Платный хостинг HostSpace - надежный платный хостинг в Украине. CGI-bin, Php, MySQL, почта. Круглосуточная поддержка.

Риски при автоматизации бизнеса с помощью бизнес-приложений зачастую неприемлемо высоки из-за возникающих угроз. К тому же все больше требований предъявляется со стороны законодательства и различных стандартов, касающихся безопасности данных и контроля доступа к этим данным. Актуальность проблемы подтверждается и крупнейшими аналитическими агентствами (например, Gartner, в отчете Hype Cycle For Data and Application Security).

Для специалистов по информационной безопасности уже очевидно, что бизнес-приложения нельзя считать защищенными. Происходит это в первую очередь в силу человеческого фактора (ошибок при разработке, настройке, эксплуатации) и злонамеренных действий. В результате - утечка конфиденциальной информации, мошенничество, прерывание бизнес-процессов как следствие полного или частичного уничтожения/искажения информации.
Основные ограничения традиционно используемых средств ИБ связаны с невозможностью обеспечить контроль событий на уровне приложения. Этот тезис достаточно давно стал понятен западным специалистам по ИБ, к настоящему моменту такие идеи успели заслужить доверие и в России.

Защита веб-приложений
Для защиты веб-приложений существуют специализированные продукты - Web Applications Firewall (WAF). Классический WAF анализирует трафик, поступающий к приложению, на всех уровнях сетевой модели OSI, начиная с третьего. При этом акцент делается на верхних уровнях, где осуществляется контроль взаимодействия пользователя с приложением. WAF функционирует исходя из "белого списка" (пропускает явно разрешенный трафик на основе изучения работы приложения) в отличие от традиционных средств IPS, использующих сигнатурный анализ. WAF обеспечивает контроль специфичных для веб-приложений протоколов (HTTP, HTTPS) и различных параметров: cookies, параметров запросов, соответствия RFC и т. д.
Стоит отметить возможность контролировать и модифицировать не только запросы, но и ответы сервера. Таким образом, можно скрывать и служебную информацию (например, коды ошибок, версию ПО), и бизнес-информацию, которая не должна быть доступна извне (например, номера банковских карт).
Все современные WAF могут работать в режиме кластера (active/active или active/standby), обеспечивая высокую доступность, а некоторые продукты WAF помимо функций защиты выполняют и задачи по балансировке и оптимизации трафика. Опыт использования подобных продуктов показывает, что для каждой конкретной ситуации может быть выбрано оптимальное решение из представленных на рынке продуктов, исходя из поставленных задач.

Продолжение читайте в печатной версии журнала