Server-Side Request Forgery (SSRF) nədir?
Veb tətbiqlərin təhlükəsizliyində ən kritik risklərdən biri Server-Side Request Forgery (SSRF) adlanan zəiflikdir.
Bu zəiflik zamanı kibercinayətkar tətbiqin serverindən istifadə edərək onun adından müxtəlif sistemlərə sorğular göndərir.
Yəni hücum istifadəçinin cihazından deyil, server üzərindən həyata keçirilir.
Bu hücumun əsas təhlükəsi serverin etibar səviyyəsindən istifadə olunmasıdır.
Server tərəfindən göndərilən sorğular firewall və digər qoruma mexanizmləri
tərəfindən daha etibarlı qəbul olunur və nəticədə hücum edən şəxs dolayı yolla sistemlərə çıxış əldə edə bilir.
Hücumun təsirləri
Daxili resurslara çıxış
Məxfi məlumatların əldə olunması
Sistem və infrastruktur haqqında məlumatların toplanması
Digər hücumlar üçün imkan yaradılması
Hücumun baş verə biləcəyi hallar
SSRF aşağıdakı funksionallıqlarda daha çox rast gəlinir:
Xarici URL-lərdən məlumat yükləmə
Şəkil və ya fayl import funksiyaları
API vasitəsilə digər servislərə sorğu göndərilməsi
Webhook və preview mexanizmləri
Qorunma yolları
- Yalnız etibarlı URL-lərə icazə verilməli, istifadəçi inputu birbaşa qəbul edilməməlidir
- Daxili IP-lərə və lokal servislərə yönələn sorğular bloklanmalıdır
- Serverin çıxış edə biləcəyi ünvanlar əvvəlcədən məhdudlaşdırılmalıdır
- Sorğular izlənməli, şübhəli aktivlik üçün loglama və monitorinq qurulmalıdır
- Texniki heyət və istifadəçilər mütəmadi kibermaariflənmə təlimi almalıdır
Nəticə
SSRF sadə görünsə də, ciddi təhlükələr yaradan kritik zəiflikdir.
Bu boşluq vasitəsilə kibercinayətkar serverin imkanlarından istifadə edərək daxili sistemlərə çıxış əldə edə və daha geniş hücumlar üçün zəmin yarada bilər.
Bu səbəbdən tətbiq hazırlanarkən inputların yoxlanması, şəbəkə səviyyəsində məhdudiyyətlərin tətbiqi və sistem fəaliyyətinin davamlı izlənməsi SSRF riskinin minimuma endirilməsi üçün əsas tədbirlər hesab olunur.
CYBERSIGN, şirkətlər üçün Kiber təhlükəsizlik maarifləndirmə təlimlərinin təşkili və şirkət təhlükəsizliyinin təmin edilməsi üçün kiber təhlükəsizlik xidmətlərini təklif edir.