IDOR ምንድን ነው? ገንቢዎች ለምን ሊያስቡበት ይገባል?
IDOR ምንድን ነው? ደህንነቱ ያልተጠበቀ ቀጥተኛ ነገር ማጣቀሻ (IDOR) አፕሊኬሽኖች እንደ የተጠቃሚ መታወቂያዎች፣ ፋይሎች ወይም የውሂብ ጎታ ቁልፎች ያሉ ውስጣዊ ነገሮችን በአግባቡ የመዳረሻ መቆጣጠሪያዎችን ሳያስፈጽሙ ሲያጋልጡ የሚከሰት ወሳኝ የደህንነት ጉድለት ነው። በDevSecOps አካባቢ፣ ደህንነት በልማት የህይወት ዑደት ውስጥ በተዋሃደበት፣ የIDOR ተጋላጭነቶችን መከላከል ሚስጥራዊ መረጃዎችን ለመጠበቅ እና የስርዓት ታማኝነትን ለመጠበቅ አስፈላጊ ነው።
የIDOR ተጋላጭነት አጥቂዎች ያልተፈቀዱ ሀብቶችን ለመድረስ የነገር ማጣቀሻዎችን (ለምሳሌ፣ በዩአርኤል ውስጥ የተጠቃሚ መታወቂያ መቀየር) እንዲያዛቡ ያስችላቸዋል። ይህ የውሂብ መፍሰስ፣ የግላዊነት ጥሰቶች እና በስርዓቱ ውስጥ ያልተፈቀዱ እርምጃዎች ሊያስከትል ይችላል። ለምሳሌ፣ የኤፒአይ መጨረሻ ነጥብ የሚመስል ከሆነ /api/user/123 ጠያቂው ለማየት ስልጣን እንዳለው ሳያረጋግጥ ሚስጥራዊ መረጃን ይመልሳል፣ አፕሊኬሽኑ ደህንነቱ ያልተጠበቀ ቀጥተኛ የነገር ማጣቀሻ እያጋጠመው ነው።
የIDOR ተጋላጭነትን መረዳትና መከላከል ለደህንነት ቡድኖች ብቻ ሳይሆን ለገንቢዎችም ሆነ ለDevOps መሐንዲሶችም ወሳኝ ነው። ጠንካራ የመዳረሻ መቆጣጠሪያ ዘዴዎችን እና ደህንነቱ የተጠበቀ የዲዛይን ቅጦችን ከመጀመሪያው ማረጋገጥ እነዚህን አደጋዎች ወደ ምርት ከመድረሳቸው በፊት ለመቀነስ ይረዳል። “IDOR ምንድን ነው?” ለሚለው ጥያቄ መልስ መስጠት ደህንነቱ የተጠበቀ በነባሪነት ወደተዘጋጀ አርክቴክቸር የሚያመራ መሰረታዊ እርምጃ ነው።
IDOR አሁንም በዘመናዊ ኤፒአይዎች ውስጥ ለምን ይከሰታል? Pipelines?
እንደ ዘመናዊ የደህንነት ማዕቀፎች እየተስፋፉ ቢሆንም፣ OAuth, ጄደብሊውቲ, እና አር.ቢ.ሲየIDOR ተጋላጭነቶች አሁንም በስፋት ይገኛሉ።
የIDOR ተጋላጭነት የተለመዱ ምክንያቶች፡
- ፈቃድ ሳያስፈጽም የነገር መለያዎችን ማረጋገጥ፡ ገንቢዎች አንድ ነገር መኖሩን ሊያረጋግጡ ይችላሉ (ለምሳሌ፣ ተጠቃሚ፣ ግንባታ ወይም የምዝግብ ማስታወሻ ፋይል) ነገር ግን የአሁኑ ጠያቂው እንዲያየው ወይም እንዲያሻሽለው ይፈቀድለት እንደሆነ ማረጋገጥን ይረሳሉ።
- ውስጣዊውን ማጋለጥ dashboardየመዳረሻ ፍተሻዎች የሌላቸው፡ ውስጣዊ አፕሊኬሽኖች ብዙውን ጊዜ "በነባሪነት ደህንነታቸው የተጠበቀ" እንደሆኑ ይገመታል እና በተወሰኑ ወይም ምንም ሚና-ተኮር የመዳረሻ ገደቦች ውስጥ ይተገበራሉ።
- ውስጣዊ እኩል ደህንነቱ የተጠበቀ መሆኑን መገመት፡ በተጠቃሚ ወይም በበኩል የሚና ፍተሻዎችን ከመተግበር ይልቅ በአውታረ መረብ ወሰኖች (ለምሳሌ፣ የአይፒ ዋይትሊንግ፣ የቪፒኤን መዳረሻ) ላይ መመካት ደህንነታቸው ያልተጠበቀ የቀጥታ ነገር ማጣቀሻዎች እንዲቀጥሉ ያስችላቸዋል።
እነዚህ ስህተቶች ብዙውን ጊዜ የሚመነጩት የአይዲአር (IDOR) ምን እንደሆነ ካለመረዳት ነው። የነገር መታወቂያ መኖርን እንደ ፈቃድ ወኪል አድርጎ ከመቁጠር ነው።
