IDOR дегеніміз не? Неліктен әзірлеушілер қамқорлық жасауы керек?
IDOR дегеніміз не? Қауіпсіз емес тікелей нысан сілтемесі (IDOR) - қолданбалар тиісті кіруді басқаруды қамтамасыз етпей, пайдаланушы идентификаторлары, файлдар немесе дерекқор кілттері сияқты ішкі нысандарды ашқан кезде пайда болатын маңызды қауіпсіздік кемшілігі. Қауіпсіздік әзірлеу өмірлік циклі бойына біріктірілген DevSecOps ортасында IDOR осалдықтарының алдын алу құпия деректерді қорғау және жүйенің тұтастығын сақтау үшін өте маңызды.
IDOR осалдығы шабуылдаушыларға рұқсатсыз ресурстарға қол жеткізу үшін нысан сілтемелерін басқаруға (мысалы, URL мекенжайындағы пайдаланушы идентификаторын өзгерту) мүмкіндік береді. Бұл деректердің ағып кетуіне, құпиялылықтың бұзылуына және жүйедегі рұқсатсыз әрекеттерге әкелуі мүмкін. Мысалы, егер API соңғы нүктесі сияқты болса /api/user/123 сұраушының оны көруге рұқсаты бар-жоғын тексермей, құпия ақпаратты қайтарады, қолданба қауіпсіз емес тікелей нысан сілтемесіне тап болады.
IDOR осалдығын түсіну және оның алдын алу тек қауіпсіздік топтары үшін ғана емес, сонымен қатар әзірлеушілер мен DevOps инженерлері үшін де өте маңызды. Басынан бастап сенімді кіруді басқару механизмдерін және қауіпсіз дизайн үлгілерін қамтамасыз ету бұл тәуекелдерді өндіріске жеткенге дейін азайтуға көмектеседі. «IDOR дегеніміз не?» деген сұраққа жауап беру әдепкі бойынша қауіпсіз архитектураға қарай негізгі қадам болып табылады.
Неліктен IDOR қазіргі API-ларда әлі де орын алады және Pipelines?
сияқты заманауи қауіпсіздік жүйелерінің кең таралуына қарамастан OAuth, J.W.T., және RBAC, IDOR осалдықтары кең таралған күйінде қалып отыр.
IDOR осалдығының жиі кездесетін себептері:
- Авторизацияны күштеп енгізбестен нысан идентификаторларын тексеру: Әзірлеушілер нысанның бар екенін (мысалы, пайдаланушы, құрастыру немесе журнал файлы) растай алады, бірақ ағымдағы сұраушыға оны көруге немесе өзгертуге рұқсат етілгенін растауды ұмытып кетуі мүмкін.
- Ішкі көріністі ашу dashboards кіру тексерулерінсіз: Ішкі қолданбалар көбінесе «әдепкі бойынша қауіпсіз» деп есептеледі және рөлге негізделген қатынау шектеулерімен немесе шектеусіз орналастырылады.
- Ішкі теңдіктер қауіпсіз деп есептесек: Әрбір пайдаланушы немесе рөл бойынша тексерулерді енгізудің орнына желі шекараларына (мысалы, IP ақ тізімге енгізу, VPN кіру) сүйену қауіпсіз емес тікелей нысан сілтемелерінің сақталуына мүмкіндік береді.
Бұл кемшіліктер көбінесе IDOR деген не екенін түсінбеушіліктен туындайды, себебі нысан идентификаторының болуын рұқсаттың проксиі ретінде қарастыру қажет.
Нақты әлемдегі мысал сценарийлері:
- CI жүйесі құрастыру артефактілерін жүктеуге арналған URL мекенжайларын ұсынады, бірақ сұраушының уәкілетті топтың құрамына кіретінін тексермейді.
- Ішкі қолдау dashboard қызметкерлерге рөлге негізделген қолжетімділікті тексермей, оңай болжауға болатын идентификаторларды пайдаланып, тұтынушы профильдерін іздеуге мүмкіндік береді.
- Іштей жасалған плагиндер немесе скрипттер қателерді түзету кезінде ыңғайлы болу үшін деректерді аутентификацияланбаған соңғы нүктелер арқылы ашады.
