Applications web : menaces et protection

A l'attaque!

Les expressions transversal directory attack, jumbo pay-load, buffer overflow, off by one, cross site scripting vous font ils peur? Si c'est le cas vous avez raison! Car chacunes d'entre elles représente un schéma d'attaque de vos serveurs web. Au-delà de la tentative d'intrusion, il y a le simple vandalisme. Celui qui consiste à faire crasher vos serveur, à saturer votre bande passante, et finalement à empêcher vos application de fonctionner : c'est le dénis de service.

Tous ces schémas d'attaque ciblent très spécifiquement le serveur HTTP ou l'application qui tourne dessus. Les détecter et se défendre contre elles nécessite donc de comprendre ce protocole et surtout le contenu applicatif qu'il transporte. En clair, la protection contres ces attaques ne peut se faire qu'au moyen d'un firewall applicatif de niveau 7.

Conséquence d'une attaque

Prenons un cas simple : le buffer overflow. Cette attaque consiste à poster des requêtes suffisamment longues pour provoquer des dépassements de buffer. Par ce moyen un hacker adroit peut réussir à corrompre la pile de retour du processeur et faire exécuter un fragment de code de son choix au serveur. Il a en réalité peu de chance de réussir un tel exploit. Le résultat le plus probable est qu'il fera "planter" le serveur. Résultat : toutes les connexions établies sont perdues et, le temps que le serveur redémarre, l'application n'est plus disponible. Envoyer une telle requête toutes les 2 ou 3 secondes ne nécessite aucun moyen particulier mais cela suffit à paralyser l'application.

Force brute : l'utilisateur plus fort que le serveur

Il n'y a pas si longtemps, le problème dit du "last mile" était que l'utilisateur disposait de peu de bande passante. Typiquement, un modem procurait, au mieux de sa forme, 56kb/s ce qui était faible au regard de la bande passante dont disposait le serveur. Aujourd'hui le problème s'est renversé : un abonnement ADSL procure généralement plusieurs Mb/s de bande passante dans le sens descendant, hors les sites web ne disposent eux même que de quelques Mb/s. La conséquence est très simple : un seul hacker disposant d'un abonnement ADSL peut effondrer un serveur web ! c'est l'attaque en force brute.

A nouveau les conséquences économiques sont dramatiques et détecter ce type d'attaque nécessite de comprendre la dynamique des requêtes HTTP : en effet bloquer simplement plusieurs reconnexions rapides empêcherait tout simplement l'affichage correct des pages web !

Se protéger avec BoostEdge

BoostEdge intègre un module de protection qui confère aux serveurs et applications web une protection compatible PCI. Le module de protection par défaut peut être complété et modifié par des règles complémentaires exprimées dans la syntaxe de ModSecurity, par exemple :

Rule PATH_FILENAME "^/prog/myprog\.dll$" "allow"
Rule PATH_FILENAME "(?i)(^.*\.dll)" "deny,log"