वेब अनुप्रयोग फ़ायरवॉल: Difference between revisions

From Vigyanwiki
(Created page with "<!-- READ BEFORE EDITING! before editing this page, please make sure the information being added explicitly relates to the unique qualities of web application firewalls. Also,...")
 
No edit summary
Line 5: Line 5:
{{short description|HTTP specific network security system}}
{{short description|HTTP specific network security system}}
{{Computer security}}
{{Computer security}}
एक [[वेब अनुप्रयोग]] फ़ायरवॉल (WAF) [[आवेदन फ़ायरवॉल]] का एक विशिष्ट रूप है जो एक वेब एप्लिकेशन से और [[HTTP]] [[प्रसार यातायात]] को फ़िल्टर, मॉनिटर और ब्लॉक करता है।HTTP ट्रैफ़िक का निरीक्षण करके, यह वेब एप्लिकेशन की ज्ञात कमजोरियों, जैसे कि SQL इंजेक्शन, [[क्रॉस साइट स्क्रिप्टिंग]] (XSS), फ़ाइल समावेशन भेद्यता और अनुचित सिस्टम कॉन्फ़िगरेशन जैसे हमलों को रोक सकता है।<ref>{{cite web| url=http://searchsecurity.techtarget.com/definition/Web-application-firewall-WAF| title=Web Application Firewall| publisher=TechTarget| access-date=10 April 2018}}</ref>
एक [[वेब अनुप्रयोग]] फ़ायरवॉल (वेब एप्लिकेशन फ़ायरवॉल) [[आवेदन फ़ायरवॉल]] का एक विशिष्ट रूप है जो एक वेब एप्लिकेशन से और [[HTTP|हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल]] [[प्रसार यातायात]] को फ़िल्टर, मॉनिटर और ब्लॉक करता है।हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल ट्रैफ़िक का निरीक्षण करके, यह वेब एप्लिकेशन की ज्ञात कमजोरियों, जैसे कि संरचित क्वेरी भाषा इंजेक्शन, [[क्रॉस साइट स्क्रिप्टिंग]] (XSS), फ़ाइल समावेशन भेद्यता और अनुपयुक्त सिस्टम कॉन्फ़िगरेशन जैसे हमलों को रोक सकता है।<ref>{{cite web| url=http://searchsecurity.techtarget.com/definition/Web-application-firewall-WAF| title=Web Application Firewall| publisher=TechTarget| access-date=10 April 2018}}</ref>




Line 12: Line 12:
समर्पित वेब एप्लिकेशन फ़ायरवॉल ने 1990 के दशक के उत्तरार्ध में एक ऐसे समय में बाजार में प्रवेश किया जब [[वेब सर्वर]] [[हैकर]] अधिक प्रचलित हो रहा था।
समर्पित वेब एप्लिकेशन फ़ायरवॉल ने 1990 के दशक के उत्तरार्ध में एक ऐसे समय में बाजार में प्रवेश किया जब [[वेब सर्वर]] [[हैकर]] अधिक प्रचलित हो रहा था।


