Строим крепость: сила моделей позитивной безопасности

В кибербезопасности существует два основных подхода к защите: модели негативной безопасности, которые блокируют известные угрозы, и модели позитивной безопасности, которые разрешают только известное хорошее поведение. Организации часто полагаются на модели негативной безопасности, но позитивная безопасность предлагает гораздо более надежную защиту как от известных, так и от неизвестных атак.

Понимание позитивной безопасности

Традиционная безопасность строится на негативной модели - системе, которая сравнивает запросы со списком известных угроз. Если запрос не соответствует известной сигнатуре, он разрешается. Такой подход блокирует известные паттерны атак, вредоносные IP-адреса и подозрительные пользовательские агенты, но испытывает трудности с эксплойтами нулевого дня и новыми векторами атак.

Позитивная безопасность переворачивает эту парадигму. Вместо вопроса "Это плохо?", она задает вопрос "Это явно разрешено?". Разрешается только трафик, запросы или поведение, соответствующие заранее определенным допустимым шаблонам. Все остальное по умолчанию отклоняется.

Современная позитивная безопасность может быть реализована на нескольких уровнях - от базовых ограничений HTTP-методов и путей на уровне инфраструктуры до строгой валидации данных на уровне приложения.

Уровень инфраструктуры

В традиционной инфраструктуре такие сервисы как Cloudflare, и обратные прокси типа NGINX используются для управления трафиком и защиты приложений. В Kubernetes-окружениях также применяются средства защиты на уровне кластера. Эти решения формируют первую линию обороны.

NGINX позволяет реализовать базовую фильтрацию по белым спискам. Его конфигурация позволяет определять точные правила относительно допустимых путей запросов, необходимых заголовков аутентификации и разрешенных типов контента. Однако, он не может глубоко анализировать данные в запросах и поведение пользователей.

Cloudflare (бесплатный тариф) имеет те же ограничения, что и NGINX, когда речь идёт о глубоком семантическом анализе или адаптивном моделировании поведения. Однако он обеспечивает централизованное управление на периметре сети - до того, как трафик достигнет вашего сервера. Это означает меньшую нагрузку на сервер и лучшую доступность ваших ресурсов для легитимных пользователей.

Уровень приложения

Для API позитивная безопасность может быть обеспечена посредством строгой валидации схем. Настроив вашу библиотеку валидации на отклонение неизвестных полей, любой запрос с неожиданными параметрами будет заблокирован автоматически, превращая схему в белый список.

Исторически, этот уровень глубокой инспекции полезной нагрузки требовал реализации на уровне приложения, создавая пробел, где пограничные сервисы могли предложить лишь частичную защиту. Однако современные пограничные платформы развиваются. Такие сервисы, как Cloudflare API Gateway и WAF нового поколения, все чаще интегрируют валидацию схем API непосредственно на уровне периметра. Это позволяет организациям применять строгие правила позитивной безопасности до того, как вредоносный запрос начнёт потреблять ресурсы исходного сервера, сочетая производительность сервиса с защитой, ориентированной на приложение.

Позитивная безопасность фундаментально меняет подход к безопасности проекта. Вместо того чтобы догонять известные сигнатуры атак, вы явно разрешаете только безопасные пути - таким образом защищая приложение от целых классов атак, включая те, которых еще не существует.

Сила позитивной безопасности заключается в ее простоте и предсказуемости - не в попытке понять, что может быть вредоносным, а в определении того, что является безусловно безопасным.

Гибридный подход

Важно отметить, что на практике наиболее надежные системы защиты не полагаются исключительно на одну модель. Они используют гибридный подход, сочетая негативную и позитивную безопасность для создания стратегии эшелонированной защиты.

В такой конфигурации модель негативной безопасности (например, управляемый набор правил WAF) действует как первая линия защиты, блокируя миллионы обычных вредоносных запросов. Этот грубый фильтр обрабатывает массовые примитивные атаки, значительно снижая шум и нагрузку на системы. Модель позитивной безопасности обеспечивает фильтрацию с учетом специфики приложения, гарантируя, что только идеально структурированный, легитимный трафик достигает логики приложения.

Особенности и ограничения

Модель позитивной безопасности требует более тщательного предварительного планирования, чем негативная. Вы должны понимать легитимные модели поведения вашего приложения перед реализацией. Это требует более дисциплинированного подхода к безопасности и разработке, который включает:

• Предварительное планирование: Необходимо полностью понимать и каталогизировать легитимное поведение вашего приложения. Это включает все валидные конечные точки API, HTTP-методы, параметры запросов и ожидаемые форматы данных.
• Постоянные затраты на обслуживание: Позитивная безопасность тесно связана с функциями вашего приложения. Когда разработчик добавляет новое поле в API или создает новую конечную точку, правила позитивной безопасности должны быть обновлены синхронно. Несоблюдение этого приведет к блокировке легитимных запросов, что потенциально может нарушить работу приложения. Это требует интеграции управления правилами безопасности в жизненный цикл разработки.
• Обработка исключений и нетипичных сценариев: Легитимное, но необычное поведение пользователя или интеграция со сторонними сервисами могут быть непреднамеренно заблокированы. Планирование таких исключений без создания чрезмерно разрешительных правил - деликатная задача.

Стратегические преимущества позитивной безопасности

По мере того как атаки становятся более изощренными и автоматизированными, модели позитивной безопасности становятся все более ценными. Машинное обучение и атаки, управляемые ИИ, могут легко обходить обнаружение на основе сигнатур, но позитивная безопасность сокращает площадь возможной атаки, ограничивая весь трафик явно одобренными шаблонами, что затрудняет успешное выполнение атак.

Организации, внедряющие модели позитивной безопасности, создают надежную защиту от существующих и новых угроз.. Первоначальные инвестиции в понимание и определение легитимного поведения окупаются повышением безопасности и производительности.

Вопрос не в том, подвергнетесь ли вы атаке, а в том, когда это произойдет, и позитивная безопасность обеспечивает самую надежную защиту, разрешая только то, что должно происходить.

Эта статья также опубликована на: Medium