GIẢI PHÁP BẢO MẬT ỨNG DỤNG WEB CHO DOANH NGHIỆP

MỤC LỤC

1.    Bối cảnh của ứng dụng Web:

2.    Tầm quan trọng của việc bảo mật ứng dụng Web:

3.    Web Application Firewall là gì?

4.    Giải pháp FortiWeb WAF:

4.1.    FortiWeb Maching Learning:

4.2.    FortiWeb tích hợp sâu vào Fortinet Security Fabric và các Third-Party.

4.3.    Giải quyết Thách thức về phát hiện sai các mối Đe dọa:

4.4.    Được bảo mật bởi Fortiguard.

4.5.    Phân tích và báo cáo đồ họa nâng cao:

4.6.    Tùy chọn máy ảo VM và Public Cloud.

5.    Tổng kết.

1. Bối cảnh của ứng dụng Web:

• Trong những năm gần đây sự phổ biến của các ứng dụng Web (Web Application) ngày càng phát triển và tăng trưởng chóng mặt, không còn là điều gì quá mới mẽ nữa. Nhiều tổ chức, doanh nghiệp đã chuyển đổi các hệ thống và cơ sở dữ liệu, phát triển các ứng dụng trên nền tảng Web bằng cách sử dụng những công nghệ như ASP.NET, JSP, PHP, JavaScript…

• Web Application cho phép Doanh nghệp nhanh chóng phát triển một nền tảng mới độc lập, ứng dụng Client - Server có thể được truy cập mọi lúc mọi nơi, người dùng chỉ cần trang bị một trình duyệt Web là có thể làm được rất nhiều thứ hữu ích trên đó.  Nhiều ứng dụng thương mại và ứng dụng nội bộ công ty được lập trình trên nền tảng Web đã được phát triển để tạo điều kiện thuận lợi cho quy trình hoạt động, quản lý bán hàng, quản lý nhân sự, quản lý thông tin khách hàng, thu thập dữ liệu và tương tác trực tuyến…
• Song song với đà tăng trưởng vũ bão nhanh chóng của Web Application chính là sự xuất hiện các lỗ hổng trong ứng dụng, giao thức HTTP trở thành con đường đơn giản nhất để Hacker có thể đột nhập vào bên trong mạng lưới điện toán của công ty. Web Application đã trở thành miếng mồi, mảnh đất béo bở của rất nhiều tội phạm công nghệ cao, các ứng dụng thương mại, ứng dụng nội bộ đã trở thành nạn nhân của các loại tấn công như SQL Injection, Cross-Site Scripting…
• Hiện tại, việc tấn công vào các Web Application đã trở nên phổ biến, vì đây là con đường dễ dàng và nhanh chóng trực tiếp xâm nhập vào hệ thống mạng lưới điện toán nội bộ (hầu hết các chính sách bảo mật của tất cả các loại Firewalls đều cho phép lưu lượng TCP đi vào cổng 80 và 443).

2. Tầm quan trọng của việc bảo mật ứng dụng Web:

• Như đã phân tích ở trên, hiện nay rất nhiều doanh nghiệp đã phát triển, đưa rất nhiều ứng dụng điện toán quản lý nội bộ lên nền tảng web, gây ra nhiều rủi ro lớn.
• Web Application chứa rất nhiều thông tin vô cùng nhạy cảm và đây cũng là con đường để hacker để đi sâu nhất vào mạng lưới điện toán của Doanh nghiệp, tổ chức.
• Web Application không chỉ thu thập, mà còn lưu trữ rất nhiều thông tin cá nhân, thông tin của nhân viên công ty, thông tin khách hàng, các thông tin bí mật như: CMND, thẻ CCCD, hồ sơ y tế, tài khoản ngân hàng.
• Song song với sự phát triển của Web Application, các loại mã độc các cuộc tấn công đã trở nên tinh vi và phức tạp hơn nhiều.

Vì vậy việc trang bị một hệ thống để bảo mật cho các Web Application là vô cùng cần thiết và cấp bách.

3. Web Application Firewall là gì?

• FortiWeb là một tường lửa ứng dụng web (Web Application Firewall - WAF), đúng như tên gọi, FortiWeb sẽ bảo vệ các Web Application quan trọng của Doanh nghiệp và API[1] khỏi các cuộc tấn công mà nhắm mục tiêu vào các lỗ hỏng đã biết và chưa biết, đồng thời giúp duy trì sự tuân thủ các quy định.

• Tấn công bề mặt (attack surface) của các ứng dụng web đã và đang phát triển nhanh chóng, nó thay đổi mỗi khi Doanh nghệp triển khai các tính năng mới, cập nhật các tính năng hiện có hoặc để lộ các API của web mới. Lúc này, Doanh nghiệp cần một giải pháp có thể theo kịp – đó là FortiWeb.