WAF का एक प्रारंभिक संस्करण अपने [[AppShield]] उत्पाद के साथ [[परफेक्टो टेक्नोलॉजीज]] द्वारा विकसित किया गया था,<ref>{{Cite web|url=http://www.internetnews.com/ec-news/article.php/190571/Perfecto+Technologies+Delivers+AppShield+for+EBusiness.htm|title=Perfecto Technologies Delivers AppShield for E-Business - InternetNews.|website=www.internetnews.com|date=27 August 1999 |access-date=2016-09-20}}</ref> जो ई-कॉमर्स बाजार पर केंद्रित था और अवैध वेब पेज चरित्र प्रविष्टियों के खिलाफ संरक्षित था।कावाडो और गिलियन टेक्नोलॉजीज के अन्य शुरुआती WAF उत्पाद, एक ही समय में बाजार में उपलब्ध थे, 90 के दशक के अंत में वेब अनुप्रयोगों पर हमलों की बढ़ती मात्रा को हल करने की कोशिश कर रहे थे।2002 में, ओपन सोर्स प्रोजेक्ट मोडसिटी<ref>{{cite web|title=ModSecurity homepage|url=https://www.modsecurity.org/|website=ModSecurity}}</ref> WAF तकनीक को अधिक सुलभ बनाने के लिए गठित किया गया था।उन्होंने ओएसआईएस वेब एप्लिकेशन सुरक्षा तकनीकी समिति (टीसी) भेद्यता कार्य के आधार पर वेब अनुप्रयोगों की सुरक्षा के लिए एक मुख्य नियम को अंतिम रूप दिया।2003 में, उन्होंने [[वेब अनुप्रयोग सुरक्षा परियोजना खोलें]] (OWASP) टॉप 10 लिस्ट के माध्यम से नियमों का विस्तार और मानकीकृत किया, जो वेब सुरक्षा कमजोरियों के लिए एक वार्षिक रैंकिंग है।यह सूची वेब एप्लिकेशन सुरक्षा अनुपालन के लिए उद्योग मानक बन जाएगी।<ref>{{cite web| url=https://www.veracode.com/blog/2012/04/what-is-owasp-guide-to-the-owasp-application-security-top-10| title=What is OWASP? Guide to the OWASP Application Security Top 10| publisher=Veracode| date= 25 April 2012| first=Neil| last=DuPaul| access-date=10 April 2018}}</ref><ref>{{cite web| url=https://www.itproportal.com/features/the-owasp-top-ten-and-todays-threat-landscape/| title=The OWASP Top Ten and Today's Threat Landscape| publisher=ITProPortol| date=12 March 2018| first=Daniel| last=Svartman| access-date=10 April 2018}}</ref>
वेब एप्लिकेशन फ़ायरवॉल का एक प्रारंभिक संस्करण अपने [[AppShield]] उत्पाद के साथ [[परफेक्टो टेक्नोलॉजीज]] द्वारा विकसित किया गया था,<ref>{{Cite web|url=http://www.internetnews.com/ec-news/article.php/190571/Perfecto+Technologies+Delivers+AppShield+for+EBusiness.htm|title=Perfecto Technologies Delivers AppShield for E-Business - InternetNews.|website=www.internetnews.com|date=27 August 1999 |access-date=2016-09-20}}</ref> जो ई-कॉमर्स बाजार पर केंद्रित था और अवैध वेब पेज चरित्र प्रविष्टियों के खिलाफ संरक्षित था।कावाडो और गिलियन टेक्नोलॉजीज के अन्य प्रारम्भिक वेब एप्लिकेशन फ़ायरवॉल उत्पाद, एक ही समय में बाजार में उपलब्ध थे, 90 के दशक के अंत में वेब अनुप्रयोगों पर हमलों की बढ़ती मात्रा को हल करने की कोशिश कर रहे थे।2002 में, ओपन सोर्स प्रोजेक्ट मोडसिटी<ref>{{cite web|title=ModSecurity homepage|url=https://www.modsecurity.org/|website=ModSecurity}}</ref> वेब एप्लिकेशन फ़ायरवॉल तकनीक को अधिक सुलभ बनाने के लिए गठित किया गया था।उन्होंने ओएसआईएस वेब एप्लिकेशन सुरक्षा तकनीकी समिति (टीसी) भेद्यता कार्य के आधार पर वेब अनुप्रयोगों की सुरक्षा के लिए एक मुख्य नियम को अंतिम रूप दिया।2003 में, उन्होंने [[वेब अनुप्रयोग सुरक्षा परियोजना खोलें]] (मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट) टॉप 10 लिस्ट के माध्यम से नियमों का विस्तार और मानकीकृत किया, जो वेब सुरक्षा कमजोरियों के लिए एक वार्षिक रैंकिंग है।यह सूची वेब एप्लिकेशन सुरक्षा अनुपालन के लिए उद्योग मानक बन जाएगी।<ref>{{cite web| url=https://www.veracode.com/blog/2012/04/what-is-owasp-guide-to-the-owasp-application-security-top-10| title=What is OWASP? Guide to the OWASP Application Security Top 10| publisher=Veracode| date= 25 April 2012| first=Neil| last=DuPaul| access-date=10 April 2018}}</ref><ref>{{cite web| url=https://www.itproportal.com/features/the-owasp-top-ten-and-todays-threat-landscape/| title=The OWASP Top Ten and Today's Threat Landscape| publisher=ITProPortol| date=12 March 2018| first=Daniel| last=Svartman| access-date=10 April 2018}}</ref>
तब से, बाजार बढ़ता रहा और विकसित होता रहा है, विशेष रूप से [[क्रेडिट कार्ड धोखाधड़ी]] की रोकथाम पर ध्यान केंद्रित कर रहा है।[[भुगतान कार्ड उद्योग डेटा सुरक्षा मानक]] (पीसीआई डीएसएस) के विकास के साथ, कार्डधारक डेटा पर नियंत्रण का एक मानकीकरण, सुरक्षा इस क्षेत्र में अधिक विनियमित हो गई है।CISO मैगज़ीन के अनुसार, 2022 तक WAF बाजार बढ़ने की उम्मीद थी।<ref>{{Cite web|last=Harsh|date=2021-12-26|title=Web Application Firewall (WAF) Market CAGR of 19.2% 2021|url=https://firewallauthority.com/web-application-firewall-market-cagr-of-2021/|access-date=2021-12-26|website=Firewall Authority|language=en-US}}</ref>.<ref>{{cite web| url=https://www.cisomag.com/web-application-firewall-market-worth-5-48-billion-2022/| title=Web Application Firewall Market Worth $5.48 Billion by 2022| publisher=CISO Magazine| date=5 October 2017| access-date=10 April 2018}}</ref>
तब से, बाजार बढ़ता रहा और विकसित होता रहा है, विशेष रूप से [[क्रेडिट कार्ड धोखाधड़ी]] की रोकथाम पर ध्यान केंद्रित कर रहा है।[[भुगतान कार्ड उद्योग डेटा सुरक्षा मानक]] (पीसीआई डीएसएस) के विकास के साथ, कार्डधारक डेटा पर नियंत्रण का एक मानकीकरण, सुरक्षा इस क्षेत्र में अधिक विनियमित हो गई है।CISO मैगज़ीन के अनुसार, 2022 तक वेब एप्लिकेशन फ़ायरवॉल बाजार बढ़ने की उम्मीद थी।<ref>{{Cite web|last=Harsh|date=2021-12-26|title=Web Application Firewall (WAF) Market CAGR of 19.2% 2021|url=https://firewallauthority.com/web-application-firewall-market-cagr-of-2021/|access-date=2021-12-26|website=Firewall Authority|language=en-US}}</ref>.<ref>{{cite web| url=https://www.cisomag.com/web-application-firewall-market-worth-5-48-billion-2022/| title=Web Application Firewall Market Worth $5.48 Billion by 2022| publisher=CISO Magazine| date=5 October 2017| access-date=10 April 2018}}</ref>




