Che cos'è la sicurezza delle applicazioni web?

La sicurezza delle applicazioni web è essenziale per proteggere i servizi online dalle minacce informatiche. Questa guida illustra i principi della sicurezza delle applicazioni web, le vulnerabilità comuni e le migliori pratiche per proteggere le applicazioni.

Scoprite l'importanza delle pratiche di sviluppo sicuro del codice, dei test regolari e della pianificazione della risposta agli incidenti. Comprendere la sicurezza delle applicazioni web è essenziale per proteggere le risorse digitali della vostra organizzazione e mantenere la fiducia degli utenti.

Organizzazioni e sviluppatori possono rendere le applicazioni web più resilienti distribuendo ogni elemento dell'ecosistema, inclusi bilanciatori di carico, cache, database e archivi delle chiavi di sicurezza, in modo da garantirne la ridondanza in caso di attacco. Così, se un'istanza del sistema viene attaccata, le altre restano operative e l'applicazione web continua a funzionare.

Perché serve proteggere le applicazioni web

Le aziende possiedono, utilizzano e gestiscono migliaia di applicazioni web e le relative Application Programming Interface (API). Queste si collegano a processi e sistemi di archiviazione che custodiscono dati sensibili a rischio. Le applicazioni vengono aggiornate spesso per aggiungere le funzionalità richieste dagli utenti. Ogni aggiornamento può introdurre nuove vulnerabilità nel codice. Le applicazioni web sono inoltre esposte ad attacchi di terze parti tramite plugin e widget.

In definitiva, tutto è un'applicazione web o lo diventerà presto. Windows 11 e Office365 di Microsoft vengono distribuiti tramite il web. Ormai pochissimi software vengono installati principalmente sul dispositivo dell'utente. Ogni attacco a un'applicazione web può portare i criminali a scoprire un'altra vulnerabilità e una nuova opportunità.

10 minacce comuni alla sicurezza delle applicazioni web

Tra le minacce specifiche alle applicazioni web figurano gli attacchi cross-site scripting e le richieste contraffatte che inducono gli utenti a compiere azioni. Una volta preso il controllo di un account, i criminali possono sottrarre, modificare o eliminare dati preziosi.

1. Alcuni hacker criminali usano strumenti di web scraping per sottrarre i contenuti delle pagine e definire prezzi competitivi per altri siti di e-commerce concorrenti.
2. Gli autori delle minacce attaccano le Application Programming Interface (API) per inviare codice dannoso a un'applicazione tramite l'API o sferrare un attacco Man-in-the-Middle (MitM) e intercettare i dati.
3. Gli attacchi di terze parti e alla supply chain sono comuni nelle applicazioni web. Gli aggressori usano bot per prendere il controllo dell'applicazione e sottrarre i dati delle carte di credito che transitano nel sistema o nella pagina, per poi effettuare acquisti fraudolenti.
4. Gli aggressori possono sfruttare le vulnerabilità del software e dell'infrastruttura adiacenti all'applicazione web per avvicinarsi e violarla.
5. Un attacco SQL injection inserisce codice di query SQL dannoso nei database di backend per controllarli. Gli aggressori ottengono il controllo amministrativo del database o del sistema operativo sottostante.
6. I criminali informatici individuano vulnerabilità che permettono loro di eseguire codice e assumere il controllo da remoto. Un attacco Remote Code Execution (RCE) dà all'aggressore il controllo amministrativo dell'applicazione, che può quindi usare a proprio piacimento. Una volta ottenuto il controllo, può installare una backdoor per accedere nuovamente quando vuole.
7. Gli attacchi Distributed Denial of Service (DDoS) possono sommergere un server di richieste fino a provocarne il blocco. Durante il blocco, gli aggressori possono prenderne il controllo.
8. Gli hacker criminali individuano e sfruttano problemi di corruzione della memoria tramite l'iniezione di codice o attacchi di buffer overflow per accedere al software e controllarlo.
9. L'alterazione dei cookie (o il dirottamento della sessione) modifica un cookie valido restituito a un server per rubare dati, aggirare le misure di sicurezza o entrambe le cose.

Tipi di strumenti per la sicurezza delle applicazioni web

Le soluzioni per la sicurezza delle applicazioni web includono i firewall per applicazioni web (WAF), dedicati al controllo del traffico in entrata e in uscita dalle applicazioni web. Un firewall per applicazioni web (WAF) filtra i siti e gli indirizzi IP notoriamente dannosi, monitora il traffico e blocca il traffico HTTP sospetto o malevolo, in base al suo comportamento, diretto verso un sito web, un'applicazione o un servizio o proveniente da essi. L'ispezione del traffico HTTP a livello dei pacchetti di dati può prevenire attacchi che sfruttano le vulnerabilità di un'applicazione web, come l'inclusione di file e la configurazione errata del sistema.

