📄Работа №187930
Тема: ЭКСПЕРИМЕНТАЛЬНАЯ ОЦЕНКА ЭФФЕКТИВНОСТИ ПРОТИВОДЕЙСТВИЯ МЕЖСЕТЕВОГО ЭКРАНА АТАКАМ НА WEB-ПРИЛОЖЕНИЯ
Характеристики работы
Тип работы
Дипломные работы, ВКР
Предмет
Информатика и вычислительная техника
Объем:
46 листов
Год:
2025
Просмотров:
69
4600
руб.
🛒 Купить работу
Не подходит эта работа?
Закажите новую по вашим требованиям
Узнать цену на написание
Закажите новую по вашим требованиям
Представленный материал является образцом учебного исследования, примером структуры и содержания учебного исследования по заявленной теме. Размещён исключительно в информационных и ознакомительных целях.
Workspay.ru оказывает информационные услуги по сбору, обработке и структурированию материалов в соответствии с требованиями заказчика.
Размещение материала не означает публикацию произведения впервые и не предполагает передачу исключительных авторских прав третьим лицам.
Материал не предназначен для дословной сдачи в образовательные организации и требует самостоятельной переработки с соблюдением законодательства Российской Федерации об авторском праве и принципов академической добросовестности.
Авторские права на исходные материалы принадлежат их законным правообладателям. В случае возникновения вопросов, связанных с размещённым материалом, просим направить обращение через форму обратной связи.
Настоящий учебно-методический информационный материал размещён в ознакомительных и исследовательских целях и представляет собой пример учебного исследования. Не является готовым научным трудом и требует самостоятельной переработки.
📋 Содержание
Аннотация
ГЛОССАРИЙ 4
Введение 5
1 Рассматриваемое веб-приложение 7
1.1 Развёртывание Juice Shop 9
1.2 Настройка Postman 10
1.3 Опорные запросы 11
1.3.1 Запрос Register 11
1.3.2 Атака AdminRegister 12
1.3.3 Запрос Login 13
1.3.4 Запрос Captcha 14
2 Обзор актуальных атак 15
2.1 Атаки XSS (Cross-Site Scripting) 15
2.1.1 Атака ReflectedXSS 15
2.1.2 Атака StoredHeaderXSS 16
2.1.3 Атака StoredProductXSS 17
2.1.3 Атака StoredUserXSS 18
2.1.4 Атака DOM XSS 18
2.2 SQL-инъекции 20
2.2.1 Атака AdminLogin 20
2.2.2 Атака ImpedanceMismatch 21
2.2.3 Атака DatabaseSchema 22
2.2.4 Атака ParamsOverflow 23
2.2.5 Атака EphemeralAccountant 24
2.3 Атаки broken access control 24
2.3.1 Атака CSRF (Cross-Site Request Forgery) 25
2.3.2 Атака ForgedReview 26
2.3.3 Атака ForgedFeedback 26
2.3.4 Атака ChangeDescription 28
2.3.5 Атака AddToAnotherBasket 28
3 Рассматриваемый WAF 30
3.1 OWASP Modsecurity и OWASP CRS 30
3.2 Развёртывание Modsecurity 31
3.3 Результаты проведения атак со включенным Modsecurity 33
3.3.1 Блокировка StoredHeaderXSS 35
3.3.2 Блокировка AdminLogin 36
3.3.3 Блокировка DOM XSS 36
4 Инструмент для анализа логов 37
ЗАКЛЮЧЕНИЕ 40
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 41
ГЛОССАРИЙ 4
Введение 5
1 Рассматриваемое веб-приложение 7
1.1 Развёртывание Juice Shop 9
1.2 Настройка Postman 10
1.3 Опорные запросы 11
1.3.1 Запрос Register 11
1.3.2 Атака AdminRegister 12
1.3.3 Запрос Login 13
1.3.4 Запрос Captcha 14
2 Обзор актуальных атак 15
2.1 Атаки XSS (Cross-Site Scripting) 15
2.1.1 Атака ReflectedXSS 15
2.1.2 Атака StoredHeaderXSS 16
2.1.3 Атака StoredProductXSS 17
2.1.3 Атака StoredUserXSS 18
2.1.4 Атака DOM XSS 18
2.2 SQL-инъекции 20
2.2.1 Атака AdminLogin 20
2.2.2 Атака ImpedanceMismatch 21
2.2.3 Атака DatabaseSchema 22
2.2.4 Атака ParamsOverflow 23
2.2.5 Атака EphemeralAccountant 24
2.3 Атаки broken access control 24
2.3.1 Атака CSRF (Cross-Site Request Forgery) 25
2.3.2 Атака ForgedReview 26
2.3.3 Атака ForgedFeedback 26
2.3.4 Атака ChangeDescription 28
2.3.5 Атака AddToAnotherBasket 28
3 Рассматриваемый WAF 30
3.1 OWASP Modsecurity и OWASP CRS 30
3.2 Развёртывание Modsecurity 31
3.3 Результаты проведения атак со включенным Modsecurity 33
3.3.1 Блокировка StoredHeaderXSS 35
3.3.2 Блокировка AdminLogin 36
3.3.3 Блокировка DOM XSS 36
4 Инструмент для анализа логов 37
ЗАКЛЮЧЕНИЕ 40
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 41
📖 Аннотация
Работа посвящена экспериментальной оценке эффективности межсетевого экрана прикладного уровня (WAF) в противодействии атакам на веб-приложения. Актуальность исследования обусловлена устойчивым ростом доли веб-приложений в инцидентах информационной безопасности и распространенностью критических уязвимостей, таких как SQL-инъекции и XSS, при невозможности их оперативного устранения в коде. Методология включала построение экспериментального стенда на базе уязвимого веб-приложения OWASP Juice Shop и WAF Modsecurity с набором правил OWASP CRS, проведение серии моделируемых атак и последующий анализ логов с помощью специально разработанного инструмента. Результаты показали, что конфигурация WAF успешно блокирует большинство тестируемых атак из списка OWASP Top Ten, однако остаётся неэффективной против атак, не затрагивающих веб-сервер напрямую, как в случае с DOM XSS. Практическая значимость заключается в том, что выводы и разработанный инструмент анализа могут быть использованы администраторами безопасности для верификации и тонкой настройки WAF в корпоративных инфраструктурах. Теоретической основой для моделирования компонентов системы послужило учебное пособие Моисеева А.Н. по основам языка UML. Таким образом, работа демонстрирует, что WAF является мощным, но не универсальным средством защиты, чья эффективность напрямую зависит от корректности конфигурации и понимания её ограничений.