== विवरण ==
== विवरण ==
एक वेब एप्लिकेशन फ़ायरवॉल एक विशेष प्रकार का एप्लिकेशन फ़ायरवॉल है जो विशेष रूप से वेब एप्लिकेशन पर लागू होता है।यह वेब एप्लिकेशन के सामने तैनात है और द्वि-दिशात्मक वेब-आधारित (HTTP) ट्रैफ़िक का विश्लेषण करता है-कुछ भी दुर्भावनापूर्ण का पता लगाने और अवरुद्ध करता है।OWASP एक WAF के लिए एक व्यापक तकनीकी परिभाषा "वेब एप्लिकेशन स्तर पर एक सुरक्षा समाधान के रूप में प्रदान करता है - जो कि तकनीकी दृष्टिकोण से - एप्लिकेशन पर निर्भर नहीं करता है।"<ref>{{cite web|author1=Maximillan Dermann|author2=Mirko Dziadzka|author3=Boris Hemkemeier|author4=Alexander Meisel|author5=Matthias Rohr|author6=Thomas Schreiber|title=OWASP Best Practices: Use of Web Application Firewalls ver. 1.0.5|url=https://www.owasp.org/index.php/Category:OWASP_Best_Practices:_Use_of_Web_Application_Firewalls/Version_1.0.5|website=OWASP|publisher=OWASP|language=English|date=July 7, 2008}}</ref> आवश्यकता 6.6 के लिए PCI DSS सूचना पूरक के अनुसार, एक WAF को "एक वेब एप्लिकेशन और क्लाइंट एंडपॉइंट के बीच तैनात एक सुरक्षा नीति प्रवर्तन बिंदु" के रूप में परिभाषित किया गया है।इस कार्यक्षमता को सॉफ्टवेयर या हार्डवेयर में लागू किया जा सकता है, एक उपकरण डिवाइस में, या एक सामान्य ऑपरेटिंग सिस्टम चलाने वाले एक विशिष्ट सर्वर में।यह एक स्टैंड-अलोन डिवाइस हो सकता है या अन्य नेटवर्क घटकों में एकीकृत हो सकता है। ”<ref>{{cite web|author1=PCI Data Security Standards Council|title=Information Supplement: Application Reviews and Web Application Firewalls Clarified ver. 1.2|url=https://www.pcisecuritystandards.org/documents/information_supplement_6.6.pdf|website=PCI DSS|publisher=PCI DSS|date=October 2008}}</ref> दूसरे शब्दों में, एक WAF एक आभासी या भौतिक उपकरण हो सकता है जो वेब अनुप्रयोगों में कमजोरियों को बाहरी खतरों द्वारा शोषण करने से रोकता है।ये कमजोरियां हो सकती हैं क्योंकि एप्लिकेशन स्वयं एक विरासत प्रकार है या इसे डिजाइन द्वारा अपर्याप्त रूप से कोडित किया गया था।WAF इन कोड कमियों को नियम-सेट के विशेष कॉन्फ़िगरेशन द्वारा संबोधित करता है, जिसे नीतियों के रूप में भी जाना जाता है।
एक वेब एप्लिकेशन फ़ायरवॉल एक विशेष प्रकार का एप्लिकेशन फ़ायरवॉल है जो विशेष रूप से वेब एप्लिकेशन पर लागू होता है।यह वेब एप्लिकेशन के सामने परिनियोजित है और द्वि-दिशात्मक वेब-आधारित (हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल) ट्रैफ़िक का विश्लेषण करता है-कुछ भी दुर्भावनापूर्ण का पता लगाने और अवरुद्ध करता है।मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट एक वेब एप्लिकेशन फ़ायरवॉल के लिए एक व्यापक तकनीकी परिभाषा "वेब एप्लिकेशन स्तर पर एक सुरक्षा समाधान के रूप में प्रदान करता है - जो कि तकनीकी दृष्टिकोण से - एप्लिकेशन पर निर्भर नहीं करता है।"<ref>{{cite web|author1=Maximillan Dermann|author2=Mirko Dziadzka|author3=Boris Hemkemeier|author4=Alexander Meisel|author5=Matthias Rohr|author6=Thomas Schreiber|title=OWASP Best Practices: Use of Web Application Firewalls ver. 1.0.5|url=https://www.owasp.org/index.php/Category:OWASP_Best_Practices:_Use_of_Web_Application_Firewalls/Version_1.0.5|website=OWASP|publisher=OWASP|language=English|date=July 7, 2008}}</ref> आवश्यकता 6.6 के लिए पेरिफ़ेरल कंपोनेंट इंटरकनेक्ट (पीसीएल) निर्णय समर्थन प्रणाली सूचना पूरक के अनुसार, एक वेब एप्लिकेशन फ़ायरवॉल को "एक वेब एप्लिकेशन और क्लाइंट एंडपॉइंट के बीच परिनियोजित एक सुरक्षा नीति प्रवर्तन बिंदु" के रूप में परिभाषित किया गया है।इस कार्यक्षमता को सॉफ्टवेयर या हार्डवेयर में लागू किया जा सकता है, एक उपकरण डिवाइस में, या एक सामान्य ऑपरेटिंग सिस्टम चलाने वाले एक विशिष्ट सर्वर में।यह एक स्टैंड-अलोन डिवाइस हो सकता है या अन्य नेटवर्क घटकों में एकीकृत हो सकता है। ”<ref>{{cite web|author1=PCI Data Security Standards Council|title=Information Supplement: Application Reviews and Web Application Firewalls Clarified ver. 1.2|url=https://www.pcisecuritystandards.org/documents/information_supplement_6.6.pdf|website=PCI DSS|publisher=PCI DSS|date=October 2008}}</ref> दूसरे शब्दों में, एक वेब एप्लिकेशन फ़ायरवॉल एक आभासी या भौतिक उपकरण हो सकता है जो वेब अनुप्रयोगों में कमजोरियों को बाहरी खतरों द्वारा शोषण करने से रोकता है।ये कमजोरियां हो सकती हैं क्योंकि एप्लिकेशन स्वयं एक विरासत प्रकार है या इसे डिजाइन द्वारा अपर्याप्त रूप से कोडित किया गया था।वेब एप्लिकेशन फ़ायरवॉल इन कोड कमियों को नियम-सेट के विशेष कॉन्फ़िगरेशन द्वारा संबोधित करता है, जिसे नीतियों के रूप में भी जाना जाता है।