I provider di servizi cloud offrono spesso un servizio di filtraggio del traffico per mitigare gli attacchi DDoS. Il servizio garantisce che tutto il traffico passi prima dal cloud, senza raggiungere direttamente l'applicazione web. Rileva quindi i pacchetti sospetti e li reindirizza in tempo reale, così il traffico legittimo può raggiungere l'applicazione web.

I criminali informatici attaccano le API. Le organizzazioni dovrebbero quindi limitare la frequenza dei tentativi di accesso alle API per scoraggiare gli attacchi brute-force. L'autenticazione a più fattori (MFA) rende più difficile per gli aggressori autenticarsi su un'API. La crittografia Transport Layer Security (TLS) può impedire loro di violare le comunicazioni delle API.

Gli attacchi basati sul DNS sfruttano il traffico DNS per sfuggire al rilevamento degli strumenti di sicurezza tradizionali. La suite di specifiche Domain Name System Security Extensions (DNSSEC) ha rafforzato la protezione dei dati scambiati con il DNS. DNSSEC aggiunge firme crittografiche ai record DNS per proteggere i dati pubblicati nel DNS. Prima di rispondere ai client, il resolver DNS verifica l'autenticità della firma confrontandola con un server DNS autorevole.

Migliori pratiche per la sicurezza delle applicazioni web

Durante lo sviluppo, le applicazioni web devono essere sottoposte a test di sicurezza tempestivi e frequenti per individuare le vulnerabilità. I test in fase di sviluppo possono includere un Dynamic Application Security Test (DAST), un test automatizzato delle applicazioni interne a basso rischio che devono soddisfare requisiti normativi.

Gli sviluppatori di applicazioni web dovrebbero usare gli Static Application Security Tests (SAST) per eseguire test automatici e manuali e individuare bug e vulnerabilità nella pipeline di sviluppo. I penetration test sono un altro strumento prezioso per individuare manualmente le vulnerabilità nelle applicazioni critiche. Verificano la presenza di errori nella logica di business e mostrano come agiscono gli avversari, aiutando a identificare scenari di attacco avanzati. Il Il test di autoprotezione delle applicazioni in fase di esecuzione (RASP) racchiude le applicazioni web per verificare l'esecuzione e il blocco delle minacce in tempo reale.

Gli sviluppatori devono integrare la sicurezza nell'applicazione, anziché aggiungerla quando è ormai matura e le sue vulnerabilità sono ancora presenti. Le tecniche di progettazione sicura includono la convalida degli input, con cui lo sviluppatore impedisce l'inserimento di dati in formato non valido nei flussi di lavoro dell'applicazione. Questo impedisce al codice dannoso di entrare nell'applicazione.

Gli aggressori utilizzano bot per automatizzare gli attacchi. Armati di milioni di credenziali rubate, come nomi utente e password, ricorrono rapidamente al "credential stuffing", inserendo le informazioni di accesso nella speranza di trovare una corrispondenza. Quando ottengono l'accesso non autorizzato, controllano l'accesso degli utenti, effettuano acquisti fraudolenti o rubano i dati degli utenti.

Alcuni hacker criminali utilizzano strumenti di web scraping per rubare il contenuto delle pagine e fissare prezzi competitivi per altri siti di e-commerce che competono con il sito vittima.

Gli autori delle minacce attaccano le interfacce di programmazione delle applicazioni (API) per inviare attacchi basati su codice dannoso attraverso l'API a un'applicazione o per impostare un Man-in-the-Middle (MitM), intercettando i dati.

Gli attacchi di terze parti e alla catena di approvvigionamento sono comuni nelle applicazioni web. Gli aggressori assumono il controllo utilizzando bot e rubano i dati delle carte di credito che transitano nel sistema o nella pagina per utilizzarli in acquisti fraudolenti.

Gli aggressori possono sfruttare le falle nel software e nell'infrastruttura adiacenti all'applicazione web per avvicinarsi ad essa e violarla.

Un attacco SQL injection inserisce codice SQL query dannoso nei database backend per controllarli. Gli aggressori assumono il controllo amministrativo del database o del sistema operativo sottostante.

I criminali informatici individuano vulnerabilità che consentono loro di controllare ed eseguire codice in remoto. L'attacco RCE (Remote Code Execution) consente all'aggressore di assumere il controllo amministrativo dell'applicazione e di fare ciò che desidera. Con il controllo dell'applicazione, un aggressore può inserire una backdoor, che mantiene l'accesso disponibile all'aggressore ogni volta che desidera tornare.

Gli attacchi Distributed Denial of Service (DDoS) possono sovraccaricare un server con richieste fino a causarne il crash. Durante il crash possono assumere il controllo del server.

Gli hacker criminali individuano e sfruttano la corruzione della memoria utilizzando iniezioni di codice o attacchi di overflow del buffer per ottenere l'accesso e il controllo del software.

