Shin kun san menene allurar LDAP? Hanya ce ta allurar lamba da ke niyya ga aikace-aikacen da ke gina tambayoyin allura ta amfani da shigarwar mai amfani mara tsafta. Ana amfani da LDAP (Lightweight Directory Access Protocol) don neman kundin adireshi, kamar tantance masu amfani ko dawo da bayanan ƙungiya. Lokacin da masu kai hari suka samar da shigarwar da aka ƙera musamman wacce ke ɗauke da haruffan LDAP, suna iya canza dabarun tambayoyin kundin adireshi don samun damar shiga ko canza bayanai ba daidai ba. A zahiri, raunin allurar LDAP yana tasowa lokacin da aka gina matattara ta atomatik daga ƙimar da mai amfani ke sarrafawa ba tare da tsaftace shigarwa ko tabbatarwa ba.
Yadda Yake Aiki: Injinan Harin Allurar LDAP #
Harin allurar LDAP yana faruwa ne lokacin da aka haɗa bayanan da mai amfani ya bayar ba tare da aminci ba cikin tambayar LDAP. Yi la'akari da login tace:
(&(cn=” + sunan mai amfani + “)(Mai amfani Kalmar sirri =” + kalmar sirri + “))Idan wani mai hari ya gabatar da jerin * ko jerin masu ƙarewa maimakon sunan mai amfani mai inganci, dabarun tacewa zai faɗi zuwa wani babban kimantawa ko yanayi na gaske, yana wuce tantancewa yadda ya kamata. Wannan shine ainihin yadda wannan allurar ke aiki: allurar dabarar LDAP don karkatar da ɗabi'ar da aka yi niyya.
Don haka, raunin allurar LDAP ya samo asali ne daga gina tambayoyi ta hanyar shigar da ba a amince da ita ba wanda ya haɗa da haruffa na musamman, kamar baka, ambato, da alamun wari, waɗanda ke sake fasalin ma'anar tambayar.
Bugu da ƙari, suna faruwa lokacin da lambar aikace-aikacen ta kwafi bayanan mai amfani ba tare da aminci ba cikin tambayar LDAP kuma ta kasa wargaza haruffan meta, barin maharan su katse ko sarrafa dabarun tambaya, samun damar bayanai marasa izini, ko canza tsarin aiwatarwa.
Me yasa Allurar LDAP ke da mahimmanci? #
Harin allurar LDAP zai iya kawo cikas ga tantancewa, ya tona bayanai masu mahimmanci, ko ma ya gyara tsarin kundin adireshi. Imperva ya nuna cewa masu barazana za su iya yin katsalandan ga hanyoyin tantancewa, duba ko gyara sunayen masu amfani/kalmomin sirri, shigar da malware, da kuma ƙara yawan gata, wanda ke haifar da keta bayanai, lalacewar suna, da asarar kuɗi.
Rashin lafiyar allurar LDAP na iya faruwa ta hanyar ayyukan da suka haɗa kai, musamman a enterprise muhallin da ke amfani da LDAP don shiga-sa hannu ɗaya (SSO), izini, ko daidaitawar asalin mai amfani da izini.
Alamomin raunin allurar LDAP da ke akwai #
A cikin tsaron yanar gizo, shugabanci yana nufin yadda jagoranci, manufofi, da manyan alamu:
- Lambar tana haɗa shigarwar mai amfani kai tsaye zuwa matatun LDAP.
- Rashin tabbatar da shigarwar ko tserewa.
- Amfani da haruffa na musamman kamar () * & | = a cikin shigarwar ba tare da ƙuntatawa ba.
- Misali, sakamakon bincike da ba a zata ba, tabbatarwa yana nasara ba tare da la'akari da takardun shaidar ba, ko kuma mai amfani mai faɗi yana lissafa riba akan ƙaramin shigarwa.
Tambayoyin da aka yi ba daidai ba daga shigarwar mai amfani na iya ba da damar dawo da bayanai ba tare da izini ba ko kuma guje wa dabaru.