4. Giải pháp FortiWeb WAF:

4.1 FortiWeb Maching Learning:

• FortiWeb WAFS cung cấp các tính năng tiên tiến, bảo vệ các ứng dụng web và  các API của bạn khỏi các mối đe dọa đã biết (know threat) và zero-day. Sử dụng phương pháp tiếp cận đa lớp (multi-layered) nâng cao, FortiWeb bảo vệ khỏi OWASP Top 10[2] và hơn thế nữa.
• FortiWeb ML (Machine Learning – Máy học) tùy chỉnh khả năng bảo vệ của từng ứng dụng, cung cấp khả năng bảo vệ mạnh mẽ mà không yêu cầu điều chỉnh thủ công tốn thời gian như theo yêu cầu của các giải pháp khác.
• Công nghệ máy học của FortiWeb phát hiện chính xác các điểm bất thường và xác định đâu là các mối đe dọa. Công nghệ này không giống như các mô hình phát hiện tự động học hỏi phổ biến của các nhà cung cấp WAF khác - coi mọi điều bất thường là mối đe dọa, độ chính xác của FortiWeb gần như loại bỏ các phát hiện dương tính giả và đón đầu các loại tấn công mà những hãng khác không thể. Giải pháp này cũng có khả năng giảm thiểu bot mạnh mẽ, cho phép các bot lành tính kết nối (ví dụ: công cụ tìm kiếm) trong khi ngăn chặn hoạt động độc hại của bot.

[2] OWASP Top 10 là một báo cáo, trình bày các mối quan tâm về bảo mật xung quanh vấn đề bảo mật ứng dụng web. Nó thường xuyên được cập nhật để đảm bảo nó liên tục đưa ra 10 rủi ro quan trọng nhất mà các tổ chức phải đối mặt.

Công nghệ máy học dựa trên AI của FortiWeb đánh giá các yêu cầu ứng dụng để xác định xem chúng là dị thường bình thường, lành tính hay dị thường là mối đe dọa.

• FortiWeb cung cấp các tùy chọn triển khai có thể bảo vệ các ứng dụng của doanh nghiệp, bất kể chúng được ở đâu. Các tùy chọn bao gồm thiết bị phần cứng (appliance), máy ảo (Virtual Machine) và vùng chứa (container) có thể được triển khai trong trung tâm dữ liệu (data center), trong môi trường đám mây (cloud) hoặc trong giải pháp SaaS đám mây gốc (cloud-native), FortiWeb Cloud WAF dưới dạng Dịch vụ.

4.2 FortiWeb tích hợp sâu vào Fortinet Security Fabric và các Third-Party

• Trong bối cảnh các mối đe dọa mới, tấn công nguy hiểm ngày càng phát triển, đòi hỏi phải có cách tiếp cận đa hướng để bảo vệ các Web Application. Các mối đe dọa nâng cao (Advanced Persistent Threats) có thể có nhiều hình thức tấn công người dùng khác nhau và chúng có thể trốn tránh các biện pháp bảo vệ đơn giản, được cung cấp bởi một thiết bị duy nhất.
• Một giải pháp hợp lý hơn là tích hợp FortiWeb với FortiGate và FortiSandbox, việc tích hợp này sẽ mở rộng các biện pháp bảo vệ WAF nhiều hơn thông qua đồng bộ hóa và chia sẻ thông tin về mối đe dọa nguy hiểm, các thiết bị sẽ quét sâu (deep scan) các tập tin đáng ngờ và chia sẻ các tài nguyên bị nhiễm cho nhau.
• FortiWeb cũng cung cấp khả năng tích hợp với các hãng thứ ba (third-party) chuyên quét lỗ hổng bảo mật hàng đầu như: Acunetix, HP WebInspect, IBM AppScan, Qualys, ImmuniWeb và WhiteHat để cung cấp các bản vá ảo động cho các vấn đề bảo mật trong môi trường ứng dụng.

FortiWeb với các giải pháp khác trong Fortinet Security Fabric, bao gồm: FortiGate và FortiSandbox, mang lại khả năng bảo vệ APT và mở rộng khả năng quét lỗ hổng bảo mật với các nhà cung cấp bên thứ ba hàng đầu.

• Các lỗ hổng được máy quét tìm thấy nhanh chóng và tự động được FortiWeb biến thành các quy tắc bảo mật (rule) để bảo vệ ứng dụng cho đến khi các nhà phát triển ứng dụng có thể giải quyết vấn đề.