Il cookie poisoning (o session hijacking) altera o compromette un cookie valido inviato a un server per rubare dati, aggirare la sicurezza o entrambi.

Gli sviluppatori devono assicurarsi che i dati delle applicazioni siano crittografati sia in transito sia a riposo. HTTPS è un esempio di crittografia in transito, poiché crittografa le comunicazioni HTTP sulla porta 80.

Proteggere le applicazioni web al di fuori dell'ambiente di sviluppo richiede diversi strumenti. Un gateway API può individuare le API shadow create e utilizzate all'insaputa del reparto IT.

Conclusione

Le applicazioni web sono esposte a minacce perché accessibili da Internet. Le organizzazioni possono ridurre le minacce progettando, testando e sviluppando applicazioni migliori. L'applicazione di patch alle applicazioni web in fase di sviluppo e in produzione elimina le vulnerabilità. Strumenti di sicurezza come i WAF riducono le minacce nel traffico web degli ambienti di produzione. Le applicazioni in produzione possono essere protette con strumenti di sicurezza per applicazioni web progettati per affrontare le minacce attive.

Un fornitore di servizi cloud offre spesso un servizio di pulizia del traffico per mitigare gli attacchi DDoS. Il servizio garantisce che nessun traffico raggiunga l'applicazione web senza passare prima attraverso il cloud. Quindi, rileva e reindirizza i pacchetti sospetti in tempo reale in modo che il traffico legittimo possa raggiungere l'applicazione web.

I criminali informatici attaccano le API, quindi le organizzazioni dovrebbero limitare la frequenza dei tentativi di accesso alle API per scoraggiare gli attacchi di forza bruta. L'autenticazione a più fattori (MFA) rende più difficile per gli aggressori autenticarsi su un'API. La crittografia TLS (Transport Layer Security) può impedire agli aggressori di intercettare le comunicazioni API.

Con l'aumento degli attacchi basati sul DNS che utilizzano il traffico DNS per eludere il rilevamento da parte degli strumenti di sicurezza tradizionali, la suite di specifiche di estensione DNSSEC (Domain Name System Security Extensions) ha contribuito a proteggere i dati scambiati con il DNS. Il DNSSEC aggiunge firme crittografiche ai record DNS, che proteggono i dati pubblicati nel DNS. Con DNSSEC, il resolver DNS verifica la firma rispetto a un server DNS autorevole per verificarne l'autenticità prima di fornire risposte ai client.

Best practice per la sicurezza delle applicazioni web

Man mano che le applicazioni web si evolvono nella pipeline di sviluppo delle applicazioni, è necessario testarle tempestivamente e frequentemente per individuare eventuali vulnerabilità di sicurezza. I test di sicurezza delle applicazioni web in fase di sviluppo possono includere un Dynamic Application Security Test (DAST), un test automatizzato delle applicazioni interne a basso rischio che devono essere conformi alle valutazioni normative.

Gli sviluppatori di applicazioni web dovrebbero eseguire test utilizzando Static Application Security Tests (SAST) per test automatizzati e manuali al fine di identificare bug di sicurezza e vulnerabilità nella pipeline di sviluppo. Il penetration test è un altro strumento prezioso per individuare manualmente le vulnerabilità nelle applicazioni critiche. Il test di penetrazione verifica la presenza di errori nella logica di business e scopre come gli avversari attaccano per isolare scenari di attacco avanzati. Il Runtime Application Self-Protection (RASP) avvolge le applicazioni web per testare l'esecuzione e il blocco delle minacce in tempo reale.

Gli sviluppatori devono integrare la sicurezza nell'applicazione piuttosto che aggiungerla dopo che questa è stata completata con le sue vulnerabilità intatte. Le tecniche di progettazione sicura includono la convalida degli input, in cui lo sviluppatore blocca l'immissione di dati formattati in modo errato nei flussi di lavoro dell'applicazione. Ciò impedisce l'ingresso di codice dannoso nell'applicazione.

I programmatori di applicazioni devono garantire che le app siano crittografate sia in movimento che a riposo. HTTPS è un esempio di crittografia in movimento, poiché crittografa le comunicazioni HTTP sulla porta 80.

La protezione delle applicazioni web al di fuori dell'ambiente di sviluppo richiede una serie di strumenti. Un gateway API è in grado di identificare le API ombra create e utilizzate all'insaputa dell'IT.

Conclusione

Le applicazioni web sono soggette a minacce dovute all'esposizione al mondo di Internet. Le organizzazioni possono mitigare le minacce progettando, testando e realizzando app migliori. L'applicazione di patch alle app web in fase di sviluppo e produzione elimina le vulnerabilità. Gli strumenti di sicurezza come i WAF mitigano le minacce nel traffico web negli ambienti di produzione. Le applicazioni in produzione possono essere protette utilizzando strumenti di sicurezza delle applicazioni web progettati per affrontare le minacce attive.

"