bufniță pentru IIS identifică SQLs chiar înainte de a fi cele care sunt executate în timpul rulării. Aceasta este prin implementarea Runtime Application Self-Protection (RASP) modulul.
Aplicația dvs. de web este obtinerea de intrare prin parametrii de interogare și post. De intrare poate produce cross-site scripting, SQL injectare și alte încălcări ale securității. Deja știm că WAF are limite, deoarece nu se execută în proces, dar în rețea: 1. Unele pot fi dependente de chei SSL, atunci când este criptat traficul. Cei care nu se pot ocupa de cazul DH 2. Nu poate fi sigur care utilizatorul este responsabil pentru care declarațiile SQL ca procesul poate utiliza un alt utilizator pentru a rula SQLs 3. URL-ul sofisticat poate păcăli manipularea frauduloasă 4. WAF Developer setarea unui backdoor în aplicație (activat de parametrul de interogare în plus pentru a rula în cele din urmă cod dăunător dedicat). Cum de WAF poate da seama de asta?
Să luăm exemplul următor: browser-ul de utilizator transmite această solicitare HTTP pentru a obține o listă de utilizatori în departamentul http:? //applicationHost/getData.aspx Cod = derpatment. Dar, utilizatorul poate modifica, de asemenea, manual într-o valoare de cod diferit cum ar fi http:? //applicationHost/getData.aspx Cod = companie. În plus față de care vă permite să spun că SQLs sunt executate de un bazin de fir care a autentificat folosind un anumit utilizator generic. 1. Baza de date instrument nu poate spune cine are originea cererii. 2. WAF trebuie să fie sofisticate pentru a descoperi ceva este în neregulă cu URL-ul.
Singura opțiune trebuie să coreleze detaliile de utilizator (numele și IP) cu SQL declarație exactă că cererea este de executare este de a fi la punctul în care cererea este de a trimite instrucțiunea SQL din proces. Aceasta este real, SQL după aplicarea finalizarea procesării de intrare. Nu există nici un euristică, fals pozitiv. Bufniță pentru IIS este cu scopul de a expune toate instrucțiunile SQL
Ce este nou în această versiune:.
Versiunea 1.3:
- fișier de audit includ acum numele de utilizator
- Integrarea cu IBM Guardium pentru a trece aplicație numele de utilizator
Comentariile nu a fost găsit