4.3 Giải quyết Thách thức về phát hiện sai các mối Đe dọa:

• Hệ thống phát hiện mối đe dọa giả có thể rất khó khăn và buộc nhiều quản trị viên phải nới lỏng các quy tắc bảo mật trên WAF và thường sẽ trở thành một công cụ giám sát hơn là một nền tảng phát hiện mối đe dọa đáng tin cậy.
• Việc cài đặt Web Application Firewall có thể chỉ mất vài phút, tuy nhiên việc tinh chỉnh có thể mất vài ngày, hoặc thậm chí vài tuần. Ngay cả sau khi thiết lập, WAF có thể yêu cầu kiểm tra và chỉnh sửa thường xuyên khi các ứng dụng và môi trường thay đổi.
• Công nghệ máy học dựa trên AI của FortiWeb (Fortiweb ML) xử lý các phát hiện mối đe dọa tích cực và tiêu cực giả mà không cần phải quản lý phức tạp các whitelist và tinh chỉnh các chính sách phát hiện mối đe dọa.
• Với độ chính xác gần như 100%, cổ máy AI phát hiện các điểm bất thường và sau đó xác định xem chúng có phải là mối đe dọa hay không (không giống như các phương pháp khác,  sẽ chặn tất cả các điểm bất thường bất kể mục đích của chúng là gì). Khi được kết hợp với các công cụ khác, bao gồm: User tracking (theo dõi người dùng), device fingerprinting (lấy dấu vân tay thiết bị) , threat weighting (trọng số, hay mức độ nghiêm trọng của rủi ro), FortiWeb hầu như loại bỏ tất cả các trường hợp phát hiện sai.

4.4 Được bảo mật bởi Fortiguard

• FortiGuard Labs từng đoạt giải thưởng của Fortinet là xương sống (backbone) cho nhiều layer của FortiWeb trong cách tiếp cận bảo mật ứng dụng. Được cung cấp dưới dạng năm tùy chọn riêng biệt, Doanh nghiệp có thể chọn các dịch vụ FortiGuard mà cần để bảo vệ các Web Application của mình.
• Dịch vụ uy tín của FortiWeb bảo vệ bạn khỏi các nguồn tấn công đã biết như botnet, spammers, proxy ẩn danh và các nguồn bị nhiễm phần mềm độc hại. FortiWeb Security Service được thiết kế chỉ dành cho FortiWeb, bao gồm các mục như application layer signatures, malicious robots,, các mẫu URL đáng ngờ và cập nhật web vulnerability scanner

4.5 Phân tích và báo cáo đồ họa nâng cao:

• FortiWeb bao gồm một bộ công cụ phân tích đồ họa được gọi là FortiView. Tương tự như các sản phẩm Fortinet khác như FortiGate, FortiWeb cung cấp cho quản trị viên khả năng trực quan hóa và đi sâu vào các yếu tố chính của FortiWeb như cấu hình server/IP,  traffic log, attack map,  phân loại Top 10 OWASP và hoạt động của người dùng.
• FortiView cho phép quản trị viên nhanh chóng xác định hoạt động đáng ngờ trong thời gian thực và các use case như origin of threats, common violations, and client/ device risks.

Giao diện FortiWiew của FortiWeb

4.6 Tùy chọn máy ảo VM và Public Cloud

• FortiWeb cung cấp tính linh hoạt tối đa trong việc hỗ trợ môi trường ảo hóa và lai. Các phiên bản ảo hóa FortiWeb hỗ trợ tất cả các tính năng giống như các thiết bị dựa trên phần cứng và có thể được triển khai trong các nền tảng VMware, Microsoft Hyper-V, Citrix XenServer, Open Source Xen, VirtualBox, KVM và Docker.
• FortiWeb cũng có sẵn cho AWS, Azure, Google Cloud và Oracle Cloud dưới dạng máy ảo và WAF dưới dạng Dịch vụ trên AWS, Azure và Google Cloud.

5. Tổng kết

• Với bài viết lần này, chúng tôi hy vọng các bạn đã hiểu về việc bảo mật và tầm quan trọng của ứng dụng web như thế nào và Fortiweb có điểm gì nổi bật trong WAF bên cạnh rất nhiều các đối thủ khác.
• Bài viết chỉ đi sơ lược, giúp các bạn có cái nhìn tổng quan về FortiWeb, nên còn rất nhiều tính năng nữa mà EmeraldETL chưa nhắc tới.

Vui lòng liên hệ với chúng tôi theo thông tin bên dưới để được tư vấn và giải đáp thắc mắc.

LỤC BẢO là Công Ty chuyên về Công Nghệ, là đại lý Độc Quyền rất nhiều dòng sản phẩm bảo mật cao tại Việt Nam. Cung cấp từ những dòng bảo mật doanh nghiệp đến bảo mật đa quốc gia.

Trụ sở: Tầng 2, 27A Hoàng Việt, Phường 4, Quận Tân Bình, TP.HCM

Hotline: 0358223136

Website: https://www.emerald.com.vn