የእውነተኛ ዓለም ምሳሌዎች፡
- የCI ስርዓት የግንባታ ቅርሶችን ለማውረድ ዩአርኤሎችን ያቀርባል፣ ነገር ግን ጠያቂው የተፈቀደለት ቡድን አካል መሆኑን አያረጋግጥም።
- ውስጣዊ ድጋፍ dashboard ሰራተኞች በቀላሉ ሊገመቱ የሚችሉ መታወቂያዎችን በመጠቀም የደንበኛ መገለጫዎችን እንዲፈልጉ ያስችላቸዋል፣ ሚና-ተኮር መዳረሻን ሳያረጋግጡ።
- በውስጥ የተገነቡ ተሰኪዎች ወይም ስክሪፕቶች በማረም ጊዜ ምቾት ሲባል ውሂብን ባልተረጋገጠ የመጨረሻ ነጥብ በኩል ያጋልጣሉ።
እነዚህ እያንዳንዳቸው ከተዘለለ የመዳረሻ መቆጣጠሪያ የሚመጣ እውነተኛ የIDOR ተጋላጭነትን ያሳያሉ።
በእውነተኛ የስራ ፍሰቶች ውስጥ የተለመዱ የIDOR ተጋላጭነት ነጥቦች
የIDOR ተጋላጭነቶች ብዙውን ጊዜ በልማት ውስጥ ይታያል pipelineየነገር ደረጃ መዳረሻ ፍተሻዎች ችላ ሲባሉ s፣ ውስጣዊ መሳሪያዎች እና ኤፒአይዎች።
የእውነተኛ ዓለም ምሳሌዎች፡-
- ቅርሶችን መገንባት፡ CI/CD መድረኮች ቅርሶችን በሚገመቱ ዩአርኤሎች ላይ ሊያከማቹ ይችላሉ። የመዳረሻ ፍተሻዎች ከጠፉ፣ እነዚህ የመጨረሻ ነጥቦች ደህንነታቸው ያልተጠበቀ ቀጥተኛ ነገር ማጣቀሻ ሊሆኑ ይችላሉ።
- የምዝግብ ማስታወሻዎች; የጠያቂውን ሚና ሳያረጋግጡ በመለያዎች ላይ ተመስርተው መዝገቦችን የሚመልሱ መሳሪያዎች ሌላ የIDOR ተጋላጭነትን ሊያስከትሉ ይችላሉ።
- የድጋፍ መሳሪያዎች ውስጣዊ መዳረሻን ከፈቃድ ጋር የሚያመሳስሉ ስርዓቶች ሊገመቱ በሚችሉ የነገር ማጣቀሻዎች አማካኝነት አላግባብ መጠቀም ተጋላጭ ናቸው።
ቲዎሬቲካል ዋሻዎች፡
- የማዋቀር ፋይሎች፡ ማጋለጥ /config/production ወይም ተመሳሳይ የሆኑ የመጨረሻ ነጥቦች ማረጋገጫ እና ፈቃድ ሳያስፈጽሙ ወደ ደህንነቱ ያልተጠበቀ ቀጥተኛ የነገር ማጣቀሻ ይመራሉ፣ በተለይም ምስጢሮች ሲካተቱ።
በሁሉም ሁኔታዎች፣ ጉድለቱ መታወቂያ ማወቅ በቂ ነው ብሎ ማሰብ ነው፤ በተግባር IDOR የሚወክለው ይህንን ነው።
በDev Tools፣ CI Plugins እና Internal APIs ውስጥ IDORን እንዴት ማግኘት እና መሞከር እንደሚቻል
መለየት IDOR ምን እንደሆነ እና ስለ ዕቃ መዳረሻ ያሉ ግምቶች በኮድ ውስጥ እንዴት እንደሚታዩ መረዳትን ያካትታል።
የ IDOR ተጋላጭነት ምልክቶች፡
- በነገር መታወቂያዎች ላይ ብቻ ተመስርተው ሚስጥራዊ መረጃዎችን የሚመልሱ የመጨረሻ ነጥቦች።
- የነገር ቆጠራን የሚጠቁሙ ቅጦች ይቻላል።
- በተጠቃሚ ሚና ላይ በመመስረት አነስተኛ ወይም ምንም የመዳረሻ ገደቦች ያሏቸው ውስጣዊ መሳሪያዎች።
የመመርመሪያ ስትራቴጂ፡
- የመጨረሻ ነጥቦች በተጠቃሚ የቀረቡ የነገር ማጣቀሻዎች ላይ እንዴት እንደሚመሰረቱ ይገምግሙ።
- የመዳረሻ አመክንዮ የጠፋበትን ወይም በቸልተኝነት የሚተገበርበትን ቦታ ይለዩ።
- ያልተፈቀደ መዳረሻ መታገዱን ለማረጋገጥ የጥቃት መሳሪያዎችን ወይም የኤፒአይ ሞካሪዎችን በመጠቀም ጥያቄዎችን አስመስለው።
የእውነተኛ ዓለም ኦዲት ኢላማዎች፡
- የመጨረሻ ነጥቦች እንደ /build/{id}/artifact.