पहले अज्ञात कमजोरियों को पैठ परीक्षण के माध्यम से या एक भेद्यता स्कैनर के माध्यम से खोजा जा सकता है।एक [[वेब अनुप्रयोग सुरक्षा स्कैनर]], जिसे वेब एप्लिकेशन सिक्योरिटी स्कैनर के रूप में भी जाना जाता है, को [[SAMATE]] [[NIST]] 500-269 में "एक स्वचालित कार्यक्रम के रूप में परिभाषित किया गया है जो संभावित सुरक्षा कमजोरियों के लिए वेब अनुप्रयोगों की जांच करता है।वेब एप्लिकेशन-विशिष्ट कमजोरियों की खोज करने के अलावा, टूल भी सॉफ्टवेयर कोडिंग त्रुटियों की तलाश करते हैं। ”<ref>{{cite web|author1=Paul E. Black|author2=Elizabeth Fong|author3=Vadim Okun|author4=Romain Gaucher|title=NIST Special Publication 500-269 Software Assurance Tools: Web Application Security Scanner Functional Specification Version 1.0|url=https://samate.nist.gov/docs/webapp_scanner_spec_sp500-269.pdf|website=SAMATE NIST|publisher=SAMATE NIST|date=January 2008}}</ref> कमजोरियों को हल करना आमतौर पर उपचारात्मक के रूप में जाना जाता है।कोड में सुधार एप्लिकेशन में किया जा सकता है लेकिन आमतौर पर एक अधिक त्वरित प्रतिक्रिया आवश्यक है।इन स्थितियों में, एक अस्थायी लेकिन तत्काल फिक्स (वर्चुअल पैच के रूप में जाना जाता है) प्रदान करने के लिए एक अद्वितीय वेब एप्लिकेशन भेद्यता के लिए एक कस्टम नीति का अनुप्रयोग आवश्यक हो सकता है।
पहले अज्ञात कमजोरियों को पैठ परीक्षण के माध्यम से या एक भेद्यता स्कैनर के माध्यम से खोजा जा सकता है।एक [[वेब अनुप्रयोग सुरक्षा स्कैनर]], जिसे वेब एप्लिकेशन सिक्योरिटी स्कैनर के रूप में भी जाना जाता है, को [[SAMATE]] [[NIST]] 500-269 में "एक स्वचालित कार्यक्रम के रूप में परिभाषित किया गया है जो संभावित सुरक्षा कमजोरियों के लिए वेब अनुप्रयोगों की जांच करता है।वेब एप्लिकेशन-विशिष्ट कमजोरियों की खोज करने के अतिरिक्त, टूल भी सॉफ्टवेयर कोडिंग त्रुटियों की तलाश करते हैं। ”<ref>{{cite web|author1=Paul E. Black|author2=Elizabeth Fong|author3=Vadim Okun|author4=Romain Gaucher|title=NIST Special Publication 500-269 Software Assurance Tools: Web Application Security Scanner Functional Specification Version 1.0|url=https://samate.nist.gov/docs/webapp_scanner_spec_sp500-269.pdf|website=SAMATE NIST|publisher=SAMATE NIST|date=January 2008}}</ref> कमजोरियों को हल करना सामान्य रूप से उपचारात्मक के रूप में जाना जाता है।कोड में सुधार एप्लिकेशन में किया जा सकता है लेकिन सामान्य रूप से एक अधिक त्वरित प्रतिक्रिया आवश्यक है।इन स्थितियों में, एक अस्थायी लेकिन तत्काल फिक्स (वर्चुअल पैच के रूप में जाना जाता है) प्रदान करने के लिए एक अद्वितीय वेब एप्लिकेशन भेद्यता के लिए एक कस्टम नीति का अनुप्रयोग आवश्यक हो सकता है।


WAFS एक अंतिम सुरक्षा समाधान नहीं है, बल्कि वे एक समग्र रक्षा रणनीति प्रदान करने के लिए नेटवर्क फ़ायरवॉल और घुसपैठ रोकथाम प्रणालियों जैसे अन्य नेटवर्क परिधि सुरक्षा समाधानों के साथ संयोजन में उपयोग किए जाते हैं।
वेब एप्लिकेशन फ़ायरवॉल सिस्टम एक अंतिम सुरक्षा समाधान नहीं है, बल्कि वे एक समग्र रक्षा रणनीति प्रदान करने के लिए नेटवर्क फ़ायरवॉल और आक्षेप रोकथाम प्रणालियों जैसे अन्य नेटवर्क परिधि सुरक्षा समाधानों के साथ संयोजन में उपयोग किए जाते हैं।


