V1.14.5 Configuration Architecture

Requirement:

Verify that application deployments adequately sandbox, containerize and/or isolate at the network level to delay and deter attackers from attacking other applications, especially when they are performing sensitive or dangerous actions such as deserialization. (C5)

Explanation:

Требование определяет важность развертывания приложений таким образом, чтобы они были адекватно изолированы и защищены от возможных атак. Это требование предполагает использование таких технологий, как "песочница", контейнеризация и изоляция на сетевом уровне, для задержки и удержания злоумышленников от атак на другие приложения, особенно при выполнении таких критичных или потенциально опасных операций, как десериализация.

• Application Deployments: Относится к процессу развертывания программных приложений в рабочей среде.
• Sandboxing: Запуск приложения в контролируемой среде с ограниченным доступом к системным ресурсам, файлам и сетевым соединениям.Такая изоляция позволяет предотвратить прямое воздействие приложения на другие приложения или хост-систему.
• Containerization: Означает инкапсуляцию приложения и его зависимостей в виде легковесного контейнера.Контейнеры обеспечивают изоляцию и переносимость, позволяя приложениям стабильно работать в различных средах.
• Network-Level Isolation: Разделение приложений на сетевом уровне, исключающее возможность их непосредственного взаимодействия друг с другом.
• Sensitive or Dangerous Actions: Действия, связанные с обработкой пользовательского ввода, особенно десериализация, которая при отсутствии должной защиты может привести к уязвимости выполнения кода.

Проверка того, что развертывания приложений должным образом помещены в песочницу, контейнеризированы и/или изолированы на сетевом уровне, важна для защиты от злоумышленников, которые могут попытаться использовать уязвимости в системе. Песочница, контейнеризация и изоляция помогают задерживать и сдерживать злоумышленников, создавая изолированные среды для каждого приложения, уменьшая поверхность атаки и ограничивая потенциальное влияние успешной атаки. Песочница включает в себя запуск приложения в ограниченной среде, где ему предоставляются только необходимые разрешения и ресурсы для выполнения его предполагаемых функций. Это помогает предотвратить доступ приложения к конфиденциальным или опасным действиям, таким как десериализация, которые потенциально могут быть использованы злоумышленниками. Контейнеризация включает упаковку приложения и его зависимостей в контейнер, который можно запустить в любой системе, поддерживающей контейнеры. Это помогает изолировать приложение от хост-системы, снижая риск успешной атаки, затрагивающей другие приложения или саму хост-систему. Изоляция на сетевом уровне предполагает создание отдельных сетей или сегментов сети для разных приложений или групп приложений. Это помогает предотвратить доступ одного приложения к сетевым ресурсам или данным другого приложения, снижая риск успешной атаки, затрагивающей другие приложения. В заключение следует отметить, что проверка правильности изолирования, контейнеризации и/или изоляции развертывания приложений на сетевом уровне является важным шагом в защите от злоумышленников и снижении риска успешной атаки, затрагивающей другие приложения или системы. Эти методы помогают задерживать и сдерживать злоумышленников, создавая изолированные среды для каждого приложения, уменьшая поверхность атаки и ограничивая потенциальное влияние успешной атаки.

Remediation:

Чтобы убедиться, что развертывание приложений адекватно изолировано, помещено в контейнер и/или изолировано на сетевом уровне, вы можете выполнить следующие шаги:

• Оцените архитектуру: просмотрите архитектуру развертывания и убедитесь, что каждый компонент изолирован друг от друга с помощью соответствующих методов песочницы, контейнеризации и сетевой изоляции.
• Проверка сетевой изоляции. Убедитесь, что в развертывании используются надлежащие механизмы сетевой изоляции, такие как виртуальные сети, брандмауэры и группы безопасности, для предотвращения несанкционированного доступа между компонентами.
• Оцените контейнеризацию: если в развертывании используются контейнеры, убедитесь, что каждый контейнер правильно настроен с необходимыми элементами управления безопасностью, такими как пространства имен и контрольные группы, чтобы ограничить ресурсы, доступные злоумышленнику, и не допустить компрометации других контейнеров.
• Просмотрите код: просмотрите код, чтобы убедиться, что приложение использует безопасные методы десериализации и что все входные данные для процесса десериализации правильно проверены.
• Проведите тестирование на проникновение: проведите тестирование на проникновение, чтобы имитировать реальные атаки и проверить эффективность средств управления песочницей, контейнеризацией и сетевой изоляцией для предотвращения несанкционированного доступа. 

Важно помнить, что безопасность — это непрерывный процесс, и важно регулярно проверять и обновлять развертывание, чтобы убедиться, что оно продолжает соответствовать требуемым стандартам безопасности.

Additional:

https://cwe.mitre.org/data/definitions/477.html