Server-Side Request Forgery (SSRF) nədir?

Server-Side Request Forgery (SSRF) nədir?

Veb tətbiqlərin təhlükəsizliyində ən kritik risklərdən biri Server-Side Request Forgery (SSRF) adlanan zəiflikdir.

Bu zəiflik zamanı kibercinayətkar tətbiqin serverindən istifadə edərək onun adından müxtəlif sistemlərə sorğular göndərir.

Yəni hücum istifadəçinin cihazından deyil, server üzərindən həyata keçirilir.

Bu hücumun əsas təhlükəsi serverin etibar səviyyəsindən istifadə olunmasıdır.

Server tərəfindən göndərilən sorğular firewall və digər qoruma mexanizmləri

tərəfindən daha etibarlı qəbul olunur və nəticədə hücum edən şəxs dolayı yolla sistemlərə çıxış əldə edə bilir.

Hücumun təsirləri

Daxili resurslara çıxış

Məxfi məlumatların əldə olunması

Sistem və infrastruktur haqqında məlumatların toplanması

Digər hücumlar üçün imkan yaradılması

Hücumun baş verə biləcəyi hallar

SSRF aşağıdakı funksionallıqlarda daha çox rast gəlinir:

Xarici URL-lərdən məlumat yükləmə

Şəkil və ya fayl import funksiyaları

API vasitəsilə digər servislərə sorğu göndərilməsi

Webhook və preview mexanizmləri

Qorunma yolları

  • Yalnız etibarlı URL-lərə icazə verilməli, istifadəçi inputu birbaşa qəbul edilməməlidir  
    • Daxili IP-lərə və lokal servislərə yönələn sorğular bloklanmalıdır  
      • Serverin çıxış edə biləcəyi ünvanlar əvvəlcədən məhdudlaşdırılmalıdır  
        • Sorğular izlənməli, şübhəli aktivlik üçün loglama və monitorinq qurulmalıdır  
          • Texniki heyət və istifadəçilər mütəmadi kibermaariflənmə təlimi almalıdır  

Nəticə

SSRF sadə görünsə də, ciddi təhlükələr yaradan kritik zəiflikdir.

Bu boşluq vasitəsilə kibercinayətkar serverin imkanlarından istifadə edərək daxili sistemlərə çıxış əldə edə və daha geniş hücumlar üçün zəmin yarada bilər.

Bu səbəbdən tətbiq hazırlanarkən inputların yoxlanması, şəbəkə səviyyəsində məhdudiyyətlərin tətbiqi və sistem fəaliyyətinin davamlı izlənməsi SSRF riskinin minimuma endirilməsi üçün əsas tədbirlər hesab olunur.

CYBERSIGN, şirkətlər üçün Kiber təhlükəsizlik maarifləndirmə təlimlərinin təşkili və şirkət təhlükəsizliyinin təmin edilməsi üçün kiber təhlükəsizlik xidmətlərini təklif edir.