시리즈로 보안 인프라를 정복하는 코더 시리즈 - 비즈니스 로직

글쎄 이게, 다야 (지금은) .코드형 인프라 시리즈의 막바지에 다랐습니다.도커, 앤서블, 쿠버네티스, 테라폼, 클라우드포메이션의 문제를 해결해 줄 수 있습니다. ##로그오프하기 전에 한 가지 더 숙지해야 할 점이 더 있습니다.바로 지금 바로 직무 로직 버그입니다.

이제 실력을 시험해 볼 준비가 되셨나요?마지막 게임화된 챌린지에서 도전해 보세요.

몇 가지 아직 확실하지 않다. 계속 읽어보세요.

오늘 집중적으로 살펴보려는 취약점은 다음과 같습니다. 비즈니스 로직 결함.이러한 문제는 코터가 비즈니스 로직 규칙을 제대로 구현하지 못할 때 발생할 수 있습니다.이처럼 악의적인 사용자가 이를 악용할 수 있는 다양한 시스템이 다양한 유형의 공격에 취약해질 수 있습니다. 각 애플리케이션에 맞게 조정된 목적과 기능에 따라 비즈니스 결함으로 말미암아 상승, 다중 리소스 사용 또는 여러 비즈니스 수행이 될 수 있습니다.

많은 취약점과 달리 비즈니스 로직 규칙을 잘못 구현하면 놀라울 정도로 미묘할 수 있습니다. 애플리케이션과 코드에 침입하지 않도록 각별한 주의가 필요합니다.

비즈니스 로직 결함의 몇 가지 예는 무엇입니까?

'비즈니스 로직 이별하기'가 얼마나 쉬운지를 알려주는 명목으로 Docker Compose Colle로 구성된 Docker 환경의 다음 파일 살펴보겠습니다.jInn 예와 같이 Docker Compose Docker Compose Docker Pose Docker Home을 사용할 수 있습니다.

배포:
리소스:
제한:
컵: “0.5"
: 예약
컵: “0.5"

[표면적으로는 괜찮아] 컨테이너에 대한 이 리소스 정책은 리소스 사용을 제한하지 않습니다. 공격자는 비즈니스 로직 리플을 악용하여 DoS (거부 서비스) 공격을 수행할 수 있습니다.

개발자는 사용자가 너무 많이 사용하지 못하도록 제한하기 위해 각 컨테이너가 할 수 있는 자리를 더 잘 정의하려고 할 수 있습니다.따라서 새 코드에는 배치 제약이 있을 수 있습니다.

배포:
리소스:
제한:
컵: “0.5"
: 예약
컵: “0.5"
배치:
제약:
- “node.labels.limit_cpu == 100M”
- “node.labels.limit_memory == 0.5"

언뜻보면 이렇게 하면 문제가 해결될 것 같습니다. 비즈니스 로직 결함.하지만 새로운 배치 제약은 도커 컨테이너 서비스의 리소스 사용량 제한에 영향을 주지 않습니다.컨테이너를 스케줄링할 노드를 선택하는 데에만 사용합니다.이 DoS 공격자는 먼저 Docker 컨테이너를 손상시켜야 합니다.

보시다시피, 비즈니스 로직 결함에 대해 생각하며 이를 위한 프로그래밍은 까다로운 작업일 수 있습니다.

비즈니스 로직 문제 제거

[비즈니스 로직 결함의 결석] 은 존재하는지 아는 것입니다.새 간에는 그들이 접근하지 못하는 환경에 접근하지 못하도록 주의를 기울이십시오.설계, 구현 및 테스트를 포함한 애플리케이션 개발 프로세스의 모든 면에서 비즈니스 규칙과 모범 정의하고 있습니다.

DoS 공격이 가능한 모든 Docker 컨테이너가 사용할 수 있는 리소스의 양도 괜찮습니다.

배포:
리소스:
제한:
컵: “0.5"
메모리: 100M
: 예약
컵: “0.5"
메모리: 50분

위 예와 같은 코드를 정책으로 주요 환경에서 로직 리플레이를 할 수 있습니다. 공격자가 Docker 컨테이너 중 하나를 손상시킨 것은 효과가 있습니다.이 공격자는 여전히 자신의 발판을 사용하여 리소스를 고갈시킬 수 없습니다.

위협 모델이란 다양한 공격이 발생하는 방식을 정의하고 비즈니스 로법을 사용하여 공격을 예방하고 제한하도록 하기 위해 유용할 수 있습니다.규정 준수 규칙과 지식 > 악용 사례를 통해 #1 ###########################2 #######2 #######2 ######2 ##비즈니스 | 로내는 데 도움이 될 수 있습니다.

비즈니스 로움은 시스템에서 침투할 수 있는 가장 미묘한 취약성 중 하나이지만 세간의 이목을 집중시킬 수 있는 다른 위험과 위험하지 않습니다. 이러한 위험이 발생할 수 있습니다. 이러한 위험이 발생할 수 있습니다.

확인해 보세요 시큐어 코드 워리어 이 취약성에 대한 자세한 정보와 다른 보안 결함으로부터 온 피해로부터 온 조직과 고객을 위한 방법을 알아보려면 블로그 페이지를 참조하십시오.또한 다음과 같은 방법도 있습니다. 데모 보기 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 보안 코드 워리어 교육 #IaC 챌린지에 대해 알아보십시오.