- Dashboardየ s የሪኒንግ ውቅር ዝርዝሮችን ከክፍት የጥያቄ መለኪያዎች።
- የመዳረሻ ማረጋገጫ የሌላቸውን መታወቂያዎች የሚጠቀሙ የምዝግብ ማስታወሻዎች ወይም የመለኪያ ፓነሎች።
IDOR ምን እንደሆነ መረዳት የልማት ቡድኖች የነገር ደህንነትን በንቃት እንዲያረጋግጡ ያስችላቸዋል።
የIDOR ተጋላጭነቶችን እንዴት መከላከል እንደሚቻል በ ውስጥ Pipelineኤስ እና ኤፒአይዎች
መከላከል የአይዲአር ተጋላጭነት የDevSecOps ዋና ዓላማ ነው። በፔሪሜትር መከላከያዎች ላይ ከመመካት ይልቅ፣ በእያንዳንዱ የእድገት ዑደት ደረጃ ላይ ተፈጻሚ መሆን አለበት።
የDevSecOps-ተኮር እርምጃዎች፡
- አውቶማቲክ ሙከራ በሚደረግበት ወቅት CI/CD: ያልተፈቀደ መዳረሻን አስመስለህ ስራህን አከናውን pipeline የተያዙ እና ባንዲራዎች ተጋልጠዋል ደህንነቱ ያልተጠበቀ ቀጥተኛ ነገር ማጣቀሻዎች።
- SAST ና SCA ከሜጀር እገዳ ጋር፦ የሚያስተዋውቁ ወይም የሚያባብሱ ለውጦችን ለማገድ የማይንቀሳቀሱ እና የቅንብር ትንተና መሳሪያዎችን ይጠቀሙ የIDOR ተጋላጭነቶች።
- በልማት ወቅት የመጨረሻ ነጥብ ኦዲቶች፡ በኮድ ግምገማዎች ውስጥ የነገር ደረጃ መዳረሻ ማረጋገጫ እና ሰነድ መጠየቅ።
- ለውስጣዊ መሳሪያዎች የእጅ ግምገማዎች፡ አንድ መሳሪያ ውስጣዊ ስለሆነ ብቻ ግምገማዎችን አትዝለሉ። ብዙ ደህንነታቸው ያልተጠበቀ የቀጥታ ነገር ማጣቀሻዎች በውስጣዊ ስርዓቶች ውስጥ ተደብቀዋል።
Xygeni የIDOR ምርመራ እና መከላከልን በራስ-ሰር እንዴት እንደሚያደርግ
የIDOR ተጋላጭነቶችን በመጠን መከላከል ማለት ከእጅ ግምገማዎች ወደ ቀጣይነት ያለው፣ አውቶማቲክ ማስፈጸሚያ መሄድ ማለት ነው። በትክክል የት ነው? ዚጌኒ ወደ ውስጥ ገባ.