📖 Введение
В современном мире веб-приложения играют ключевую роль в обеспечении доступа к услугам, это может быть всё, что угодно - новостной портал, видеохостинг, форум, корпоративный портал и подобные сервисы. Однако популярность делает их привлекательной мишенью для кибератак. Веб-приложения остаются одним из основных векторов для атак, а их доля в инцидентах безопасности неуклонно растёт [2]. Уязвимости по типу SQL- инъекций, межсайтового скриптинга (XSS) и подобные, продолжают представлять серьезную угрозу, что подтверждается списком из 10 самых критичных угроз для веб-приложения OWASP Top Ten [3]. В этой работе будет рассмотрена ситуация, когда немедленное исправление всех уязвимостей в коде не представляется возможным, а защита веб-приложений является приоритетной задачей.
Одной из опций для минимизации вероятности эксплуатации уязвимостей веб-приложения является использование WAF. WAF выступает в качестве посредника между веб-приложением и внешним трафиком, в ходе фильтрации трафика он обнаруживает и блокирует запросы с подозрительным содержанием на основе заданных ему правил и сигнатур [4]. Из этого вытекает, что его эффективность зависит от правильной настройки и общей области покрытия правил для обнаружения угроз. Нередко WAF рассматривается как универсальное средство защиты, хотя исследования показывают, что он не всегда способен полностью закрыть уязвимости, особенно связанные с логикой приложения [5].
Цель данной работы — оценить эффективность противодействия межсетевого экрана прикладного уровня на web-приложения.
Для достижения этой цели были поставлены следующие задачи:
1. Провести обзор актуальных атак на веб-приложения.
2. Построить экспериментальный стенд для проведения атак.
3. Разработать инструмент анализа логов межсетевого экрана прикладного уровня.
4. Оценить эффективность межсетевого экрана прикладного уровня на противодействие атакам.
Актуальность исследования обусловлена постоянным ростом числа кибератак и необходимостью наличия у современных веб-приложений эффективных инструментов защиты.
Одной из опций для минимизации вероятности эксплуатации уязвимостей веб-приложения является использование WAF. WAF выступает в качестве посредника между веб-приложением и внешним трафиком, в ходе фильтрации трафика он обнаруживает и блокирует запросы с подозрительным содержанием на основе заданных ему правил и сигнатур [4]. Из этого вытекает, что его эффективность зависит от правильной настройки и общей области покрытия правил для обнаружения угроз. Нередко WAF рассматривается как универсальное средство защиты, хотя исследования показывают, что он не всегда способен полностью закрыть уязвимости, особенно связанные с логикой приложения [5].
Цель данной работы — оценить эффективность противодействия межсетевого экрана прикладного уровня на web-приложения.
Для достижения этой цели были поставлены следующие задачи:
1. Провести обзор актуальных атак на веб-приложения.
2. Построить экспериментальный стенд для проведения атак.
3. Разработать инструмент анализа логов межсетевого экрана прикладного уровня.
4. Оценить эффективность межсетевого экрана прикладного уровня на противодействие атакам.
Актуальность исследования обусловлена постоянным ростом числа кибератак и необходимостью наличия у современных веб-приложений эффективных инструментов защиты.
✅ Заключение
Таким образом, можно сделать вывод, что WAF Modsecurity, реализующий актуальный набор правил OWASP CRS, способен закрыть большинство уязвимостей из списка OWASP Top Ten. По результатам, 12 из 15 рассмотренных типов атак были заблокированы сразу, а возможность создавать пользовательские правила позволила защитить ещё от двух атак, которые пользовались несовершенностью конкретного веб-приложения. Это делает его крайне сильным инструментом для защиты веб-приложения, однако, если атака выполняется без участия веб-сервера, то WAF становится абсолютно бессилен, как и было продемонстрировано на примере атаки DOM XSS.
Для проведения исследования, а также для упрощения подобных исследований в будущем, был разработан инструмент анализа логов WAF, благодаря которому был выявлен факт ложных срабатываний.
Для проведения исследования, а также для упрощения подобных исследований в будущем, был разработан инструмент анализа логов WAF, благодаря которому был выявлен факт ложных срабатываний.
ИЛИ
Поиск аналога
📕 Список литературы
🖼 Скриншоты
🛒 Оформить заказ
⚡ Работу высылаем в течении 5 минут после оплаты.