Олардың әрқайсысы өткізіп жіберілген кіруді басқарудан туындайтын нақты IDOR осалдығын көрсетеді.
Нақты жұмыс процестеріндегі IDOR әсер ету нүктелерінің жиі кездесетіні
IDOR осалдықтары даму барысында жиі пайда болады pipelines, ішкі құралдар және API интерфейстері объект деңгейіндегі қатынау тексерулері еленбеген кезде.
Нақты әлем мысалдары:
- Артефактілерді құрастыру: CI/CD платформалар артефактілерді болжамды URL мекенжайларында сақтауы мүмкін. Егер кіру тексерулері болмаса, бұл соңғы нүктелер қауіпсіз емес тікелей нысан сілтемелеріне айналуы мүмкін.
- Журнал файлдары: Сұрау салушының рөлін тексермей, идентификаторларға негізделген журналдарды қайтаратын құралдар тағы бір IDOR осалдығын тудыруы мүмкін.
- Қолдау құралдары: Ішкі қолжетімділікті авторизациямен теңестіретін жүйелер болжамды нысан сілтемелері арқылы дұрыс пайдаланбауға осал.
Теориялық кемшіліктер:
- Конфигурация файлдары: Ашу /config/production немесе аутентификация мен авторизацияны күштемей, ұқсас соңғы нүктелер, әсіресе құпиялар енгізілген кезде, қауіпсіз емес тікелей нысан сілтемесіне әкеледі.
Барлық жағдайларда кемшілік идентификаторды білу жеткілікті деп болжауда жатыр; бұл іс жүзінде IDOR ұсынатын нәрсе.
Әзірлеуші құралдарында, CI плагиндерінде және ішкі API-ларда IDOR-ды қалай анықтауға және тексеруге болады
Анықтау IDOR деген не екенін және нысанға кіру туралы болжамдардың кодта қалай көрінетінін түсінуді қамтиды.
IDOR осалдығының белгілері:
- Тек нысан идентификаторларына негізделген құпия деректерді қайтаратын соңғы нүктелер.
- Нысандарды санау мүмкін екенін көрсететін үлгілер.
- Пайдаланушы рөліне негізделген кіру шектеулері минималды немесе мүлдем жоқ ішкі құралдар.
Анықтау стратегиясы:
- Соңғы нүктелердің пайдаланушы берген нысан сілтемелеріне қалай тәуелді екенін бағалаңыз.
- Қолжетімділік логикасының қай жерде жоқ немесе әлсіз қолданылатынын анықтаңыз.
- Рұқсатсыз кірудің бұғатталғанын растау үшін ұстап алу құралдарын немесе API тестерлерін пайдаланып сұрауларды модельдеу.
Нақты әлемдегі аудиттің мақсаттары:
- Соңғы нүктелер, мысалы /build/{id}/артефакт.
- Dashboards ашық сұрау параметрлерінен конфигурация мәліметтерін көрсетеді.
- Кіруді тексерусіз идентификаторларды пайдаланатын журналдар немесе метрика панельдері.
IDOR деген не екенін түсіну әзірлеу топтарына нысан қауіпсіздігін алдын ала тексеруге мүмкіндік береді.
IDOR осалдықтарының алдын алу жолдары Pipelineжәне API интерфейстері
Алдын алу а IDOR осалдығы DevSecOps бағдарламасының негізгі мақсаты болып табылады. Периметрлік қорғанысқа сүйенудің орнына, оны жүзеге асыру әзірлеу циклінің әрбір кезеңінде жүзеге асырылуы керек.
DevSecOps-қа бағытталған шаралар:
- Автоматтандырылған тестілеу кезінде CI/CD: Рұқсатсыз кіруді модельдеу сіздің қауіпсіздігіңізді қамтамасыз ету үшін pipeline ұсталғандар мен жалаушалар ашық қалды қауіпсіз емес тікелей нысан сілтемелері.
- SAST және SCA Біріктіруді бұғаттау арқылы: Енгізетін немесе нашарлататын өзгерістерді блоктау үшін статикалық және құрамды талдау құралдарын пайдаланыңыз IDOR осалдықтары.
