáp ứng nhu cầu bảo mật hiện tại của bạn, đồng thời phải đủ linh hoạt để thích ứng với môi trường cơ sở hạ tầng và các vectơ tấn công trong tương lai. Hãy đảm bảo rằng nó đáp ứng các tiêu chí chính sau:
- Các giải pháp bảo mật ứng dụng phải bao gồm không chỉ các ứng dụng web và di động mà còn các API.
- Bao gồm một giải pháp quản lý bot để vượt qua các cuộc tấn công dựa trên bot tinh vi nhất.
- Giảm thiểu các cuộc tấn công DDoS là một phần thiết yếu và tích hợp của các giải pháp bảo mật ứng dụng.
- Để theo kịp các thực tiễn phát triển DevOps, các giải pháp bảo mật có thể cập nhật các chính sách bảo mật tự động và theo thời gian thực.
- Một dịch vụ được quản lý hoàn toàn nên được xem xét để loại bỏ sự phức tạp và giảm thiểu việc sử dụng tài nguyên.