Server-Side Request Forgery (SSRF) nədir?
Server-Side Request Forgery (SSRF)
Veb tətbiqlərin təhlükəsizliyində ən kritik risklərdən biri Server-Side Request Forgery (SSRF) adlanan zəiflikdir. Bu zəiflik zamanı kibercinayətkar tətbiqin serverindən istifadə edərək, onun adından müxtəlif sistemlərə sorğular göndərir. Yəni hücum istifadəçinin cihazından deyil, server üzərindən həyata keçirilir.
Bu hücumun əsas təhlükəsi serverin etibar səviyyəsindən istifadə olunmasıdır. Server tərəfindən göndərilən sorğular firewall və digər qoruma mexanizmləri tərəfindən daha etibarlı qəbul olunur və nəticədə hücum edən şəxs dolayı yolla sistemlərə çıxış əldə edə bilir.
Hücumun təsirləri
- Daxili resurslara çıxış
- Məxfi məlumatların əldə olunması
- Sistem və infrastruktur haqqında məlumatların toplanması
- Digər hücumlar üçün imkan yaradılması
Hücumun baş verə biləcəyi hallar
SSRF aşağıdakı funksionallıqlarda daha çox rast gəlinir:
- Xarici URL-lərdən məlumat yükləmə
- Şəkil və ya fayl import funksiyaları
- API vasitəsilə digər servislərə sorğu göndərilməsi
- Webhook və preview mexanizmləri
Qorunma yolları
- ✓ Yalnız etibarlı URL-lərə icazə verilməli, istifadəçi inputu birbaşa qəbul edilməməlidir
- ✓ Daxili IP-lərə və lokal servislərə yönələn sorğular bloklanmalıdır
- ✓ Serverin çıxış edə biləcəyi ünvanlar əvvəlcədən məhdudlaşdırılmalıdır
- ✓ Sorğular izlənməli, şübhəli aktivlik üçün loglama və monitorinq qurulmalıdır
- ✓ Texniki heyət və istifadəçilər mütəmadi kibertəhlükəsizlik təlimi almalıdır
Nəticə
SSRF sadə görünsə də, ciddi təhlükələr yaradan kritik zəiflikdir. Bu boşluq vasitəsilə kibercinayətkar serverin imkanlarından istifadə edərək daxili sistemlərə çıxış əldə edə və daha geniş hücumlar üçün zəmin yarada bilər. Bu səbəbdən tətbiq hazırlanarkən inputların yoxlanması, şəbəkə səviyyəsində məhdudiyyətlərin tətbiqi və sistem fəaliyyətinin davamlı izlənməsi SSRF riskinin minimuma endirilməsi üçün əsas tədbirlər hesab olunur.
CYBERSIGN, şirkətlər üçün kibertəhlükəsizlik maarifləndirmə təlimlərinin təşkili və şirkət təhlükəsizliyinin təmin edilməsi üçün kibertəhlükəsizlik xidmətlərini təklif edir.