Cosa avrebbe dovuto essere RASP

Negli ultimi anni, il sicurezza delle applicazioni mondo ha visto l'ascesa di Autoprotezione dell'applicazione runtime (RASP) tecnologia. Come descritto da Gartner, RASP è una tecnologia di sicurezza integrata in un'applicazione o nel suo ambiente di runtime, in grado di controllare e prevenire attacchi in tempo reale. Purtroppo molti Firewall per applicazioni Web (WAF) le aziende hanno visto l'opportunità di sfruttare il termine. Hanno introdotto agenti "simil-RASP" a livello di rete, che non abbracciano completamente la definizione di tecnologia RASP.

Al contrario, la vera tecnologia RASP opera a livello di applicazione, dove ha il contesto completo dell'utente, la logica dell'applicazione e le informazioni del dominio. Questo contesto consente a un RASP di prendere decisioni informate sulla sicurezza dell'applicazione e di prevenire gli exploit prima che possano causare danni. Di conseguenza, un vero RASP dovrebbe avere zero falsi positivi e una latenza ridotta, fornendo un immediato incremento delle prestazioni. True RASP richiede un elenco di regole immutabili che utilizzano il contesto per capire quando viene introdotta una nuova vulnerabilità e agire di conseguenza. Questa immutabilità è possibile quando le regole vengono integrate nella base di codice a livello di applicazione e non richiedono alcuna modifica una volta distribuite.

Tre aree in cui RASP è andato storto

1. Il problema del cane che abbaia: la maggior parte degli avvisi sono falsi positivi

Il problema con i WAF è che funzionano a livello di rete, un indicatore ritardato dell'esecuzione dell'applicazione. La conseguente mancanza di contesto porta a tassi elevati di falsi positivi, lunghi tempi di attesa e scarse prestazioni, poiché i WAF possono solo indovinare la natura di una vulnerabilità in base a ciò a cui sono stati esposti in precedenza.

Immagina un cane da guardia nel cortile che abbaia ogni volta che sente un rumore oltre il recinto. Questi rumori possono essere l'avvicinarsi di un intruso, ma potrebbero anche essere macchine che passano. Il cane da guardia non è in grado di valutare con precisione la differenza, quindi la gravità di un dato rumore viene persa, rendendo impossibile per le persone all'interno della casa sapere quali allarmi sono autentici e quali sono falsi positivi. Questo scenario è essenzialmente la capacità dell'offerta RASP standard.

2. Il problema dei cattivi 999: solo in grado di testare un campione

Che tu ci creda o no, alcuni fornitori ti dicono di eseguire la loro soluzione di sicurezza solo negli ambienti di produzione se proteggi solo una dimensione del campione. Ciò significa che estrae un campione, forse una richiesta su 1,000, e verifica quel campione mentre rileva ciò che accade per il prossimo 999. Significa che, se sei un bravo attore, la tua firma verrà verificata. Ma indipendentemente dal fatto che i seguenti 999 attori abbiano o meno cattive intenzioni, ce la faranno. Questa mancanza di coerenza è dovuta al fatto che i RASP basati su WAF non sono in grado di gestire i requisiti di prestazioni richiesti per testare ogni richiesta.

3. Il problema "ci vuole troppo tempo": la latenza influisce sulle prestazioni

Ogni volta che si dispone di un RASP basato su WAF, si verifica una maggiore latenza, poiché non può influenzare in alcun modo la base di codice dell'applicazione. Nel frattempo, i RASP ampiamente disponibili devono inviare interi payload di testo al loro analizzatore Web e quindi attendere che vengano rispediti, il che può richiedere molto tempo. E se i tuoi clienti stanno aspettando che i pagamenti vadano a buon fine, potrebbero arrendersi e cercare invece i tuoi concorrenti.

Il miglioramento di questo processo è simile all'ottimizzazione del codice. Durante la creazione di un elenco, gli sviluppatori lo configurano per aggiungere nuovi elementi all'inizio di un elenco anziché alla fine. Questa ottimizzazione impedisce alla VM di ricostruire l'intero elenco ogni volta che viene aggiunto un nuovo elemento, impedendo l'aumento della latenza man mano che l'elenco cresce. Gli ingegneri del compilatore hanno affrontato questi problemi implementando la compilazione just-in-time (JIT) nei primi anni 2000, che ottimizza automaticamente il codice in base alle sfumature del linguaggio specificato.

Perché la definizione di RASP è stata così annacquata?

Lo sviluppo della tecnologia RASP richiede una combinazione di competenze di ingegneria della sicurezza e di ingegneria del software. Per essere efficace, lo sviluppatore RASP deve comprendere a fondo l'architettura dell'applicazione e le sfumature del linguaggio di programmazione utilizzato. Ciò richiede competenze di dominio che sono rare tra i professionisti della sicurezza.

True RASP ottimizza il codice per le prestazioni e la sicurezza

Poiché la maggior parte delle piattaforme RASP si comporta come i WAF, è necessario un enorme sovraccarico, che richiede l'esecuzione in modalità campione. Al contrario, un vero RASP esegue la protezione effettiva in fase di esecuzione.

Queste operazioni esistono in memoria, che è molto efficiente, e poiché esiste nello stesso spazio delle tue applicazioni, sono molto performanti. Eseguendo la protezione in fase di esecuzione, non è necessario limitare la frequenza o eseguire la protezione in dimensioni campione perché l'operazione effettiva richiede solo pochi millisecondi.

Indipendentemente da eventuali modifiche apportate all'applicazione, la sicurezza ad alte prestazioni rimane costante. Questa filosofia è in linea con la filosofia dell'infrastruttura come codice, in cui definisci lo stato desiderato della tua infrastruttura e, indipendentemente da ciò che accade nell'ambiente, lo stato dell'infrastruttura rimane lo stesso.

RASP, per definizione, è parallelo a molti principi dell'infrastruttura come codice. Questo parallelo è possibile grazie alla profonda consapevolezza contestuale dell'applicazione e del linguaggio in cui è costruita. Come infrastruttura come codice, un vero approccio al RASP può e deve avvalersi dell'immutabilità per garantire che le regole siano applicate indipendentemente dalle modifiche alla base di codice.

L'immutabilità è possibile eseguendo un controllo sull'output di una funzione la prima volta che viene chiamata e disattivando eventuali funzionalità non integre con funzionalità protette, assicurando che l'applicazione sia sempre integra durante l'esecuzione.

Questo approccio consente alla sicurezza di essere indipendente dalla distribuzione e non richiede modifiche al codice dell'applicazione, ottimizzazione o attesa di finestre di distribuzione.

Eseguendo la protezione in fase di esecuzione, l'applicazione di patch risulta con protezione immediata su tutte le istanze in esecuzione dell'applicazione, si elimina la necessità di continui falsi positivi e si elimina il rischio di futuri exploit.

RASP può e deve essere tenuto a uno standard più elevato

In breve, RASP dovrebbe essere tenuto a uno standard più elevato. In tal modo, è possibile proteggere migliaia di applicazioni, riducendo il costo totale di proprietà dei WAF e aiutando a prevenire il burnout nei team di sicurezza.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.darkreading.com/attacks-breaches/what-rasp-should-have-been