Компания Positive Technologies предлагает рынку уникальное отечественное решение для защиты информационного взаимодействия бизнес-приложений. Данное решение расширяет возможности PT Application Firewall при работе с сервис-ориентированными приложениями заказчиков (SOA). Передовые компоненты модуля защиты XML-трафика позволяют повысить безопасность внутренних и внешних бизнес-процессов, значительная часть которых осуществляется с помощью XML.
Протоколы, использующие XML (SOAP, HTTP и другие), применяются сегодня для взаимодействия приложений в самых различных отраслях — в энергетике, госуправлении, телекоммуникациях, образовании, в банках, здравоохранении и на транспорте. Благодаря универсальности и гибкости XML сервис-ориентированные платформы помогают связывать воедино разнородные приложения и службы, решая внутри- и межкорпоративные проблемы интеграции.
Распространенность XML в критически важных узлах инфраструктуры (ERP, АСУ ТП, АБС, порталах госуслуг, системах межведомственного взаимодействия) делает уязвимости этого языка особенно опасными. К примеру, в 2014 году, по статистике Positive Technologies, критически опасная уязвимость «Внедрение внешних сущностей XML» была обнаружена почти в половине систем ДБО (в 46%). Воспользовавшись такой ошибкой, злоумышленник может получить содержимое файлов на атакуемом сервере посредством внедрения произвольного XML-кода. В прошлом году в список наиболее значимых техник анализа веб-уязвимостей вошло исследование «XML Out of Band Data Retrieval» экспертов Positive Technologies Алексея Осипова и Тимура Юнусова. Эта техника, впервые представленная на конференции Black Hat Europe весной 2013 года и получившая развитие под названием XXE OOB, помогла обнаружить и устранить уязвимости в продуктах Microsoft, Oracle, ModSecurity и в компонентах SCADA-систем Siemens.
Противодействовать подобным атакам на веб-сервисы будет новый модуль защиты XML в системе PT Application Firewall. Он позволяет обнаружить несанкционированные и вредоносные включения в содержимом XML-сообщений, проводить валидацию и профилирование SOA-вызовов и XML-сообщений. При анализе XML используются механизмы автоматического самообучения, что значительно уменьшает вероятность эксплуатации уязвимостей.
Вторая важная особенность нового решения заключается в возможности управления доступом пользователей и анализа их поведения. Администратор системы может разграничить права доступа внутренних или внешних пользователей в соответствии с политиками безопасности организации, блокировать нелегитимные или ошибочные запросы со стороны пользователей.
Олег Матыков, руководитель отдела проектных решений Positive Technologies: «Интеграция приложений как с внутренними, так и с внешними системами — важнейшая задача для любого предприятия. Сервисные шины и SOA-платформы сегодня являются своеобразным мостом между разрозненными "островами": страховые сервисы взаимодействуют с банковскими, промышленные системы управления — с системами управления предприятиями, центральные подразделения организации автоматизируют работу с филиалами и т. д. В информационном обмене между различными службами XML-транспорт занял одну из доминирующих ролей, что заставляет обратить пристальное внимание на специфические проблемы безопасности. Решение, которое мы предлагаем, позволит защищать информационное взаимодействие распределенных сервисов любого уровня сложности как внутри организации, так и за ее пределами».