WAFS आमतौर पर एक सकारात्मक सुरक्षा मॉडल, एक नकारात्मक सुरक्षा, या SANS संस्थान द्वारा उल्लिखित दोनों के संयोजन का पालन करता है।<ref>{{cite web|author1=Jason Pubal|title=Web Application Firewalls - Enterprise Techniques|url=https://www.sans.org/reading-room/whitepapers/application/web-application-firewalls-35817|website=SANS Institute|publisher=SANS Institute InfoSec Reading Room|format=PDF|date=March 13, 2015}}</ref> WAFS क्रॉस-साइट स्क्रिप्टिंग और SQL इंजेक्शन जैसे हमलों का पता लगाने और रोकने के लिए नियम-आधारित तर्क, [[ पदच्छेद ]] और हस्ताक्षर के संयोजन का उपयोग करता है।सामान्य तौर पर, ब्राउज़र इम्यूलेशन, ऑबफ्यूसेशन और वर्चुअलाइजेशन के साथ -साथ आईपी ऑबफ्यूसेशन जैसी सुविधाओं का उपयोग WAF को बायपास करने के लिए किया जाता है।<ref>{{cite web|author1=IPM|title=Reverse Engineering how WAFs Like Cloudflare Identify Bots|url=https://www.ipm-corporation.com/research/reverse-engineering-how-the-waf-industry-identifies-bots|website=IPM Corporation|publisher=IPM Corporation|date=July 29, 2022}}</ref> OWASP शीर्ष दस वेब एप्लिकेशन सुरक्षा खामियों की एक सूची तैयार करता है।सभी वाणिज्यिक WAF प्रसाद कम से कम इन दस दोषों को कवर करते हैं।गैर-वाणिज्यिक विकल्प भी हैं।जैसा कि पहले उल्लेख किया गया है, प्रसिद्ध ओपन सोर्स WAF इंजन जिसे मोडक्युरिटी कहा जाता है, इन विकल्पों में से एक है।एक WAF इंजन अकेले पर्याप्त सुरक्षा प्रदान करने के लिए अपर्याप्त है, इसलिए ट्रस्टवेव के स्पाइडरलैब्स के साथ OWASP, [[GitHub]] के माध्यम से एक कोर-नियम को व्यवस्थित करने और बनाए रखने में मदद करता है<ref>{{cite web|title=Core-Rule Set Project Repository|url=https://github.com/coreruleset/coreruleset|website=GitHub|date=30 September 2022 }}</ref> Modsecurity WAF इंजन के साथ उपयोग करने के लिए।<ref>{{cite web|title=OWASP ModSecurity Core Rule Set Project|url=https://www.owasp.org/index.php/Category:OWASP_ModSecurity_Core_Rule_Set_Project#tab=Main|website=OWASP}}</ref>
वेब एप्लिकेशन फ़ायरवॉल सिस्टम सामान्य रूप से एक सकारात्मक सुरक्षा मॉडल, एक नकारात्मक सुरक्षा, या SANS संस्थान द्वारा उल्लिखित दोनों के संयोजन का पालन करता है।<ref>{{cite web|author1=Jason Pubal|title=Web Application Firewalls - Enterprise Techniques|url=https://www.sans.org/reading-room/whitepapers/application/web-application-firewalls-35817|website=SANS Institute|publisher=SANS Institute InfoSec Reading Room|format=PDF|date=March 13, 2015}}</ref> वेब एप्लिकेशन फ़ायरवॉल सिस्टम क्रॉस-साइट स्क्रिप्टिंग और संरचित क्वेरी भाषा इंजेक्शन जैसे हमलों का पता लगाने और रोकने के लिए नियम-आधारित तर्क, [[ पदच्छेद ]] और हस्ताक्षर के संयोजन का उपयोग करता है। सामान्य रूप से, ब्राउज़र इम्यूलेशन, ऑबफ्यूसेशन और वर्चुअलाइजेशन के साथ -साथ आईपी ऑबफ्यूसेशन जैसी सुविधाओं का उपयोग वेब एप्लिकेशन फ़ायरवॉल को बायपास करने के लिए किया जाता है।<ref>{{cite web|author1=IPM|title=Reverse Engineering how WAFs Like Cloudflare Identify Bots|url=https://www.ipm-corporation.com/research/reverse-engineering-how-the-waf-industry-identifies-bots|website=IPM Corporation|publisher=IPM Corporation|date=July 29, 2022}}</ref> मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट शीर्ष दस वेब एप्लिकेशन सुरक्षा खामियों की एक सूची तैयार करता है।सभी वाणिज्यिक वेब एप्लिकेशन फ़ायरवॉल प्रसाद कम से कम इन दस दोषों को कवर करते हैं।गैर-वाणिज्यिक विकल्प भी हैं।जैसा कि पहले उल्लेख किया गया है, प्रसिद्ध ओपन सोर्स वेब एप्लिकेशन फ़ायरवॉल इंजन जिसे मोडक्युरिटी कहा जाता है, इन विकल्पों में से एक है।एक वेब एप्लिकेशन फ़ायरवॉल इंजन अकेले पर्याप्त सुरक्षा प्रदान करने के लिए अपर्याप्त है, इसलिए ट्रस्टवेव के स्पाइडरलैब्स के साथ मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट, [[GitHub]] के माध्यम से एक कोर-नियम को व्यवस्थित करने और बनाए रखने में मदद करता है<ref>{{cite web|title=Core-Rule Set Project Repository|url=https://github.com/coreruleset/coreruleset|website=GitHub|date=30 September 2022 }}</ref> Modsecurity वेब एप्लिकेशन फ़ायरवॉल इंजन के साथ उपयोग करने के लिए।<ref>{{cite web|title=OWASP ModSecurity Core Rule Set Project|url=https://www.owasp.org/index.php/Category:OWASP_ModSecurity_Core_Rule_Set_Project#tab=Main|website=OWASP}}</ref>




