In che modo la protezione contro gli attacchi insufficiente è una minaccia / un rischio definito per un'organizzazione?

"Insufficient Attack Protection" è una scelta orribile di parole, ma non ho un suggerimento su come migliorarlo.

Ho supervisionato le applicazioni a cui mancavano le capacità di rilevamento davvero basilari ed è frustrante cercare di comunicare l'urgenza di una sorta di risposta al team dell'applicazione.

Immagina un'applicazione con:

• nessuna protezione contro attacchi brute force password,
• nessuna registrazione dei tentativi di accesso,
• nessuna registrazione di avvio o completamento della sessione,
• nessuna registrazione dei tentativi di manipolare le sessioni scadute ecc.

Mi sono ritrovato a scrivere firme Snort fragili e imbarazzanti per estrarre dati di registrazione di base e ottimizzare i firewall delle applicazioni per cercare di recuperare i comportamenti mancanti mentre i team applicativi dicevano semplicemente "meh, è un problema di infosec".

Le firme IPS non possono sapere "è un utente valido?" o "questa sessione è attiva?" o "quanti dati ha usato questa persona oggi?", ma la logica applicativa potrebbe avere accesso a queste informazioni, o forse solo avere le sessioni registrate significherebbe che la potrebbe SIEM eseguire la logica.

Riguardo all'articolo di Scamdemy, penso che abbia sbagliato. Questo non ha nulla a che fare con i componenti di terze parti. Molti degli articoli sulla sicurezza che appaiono sulla A7 2017 proposta sembrano essere le reazioni istintive a pompare una risposta alla nuova Top-10 di OWASP, ma credo che gli autori abbiano dato la loro risposta con attenzione pensiero.

I collegamenti esterni all'interno del cheatsheet A7 sono molto, molto più descrittivi:

• link
• link
• link

IMHO, A7 ha bisogno di qualche ritocco, penso che i riferimenti "patching" dovrebbero essere rimossi. Infosec può fare patch virtuali o i processi di sviluppo possono patch, ma i riferimenti qui detraggono da quello che credo sia il loro messaggio principale.

In base alla descrizione breve di OWASP ( full doc here ):

The majority of applications and APIs lack the basic ability to detect, prevent and respond to both manual or automated attacks. Attack protection goes far beyond basic input validation and involves automatically detecting, logging, responding and even blocking exploit attempts. Application owners also need to be able to deploy patches quickly to protect against attacks.

La tua domanda:

I understand, Unprotected APIs does have an immediate risk which involves proving a huge attack surface along with possibilities of data leakages, however, I fail to understand how Insufficient Attack Protection is any threat or a risk for a category?

Oltre a tenere tutto aggiornato e aver sviluppato un'API abbastanza sicura, un'organizzazione o un'azienda con una rete enorme (e mabye i suoi server di hosting web), ha bisogno di avere più di quei tipici. Firewall e IDS hanno bisogno di persone che li monitorino e sappiano come reagire in caso di intrusione o tentativo di sfruttamento. Ciò include politiche di risposta attiva (blocco degli ip, negazione dei servizi in specifici client (dannosi) ecc.). Ora, se gli hacker riescono a superare con successo firewall, IDS e causare danni, devono esserci procedure per specificare le azioni necessarie per il ripristino del sistema / rete e l'ulteriore patch. Mancando nelle persone di fare quelle cose e senza politiche specifiche (ad esempio iso 27001), la protezione da attacchi insufficienti è ENTRAMBI la minaccia e un rischio. Prenditi un momento e pensa che molte aziende (piccole / grandi / non importa) non conservano nemmeno i backup dei loro database.