- Әзірлеу кезіндегі соңғы нүкте аудиттері: Кодты шолуда объект деңгейіндегі қолжетімділікті негіздеуді және құжаттауды талап ету.
- Ішкі құралдарға арналған нұсқаулыққа шолулар: Құрал ішкі болғандықтан ғана шолуларды өткізіп жібермеңіз. Көптеген қауіпсіз емес тікелей нысан сілтемелері ішкі жүйелерде жасырылған.
Xygeni IDOR анықтау және алдын алуды қалай автоматтандырады
IDOR осалдықтарының кең ауқымды алдын алу қолмен шолулардан үздіксіз, автоматтандырылған орындауға көшуді білдіреді. Дәл осы жерде Ксигени кіреді.
Xygeni қауіпсіз емес нысан сілтемелерін жібермес бұрын қалай анықтауға және бұғаттауға көмектесетіні мына жерде:
- IDOR үлгілерін нақты уақыт режимінде анықтайды
Xygeni сіздің деректеріңіздегі соңғы нүктенің әрекеттерін және бастапқы код өзгерістерін талдайды CI/CD Жұмыс үрдістеріЕгер ол тиісті рұқсат тексерулерінсіз тікелей нысанға кіруді тапса, мысалы /api/пайдаланушы/123 рөлді тексерусіз көрсетілсе, ол дереу ескерту жасайды. - Қауіпсіз емес соңғы нүктелерді алдын ала орналастыруды блоктайды
Guardrails сіздің CI-де pipelinestop құрастырулары расталмаған нысан сілтемесі анықталған кезде жасалады. Сіз мыналарды орната аласыз guardrails құрастыруды бұзу, PR-дан өтпеу немесе шолу үшін белгілеу. Ол GitHub Actions, GitLab CI, Jenkins және т.б. бағдарламалармен жұмыс істейді. - Нәтижелерді PR және аудит жолдарымен байланыстырады
Әрбір жаңалық мынаған байланысты pull request, commitжәне үлес қосқан әзірлеуші. Бұл сізге өзгерісті кім енгізгенін, оны кім қарағанын және оның саясатқа сәйкес келетінін анық бақылауға мүмкіндік береді.
Нақты дүние мысалы
Әзірлеуші жаңа соңғы нүктені ұсынады:
/build/7020/artifact.zip файлын алыңыз
Xygeni құрастыру идентификаторының кіруді басқару арқылы қорғалғанын тексереді. Егер қорғалмаса:
- PR ескертумен белгіленген
- CI pipeline орналастыруды блоктайды
- Аудит журналы оқиғаны жазып алады, онда өзгерісті кім енгізгені және нені түзету қажет екені көрсетіледі.
Xygeni автоматтандырылған қорғанысы IDOR осалдықтарын кодыңызда және басқа жерлерден тоқтатуды қамтамасыз етеді. pipelines.
Қорытынды: IDOR бақылауды бұзушылыққа айналдырады
Сонымен, IDOR дегеніміз не? Бұл код идентификаторға ие болу қол жеткізуге тең деп есептегенде пайда болатын осалдық. Ол ішкі құралдарға көпшілікке қолжетімді нүктелер сияқты жиі әсер етеді.
Қауіпсіз емес тікелей нысан сілтемелерінен қорғау әр уақытта кіруді тексеруді білдіреді. Анықтауды автоматтандырыңыз, қауіпті орналастыруларды блоктаңыз және стегіңізде қауіпсіздік саясатын орындаңыз.
Негізгі тәжірибелердің қысқаша мазмұны:
- Объект деңгейіндегі авторизацияны орындау.
- Ішкі қауіпсіздікті ешқашан тең деп санамаңыз.
- IDOR деген не және оның сіздің кодыңызда қалай көрінетінін түсініңіз.
- IDOR осалдықтарын бақылау pipeline.
- Xygeni сияқты құралдармен қорғауды автоматтандырыңыз.
IDOR осалдығы кеңейтілген эксплойтты қажет етпейді, тек еленбеген сілтемені қажет етеді. Басқа біреу таппай тұрып, оны қорғаңыз!
