Trustwave Web Application Firewall: эффективная защита web-приложений.

© 2013 Trustwave Holdings, Inc. ‹#›

TRUSTWAVE WAF

© 2014 NGS Distribution ‹#›

Типичная корпоративная сеть

Zone-Based Firewall •  inside •  DMZ •  outside


Dynamic Packet Filtering a.k.a. Stateful Packet Inspection

App. server

соединение установлено


Это все к чему

•  ACL, DPF, ZBPFW – это прекрасно •  Закрытые порты – это правильно •  Ощущение безопасности – это тоже очень хорошо •  100% взломов осуществляются внутри легитимной сессии


Как

Format string attack

HTTP Request Smuggling

Cross-User Defacement

Brute force attack

Binary planting

Resource Injection Content Spoofing

Javascript Injection

Overflow Binary Resource File

Double Encoding

XML external entity (XXE)

Broken Authentication and Session Management

Special Element Injection

HTTP Response Splitting

Cross Site History Manipulation (XSHM)

XPATH Injection

Cache Poisoning

PHP Injection Page Hijacking

Reflected DOM Injection Cross-Site Request Forgery (CSRF)

Server-Side Includes (SSI) Injection

Session hijacking attack

Cash Overflow

Buffer overflow attack

Reflected DOM Injection

Execution After Redirect (EAR)

Custom Special Character Injection

Path Manipulation

Repudiation Attack

Comment Injection Attack

Direct Dynamic Code Evaluation ('Eval Injection')

Unvalidated Redirects and Forwards

Path Traversal

Direct Static Code Injection

Account lockout attack

Asymmetric resource consumption (amplification)

Cross Frame Scripting

Сross Site Sсriрting (XSS)


Лучше один раз увидеть


Наша Катя громко плачет, уронила сервер патчем


Режимы развертывания

Out-of-Line

In-Line


Q & A

Спасибо за внимание!

Trustwave Web Application Firewall: эффективная защита web-приложений.

Technology

Transcript of Trustwave Web Application Firewall: эффективная защита web-приложений.