Yadda za a rage su? #
Rage raunin allurar LDAP ya ƙunshi:
a. Tabbatar da Shigarwa / Jerin Izini
Karɓi haruffa ko alamu masu aminci kawai da aka sani. Ƙi ko tsaftace haruffan sarrafawa kamar *, (, ), &, |, =. PortsWigger yana ba da shawarar toshe shigarwar da ke ɗauke da haruffan LDAP ko kuma tilasta tsauraran alamu na haruffa.
b. Gudu / Shigar da Lambobi
Yi amfani da ayyukan tserewa na musamman na LDAP: Fitowar Suna Mai Kyau don mahallin DN, da kuma tsewar matatar bincike don fitattun bayanai. OWASP yana ba da cikakken bayani Takardar Rigakafin Yankewa tare da jagora na musamman
c. Tambayoyi Masu Daidaitawa / APIs Masu Aminci
A guji gina matattara ta hanyar haɗa igiyoyi. Yi amfani da ɗakunan karatu na LDAP waɗanda ke tallafawa haɗa sigogi ko API na ginin tacewa (misali, UnboundID SDK's Filter.createANDFilter(…)) don tabbatar da cewa an ɗauki shigarwar mai amfani a matsayin bayanai, ba tsarin rubutu ba.
d. Ƙa'idar Ƙarƙashin Gata (PoLP)
A ɗaure LDAP da ƙarancin damar shiga. Ko da allura ta faru, tana iyakance ayyukan da mai hari zai iya yi. Ƙarƙashin PoLP tare da amana da kuma MFA don takaita tasirin.
e. Tsarin Tsare-tsare / Laburare Masu Tsaro
Yi amfani da tsarin da ke tserewa ta atomatik ko tsaftace shigarwar kuma yana hana gina tambaya mai inganci.
f. Kayan Aikin Binciken Lambobi
A cikin .NET, yi amfani da nazarin CA3005 don gano shigarwar HTTP da ba a amince da ita ba da ke kaiwa ga bayanan LDAP; gyara ta hanyar tsaftace, tserewa, ko barin shigarwar jeri.
g. Gwaji (Gwajin Tsaye, Mai Sauƙi, Gwajin Alƙalami)
Haɗa duka Static AppSec (SAST) da kuma Dynamic (Dast) duba don gano raunin allurar LDAP a lokacin hutu da lokacin aiki.
h. Yin rajista, Sa ido, da faɗakarwa
Gano tsarin matattara marasa kyau, yunƙurin da bai yi nasara ba, ko tsarin tambaya da ba a zata ba. Semperis ya ba da shawarar sa ido kan Active Directory don tambayoyi na LDAP marasa tsari ko sarrafa bayanai.
Teburin Takaitaccen Kalmomi #
| Term | Ma'ana |
|---|---|
| Allurar LDAP | Wata dabarar allurar lamba ta amfani da shigar da mai amfani mara tsafta a cikin matatun LDAP. |
| Menene Allurar LDAP | Rashin lafiyar da ta samo asali daga gina tambayoyin LDAP tare da shigarwar da ba a amince da ita ba. |
| Harin Allurar LDAP | Ainihin amfani inda shigarwar ke canza dabarun tambayar LDAP ko samun damar shiga. |
| Rashin Lafiyar Allurar LDAP | Lalacewar matakin lambar yana ba da damar kai hare-haren allurar LDAP. |
Me yasa wannan yake da mahimmanci a cikin DevSecOps? #
Ma Ƙungiyoyin DevSecOps, hana raunin allurar LDAP yana da mahimmanci don tabbatar da kwararar tantancewa da kuma kula da damar shiga ta hanyar shugabanci. pipelineDole ne a haɗa da duba lambobin da ba su da tsari don gina tambaya mara aminci da gwajin ƙarfi don sarrafa matattara. Manajan tsaro dole ne su tilasta amfani da ɗakunan karatu da ke tserewa, amfani da API mai fasali, da kuma bin ƙa'idodin tabbatar da mafi ƙarancin gata da shigarwa.
Ƙarfafa DevSecOps Pipelines tare da Xygeni #
Yanzu da ka san menene allurar LDAP, ka san cewa tabbatar da aikace-aikacen zamani akan su yana buƙatar fiye da gyara matakin lamba. Ƙungiyoyin DevSecOps dole ne su aiwatar da tsaro a duk faɗin. tsarin rayuwa na rayuwa, daga lambar zuwa gini zuwa ƙaddamarwa.
Kayan aiki kamar Xygeni ƙarfafa ƙungiyoyi don gano haɗarin allurar da wuri ta hanyar haɗa nazarin da ba ya canzawa, IaC duba, da kuma tabbatar da aiwatar da manufofi kai tsaye cikin CI/CD Ta hanyar ci gaba da sa ido kan gina tambayoyi marasa aminci, haɗarin dogaro, ko rashin tsari, Xygeni yana taimakawa hana hare-haren allurar LDAP kafin su kai ga samarwa.
Haɗa dandamali kamar Xygeni yana daidaita tsaro da saurin haɓakawa, yana samar da ganuwa ta ainihi, sarrafawa ta atomatik, da kuma jagorar gyarawa da aka tsara don injiniyan tsari mai aminci.