== परिनियोजन विकल्प ==
== परिनियोजन विकल्प ==
यद्यपि ऑपरेटिंग मोड के लिए नाम अलग -अलग हो सकते हैं, WAFs मूल रूप से तीन अलग -अलग तरीकों से इनलाइन तैनात किए जाते हैं।एनएसएस लैब्स के अनुसार, तैनाती के विकल्प [[पारदर्शी पुल]], पारदर्शी [[रिवर्स प्रॉक्सी]] और रिवर्स प्रॉक्सी हैं।<ref>{{cite web|title=TEST METHODOLOGY Web Application Firewall 6.2|url=https://www.nsslabs.com/index.cfm/research-advisory/library/content-security/web-application-firewalls/waf-test-methodology-v6-2/waf-test-methodology-v6-2/|website=NSS Labs|publisher=NSS Labs|ref=6|date=|access-date=2018-05-03}}</ref> 'ट्रांसपेरेंट' इस तथ्य को संदर्भित करता है कि HTTP ट्रैफ़िक को सीधे वेब एप्लिकेशन में भेजा जाता है, इसलिए WAF क्लाइंट और सर्वर के बीच पारदर्शी है।यह रिवर्स प्रॉक्सी के विपरीत है, जहां WAF एक प्रॉक्सी के रूप में कार्य करता है और ग्राहक के ट्रैफ़िक को सीधे WAF को भेजा जाता है।WAF तब अलग से वेब एप्लिकेशन को फ़िल्टर्ड ट्रैफ़िक भेजता है।यह आईपी मास्किंग जैसे अतिरिक्त लाभ प्रदान कर सकता है, लेकिन प्रदर्शन विलंबता जैसे नुकसान का परिचय दे सकता है।
यद्यपि ऑपरेटिंग मोड के लिए नाम अलग -अलग हो सकते हैं, वेब एप्लिकेशन फ़ायरवॉलs मूल रूप से तीन अलग -अलग तरीकों से इनलाइन परिनियोजित किए जाते हैं।एनएसएस लैब्स के अनुसार, परिनियोजिती के विकल्प [[पारदर्शी पुल]], पारदर्शी [[रिवर्स प्रॉक्सी]] और रिवर्स प्रॉक्सी हैं।<ref>{{cite web|title=TEST METHODOLOGY Web Application Firewall 6.2|url=https://www.nsslabs.com/index.cfm/research-advisory/library/content-security/web-application-firewalls/waf-test-methodology-v6-2/waf-test-methodology-v6-2/|website=NSS Labs|publisher=NSS Labs|ref=6|date=|access-date=2018-05-03}}</ref> 'ट्रांसपेरेंट' इस तथ्य को संदर्भित करता है कि हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल ट्रैफ़िक को सीधे वेब एप्लिकेशन में भेजा जाता है, इसलिए वेब एप्लिकेशन फ़ायरवॉल क्लाइंट और सर्वर के बीच पारदर्शी है।यह रिवर्स प्रॉक्सी के विपरीत है, जहां वेब एप्लिकेशन फ़ायरवॉल एक प्रॉक्सी के रूप में कार्य करता है और ग्राहक के ट्रैफ़िक को सीधे वेब एप्लिकेशन फ़ायरवॉल को भेजा जाता है।वेब एप्लिकेशन फ़ायरवॉल तब अलग से वेब एप्लिकेशन को फ़िल्टर्ड ट्रैफ़िक भेजता है।यह आईपी मास्किंग जैसे अतिरिक्त लाभ प्रदान कर सकता है, लेकिन प्रदर्शन विलंबता जैसे नुकसान का परिचय दे सकता है।


== यह भी देखें ==
== यह भी देखें ==

Revision as of 13:53, 26 February 2023

This article is about a sub-type of an application firewall. For the article on application firewalls, see Application firewall. For the primary topic of firewalls, see Firewall (computing).
श्रृंखला का हिस्सा
सूचना सुरक्षा
vectorial version
सुरक्षा संबंधित श्रेणियां
थ्रेट्स
डिफेंसेस

एक वेब अनुप्रयोग फ़ायरवॉल (वेब एप्लिकेशन फ़ायरवॉल) आवेदन फ़ायरवॉल का एक विशिष्ट रूप है जो एक वेब एप्लिकेशन से और हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल प्रसार यातायात को फ़िल्टर, मॉनिटर और ब्लॉक करता है।हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल ट्रैफ़िक का निरीक्षण करके, यह वेब एप्लिकेशन की ज्ञात कमजोरियों, जैसे कि संरचित क्वेरी भाषा इंजेक्शन, क्रॉस साइट स्क्रिप्टिंग (XSS), फ़ाइल समावेशन भेद्यता और अनुपयुक्त सिस्टम कॉन्फ़िगरेशन जैसे हमलों को रोक सकता है।[1]


इतिहास

See also: Application firewall

समर्पित वेब एप्लिकेशन फ़ायरवॉल ने 1990 के दशक के उत्तरार्ध में एक ऐसे समय में बाजार में प्रवेश किया जब वेब सर्वर हैकर अधिक प्रचलित हो रहा था।

वेब एप्लिकेशन फ़ायरवॉल का एक प्रारंभिक संस्करण अपने AppShield उत्पाद के साथ परफेक्टो टेक्नोलॉजीज द्वारा विकसित किया गया था,[2] जो ई-कॉमर्स बाजार पर केंद्रित था और अवैध वेब पेज चरित्र प्रविष्टियों के खिलाफ संरक्षित था।कावाडो और गिलियन टेक्नोलॉजीज के अन्य प्रारम्भिक वेब एप्लिकेशन फ़ायरवॉल उत्पाद, एक ही समय में बाजार में उपलब्ध थे, 90 के दशक के अंत में वेब अनुप्रयोगों पर हमलों की बढ़ती मात्रा को हल करने की कोशिश कर रहे थे।2002 में, ओपन सोर्स प्रोजेक्ट मोडसिटी[3] वेब एप्लिकेशन फ़ायरवॉल तकनीक को अधिक सुलभ बनाने के लिए गठित किया गया था।उन्होंने ओएसआईएस वेब एप्लिकेशन सुरक्षा तकनीकी समिति (टीसी) भेद्यता कार्य के आधार पर वेब अनुप्रयोगों की सुरक्षा के लिए एक मुख्य नियम को अंतिम रूप दिया।2003 में, उन्होंने वेब अनुप्रयोग सुरक्षा परियोजना खोलें (मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट) टॉप 10 लिस्ट के माध्यम से नियमों का विस्तार और मानकीकृत किया, जो वेब सुरक्षा कमजोरियों के लिए एक वार्षिक रैंकिंग है।यह सूची वेब एप्लिकेशन सुरक्षा अनुपालन के लिए उद्योग मानक बन जाएगी।[4][5] तब से, बाजार बढ़ता रहा और विकसित होता रहा है, विशेष रूप से क्रेडिट कार्ड धोखाधड़ी की रोकथाम पर ध्यान केंद्रित कर रहा है।भुगतान कार्ड उद्योग डेटा सुरक्षा मानक (पीसीआई डीएसएस) के विकास के साथ, कार्डधारक डेटा पर नियंत्रण का एक मानकीकरण, सुरक्षा इस क्षेत्र में अधिक विनियमित हो गई है।CISO मैगज़ीन के अनुसार, 2022 तक वेब एप्लिकेशन फ़ायरवॉल बाजार बढ़ने की उम्मीद थी।[6].[7]