Xygeni ደህንነቱ ያልተጠበቀ የነገር ማጣቀሻዎችን ከመላካቸው በፊት እንዴት እንደሚይዙ እና እንደሚያግዱ እነሆ፡
- የIDOR ቅጦችን በእውነተኛ ጊዜ ያገኛል
Xygeni የመጨረሻ ነጥብ ባህሪያትን እና የምንጭ ኮድ ለውጦችን በእርስዎ ላይ ይተነትናል CI/CD የስራ ፍሰቶችያለ ተገቢ የፈቃድ ፍተሻዎች ቀጥተኛ የነገር መዳረሻ ካገኘ፣ ለምሳሌ /api/user/123 ምንም አይነት ሚና ሳይኖረው ሲጋለጥ፣ ወዲያውኑ ማንቂያ ያነሳል። - ደህንነቱ ያልተጠበቀ የመጨረሻ ነጥቦችን ቅድመ-ማሰማራትን ያግዳል
Guardrails በእርስዎ ሲአይ ውስጥ pipelineያልተረጋገጠ የነገር ማጣቀሻ ሲገኝ የ s s s stop builds። እነዚህን ማዘጋጀት ይችላሉ guardrails ግንባታውን ለማፍረስ፣ የህዝብ ግንኙነትን ለመውደቅ ወይም ለግምገማ መለያ ለመስጠት። ከ GitHub Actions፣ GitLab CI፣ Jenkins እና ከሌሎችም ጋር ይሰራል። - ግኝቶችን ከPRs እና የኦዲት መንገዶች ጋር ያገናኛል
እያንዳንዱ ግኝት ከሚከተሉት ጋር የተቆራኘ ነው pull request, commitእና አስተዋጽዖ አበርካች ገንቢ። ይህ ግልጽ የሆነ የመከታተያ ችሎታ፣ ለውጡን ማን እንዳመጣው፣ ማን እንደገመገመው እና ከፖሊሲው ጋር የሚጣጣም መሆኑን ያሳያል።
የእውነተኛ ዓለም ምሳሌ
አንድ ገንቢ አዲስ የመጨረሻ ነጥብ ይገፋል፦
GET /build/7020/artifact.zip
Xygeni የግንባታ መታወቂያው በመዳረሻ መቆጣጠሪያ የተጠበቀ መሆኑን ያረጋግጣል። ካልሆነ፡
- የህዝብ ግንኙነት (PR) በማስጠንቀቂያ ምልክት ተደርጎበታል
- ሲአይ pipeline ማሰማራቱን ያግዳል
- የኦዲት መዝገብ ክስተቱን ይመዘግባል፣ ለውጡን ማን እንደገፋው እና ምን ማስተካከል እንዳለበት ያሳያል
የXygeni ራስ-ሰር ጥበቃ የIDOR ተጋላጭነቶችን በኮድዎ ውስጥ፣ በኮድዎ ውስጥ የት እንደሚጀምሩ እና እንደሚያቆሙ ያረጋግጣል። pipelines.
ማጠቃለያ፡ አይዲኦአር የክትትል ሂደቶችን ወደ ጥሰቶች ይለውጣል
ስለዚህ፣ IDOR ምንድን ነው? ኮድ መታወቂያ መያዝ ከመዳረሻ ጋር እኩል እንደሆነ ሲያስብ የሚፈጠር ተጋላጭነት ነው። ልክ እንደ ህዝብ ፊት ለፊት ያሉ የመጨረሻ ነጥቦች ሁሉ ውስጣዊ መሳሪያዎችን ይነካል።
ደህንነቱ ያልተጠበቀ ቀጥተኛ ነገር ማጣቀሻዎችን መከላከል ማለት መዳረሻን በየጊዜው ማረጋገጥ ማለት ነው። በራስ-ሰር ማግኘት፣ ደህንነቱ ያልተጠበቀ ማሰማራትን ማገድ እና የደህንነት ፖሊሲዎችን በመደርደሪያዎ ላይ ማስፈጸም ማለት ነው።
የዋና ዋና ተግባራት ማጠቃለያ፡
- የነገር ደረጃ ፈቃድን ተግባራዊ ያድርጉ።
- ውስጣዊ እኩልነት አስተማማኝ ነው ብለህ በፍጹም አታስብ።
- IDOR ምን እንደሆነ እና በኮድዎ ውስጥ እንዴት እንደሚገለጥ ይረዱ።
- በመላው የIDOR ተጋላጭነቶችን መከታተል pipeline.
- እንደ Xygeni ባሉ መሳሪያዎች አማካኝነት በራስ-ሰር ጥበቃ ያድርጉ።
የIDOR ተጋላጭነት የላቀ ብዝበዛ አያስፈልገውም፣ ችላ የተባለ ማጣቀሻ ብቻ ነው። ሌላ ሰው ከማየቱ በፊት ደህንነቱን ይጠብቁት!