विवरण

एक वेब एप्लिकेशन फ़ायरवॉल एक विशेष प्रकार का एप्लिकेशन फ़ायरवॉल है जो विशेष रूप से वेब एप्लिकेशन पर लागू होता है।यह वेब एप्लिकेशन के सामने परिनियोजित है और द्वि-दिशात्मक वेब-आधारित (हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल) ट्रैफ़िक का विश्लेषण करता है-कुछ भी दुर्भावनापूर्ण का पता लगाने और अवरुद्ध करता है।मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट एक वेब एप्लिकेशन फ़ायरवॉल के लिए एक व्यापक तकनीकी परिभाषा "वेब एप्लिकेशन स्तर पर एक सुरक्षा समाधान के रूप में प्रदान करता है - जो कि तकनीकी दृष्टिकोण से - एप्लिकेशन पर निर्भर नहीं करता है।"[8] आवश्यकता 6.6 के लिए पेरिफ़ेरल कंपोनेंट इंटरकनेक्ट (पीसीएल) निर्णय समर्थन प्रणाली सूचना पूरक के अनुसार, एक वेब एप्लिकेशन फ़ायरवॉल को "एक वेब एप्लिकेशन और क्लाइंट एंडपॉइंट के बीच परिनियोजित एक सुरक्षा नीति प्रवर्तन बिंदु" के रूप में परिभाषित किया गया है।इस कार्यक्षमता को सॉफ्टवेयर या हार्डवेयर में लागू किया जा सकता है, एक उपकरण डिवाइस में, या एक सामान्य ऑपरेटिंग सिस्टम चलाने वाले एक विशिष्ट सर्वर में।यह एक स्टैंड-अलोन डिवाइस हो सकता है या अन्य नेटवर्क घटकों में एकीकृत हो सकता है। ”[9] दूसरे शब्दों में, एक वेब एप्लिकेशन फ़ायरवॉल एक आभासी या भौतिक उपकरण हो सकता है जो वेब अनुप्रयोगों में कमजोरियों को बाहरी खतरों द्वारा शोषण करने से रोकता है।ये कमजोरियां हो सकती हैं क्योंकि एप्लिकेशन स्वयं एक विरासत प्रकार है या इसे डिजाइन द्वारा अपर्याप्त रूप से कोडित किया गया था।वेब एप्लिकेशन फ़ायरवॉल इन कोड कमियों को नियम-सेट के विशेष कॉन्फ़िगरेशन द्वारा संबोधित करता है, जिसे नीतियों के रूप में भी जाना जाता है।

पहले अज्ञात कमजोरियों को पैठ परीक्षण के माध्यम से या एक भेद्यता स्कैनर के माध्यम से खोजा जा सकता है।एक वेब अनुप्रयोग सुरक्षा स्कैनर, जिसे वेब एप्लिकेशन सिक्योरिटी स्कैनर के रूप में भी जाना जाता है, को SAMATE NIST 500-269 में "एक स्वचालित कार्यक्रम के रूप में परिभाषित किया गया है जो संभावित सुरक्षा कमजोरियों के लिए वेब अनुप्रयोगों की जांच करता है।वेब एप्लिकेशन-विशिष्ट कमजोरियों की खोज करने के अतिरिक्त, टूल भी सॉफ्टवेयर कोडिंग त्रुटियों की तलाश करते हैं। ”[10] कमजोरियों को हल करना सामान्य रूप से उपचारात्मक के रूप में जाना जाता है।कोड में सुधार एप्लिकेशन में किया जा सकता है लेकिन सामान्य रूप से एक अधिक त्वरित प्रतिक्रिया आवश्यक है।इन स्थितियों में, एक अस्थायी लेकिन तत्काल फिक्स (वर्चुअल पैच के रूप में जाना जाता है) प्रदान करने के लिए एक अद्वितीय वेब एप्लिकेशन भेद्यता के लिए एक कस्टम नीति का अनुप्रयोग आवश्यक हो सकता है।

वेब एप्लिकेशन फ़ायरवॉल सिस्टम एक अंतिम सुरक्षा समाधान नहीं है, बल्कि वे एक समग्र रक्षा रणनीति प्रदान करने के लिए नेटवर्क फ़ायरवॉल और आक्षेप रोकथाम प्रणालियों जैसे अन्य नेटवर्क परिधि सुरक्षा समाधानों के साथ संयोजन में उपयोग किए जाते हैं।

वेब एप्लिकेशन फ़ायरवॉल सिस्टम सामान्य रूप से एक सकारात्मक सुरक्षा मॉडल, एक नकारात्मक सुरक्षा, या SANS संस्थान द्वारा उल्लिखित दोनों के संयोजन का पालन करता है।[11] वेब एप्लिकेशन फ़ायरवॉल सिस्टम क्रॉस-साइट स्क्रिप्टिंग और संरचित क्वेरी भाषा इंजेक्शन जैसे हमलों का पता लगाने और रोकने के लिए नियम-आधारित तर्क, पदच्छेद और हस्ताक्षर के संयोजन का उपयोग करता है। सामान्य रूप से, ब्राउज़र इम्यूलेशन, ऑबफ्यूसेशन और वर्चुअलाइजेशन के साथ -साथ आईपी ऑबफ्यूसेशन जैसी सुविधाओं का उपयोग वेब एप्लिकेशन फ़ायरवॉल को बायपास करने के लिए किया जाता है।[12] मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट शीर्ष दस वेब एप्लिकेशन सुरक्षा खामियों की एक सूची तैयार करता है।सभी वाणिज्यिक वेब एप्लिकेशन फ़ायरवॉल प्रसाद कम से कम इन दस दोषों को कवर करते हैं।गैर-वाणिज्यिक विकल्प भी हैं।जैसा कि पहले उल्लेख किया गया है, प्रसिद्ध ओपन सोर्स वेब एप्लिकेशन फ़ायरवॉल इंजन जिसे मोडक्युरिटी कहा जाता है, इन विकल्पों में से एक है।एक वेब एप्लिकेशन फ़ायरवॉल इंजन अकेले पर्याप्त सुरक्षा प्रदान करने के लिए अपर्याप्त है, इसलिए ट्रस्टवेव के स्पाइडरलैब्स के साथ मुक्त वेब एप्लिकेशन सुरक्षा प्रोजेक्ट, GitHub के माध्यम से एक कोर-नियम को व्यवस्थित करने और बनाए रखने में मदद करता है[13] Modsecurity वेब एप्लिकेशन फ़ायरवॉल इंजन के साथ उपयोग करने के लिए।[14]


परिनियोजन विकल्प

यद्यपि ऑपरेटिंग मोड के लिए नाम अलग -अलग हो सकते हैं, वेब एप्लिकेशन फ़ायरवॉलs मूल रूप से तीन अलग -अलग तरीकों से इनलाइन परिनियोजित किए जाते हैं।एनएसएस लैब्स के अनुसार, परिनियोजिती के विकल्प पारदर्शी पुल, पारदर्शी रिवर्स प्रॉक्सी और रिवर्स प्रॉक्सी हैं।[15] 'ट्रांसपेरेंट' इस तथ्य को संदर्भित करता है कि हाइपरटेक्स्ट ट्रांसफ़र प्रोटोकॉल ट्रैफ़िक को सीधे वेब एप्लिकेशन में भेजा जाता है, इसलिए वेब एप्लिकेशन फ़ायरवॉल क्लाइंट और सर्वर के बीच पारदर्शी है।यह रिवर्स प्रॉक्सी के विपरीत है, जहां वेब एप्लिकेशन फ़ायरवॉल एक प्रॉक्सी के रूप में कार्य करता है और ग्राहक के ट्रैफ़िक को सीधे वेब एप्लिकेशन फ़ायरवॉल को भेजा जाता है।वेब एप्लिकेशन फ़ायरवॉल तब अलग से वेब एप्लिकेशन को फ़िल्टर्ड ट्रैफ़िक भेजता है।यह आईपी मास्किंग जैसे अतिरिक्त लाभ प्रदान कर सकता है, लेकिन प्रदर्शन विलंबता जैसे नुकसान का परिचय दे सकता है।

यह भी देखें

संदर्भ

  1. ↑ "Web Application Firewall". TechTarget. Retrieved 10 April 2018.
  2. ↑ "Perfecto Technologies Delivers AppShield for E-Business - InternetNews". www.internetnews.com. 27 August 1999. Retrieved 2016-09-20.
  3. ↑ "ModSecurity homepage". ModSecurity.
  4. ↑ DuPaul, Neil (25 April 2012). "What is OWASP? Guide to the OWASP Application Security Top 10". Veracode. Retrieved 10 April 2018.
  5. ↑ Svartman, Daniel (12 March 2018). "The OWASP Top Ten and Today's Threat Landscape". ITProPortol. Retrieved 10 April 2018.
  6. ↑ Harsh (2021-12-26). "Web Application Firewall (WAF) Market CAGR of 19.2% 2021". Firewall Authority (in English). Retrieved 2021-12-26.
  7. ↑ "Web Application Firewall Market Worth $5.48 Billion by 2022". CISO Magazine. 5 October 2017. Retrieved 10 April 2018.
  8. ↑ Maximillan Dermann; Mirko Dziadzka; Boris Hemkemeier; Alexander Meisel; Matthias Rohr; Thomas Schreiber (July 7, 2008). "OWASP Best Practices: Use of Web Application Firewalls ver. 1.0.5". OWASP (in English). OWASP.
  9. ↑ PCI Data Security Standards Council (October 2008). "Information Supplement: Application Reviews and Web Application Firewalls Clarified ver. 1.2" (PDF). PCI DSS. PCI DSS.
  10. ↑ Paul E. Black; Elizabeth Fong; Vadim Okun; Romain Gaucher (January 2008). "NIST Special Publication 500-269 Software Assurance Tools: Web Application Security Scanner Functional Specification Version 1.0" (PDF). SAMATE NIST. SAMATE NIST.
  11. ↑ Jason Pubal (March 13, 2015). "Web Application Firewalls - Enterprise Techniques" (PDF). SANS Institute. SANS Institute InfoSec Reading Room.
  12. ↑ IPM (July 29, 2022). "Reverse Engineering how WAFs Like Cloudflare Identify Bots". IPM Corporation. IPM Corporation.
  13. ↑ "Core-Rule Set Project Repository". GitHub. 30 September 2022.
  14. ↑ "OWASP ModSecurity Core Rule Set Project". OWASP.
  15. ↑ "TEST METHODOLOGY Web Application Firewall 6.2". NSS Labs. NSS Labs. Retrieved 2018-05-03.
Retrieved from ‘https://www.vigyanwiki.in/index.php?title=वेब_अनुप्रयोग_फ़ायरवॉल&oldid=97561’