V11.1.2 Business Logic Security

Requirement:

Verify that the application will only process business logic flows with all steps being processed in realistic human time, i.e. transactions are not submitted too quickly.

Explanation:

Требование определяет необходимость обеспечения обработки бизнес-логических процессов в приложении с реалистичными временными рамками. Данное требование направлено на предотвращение злоупотреблений или манипуляций с логикой приложения путем обеспечения задержки между этапами выполнения операции или действия. Например, процесс оформления заказа в корзине интернет-магазина, состоящий из нескольких этапов, таких как добавление товаров, предоставление информации о доставке и завершение оплаты. Приложение устанавливает небольшую задержку (например, несколько секунд) между каждым шагом, чтобы предотвратить быстрое оформление заказа атакующим или использование этого процесса для перегрузки системы.

Внедрение реалистичных временных рамок между этапами позволяет эффективно снизить риск автоматизированных атак, использующих бизнес-логику. Такая практика дополняет другие меры безопасности, замедляя действия злоумышленников и предоставляя администраторам больше времени для обнаружения и реагирования на потенциальные угрозы.

Remediation:

Чтобы выполнить требование и обеспечить обработку потоков бизнес-логики в приложении с реалистичными временными рамками, можно выполнить следующие действия:

1. Identify Critical Business Logic Flows:

• Определите критические потоки бизнес-логики в приложении, включающие несколько этапов или операций.

• К ним можно отнести такие процессы, как регистрация, аутентификация, финансовые операции или любые другие многоэтапные операции.

2. Determine Realistic Delay Times:

• Определите необходимое время задержки между этапами, которое будет имитировать реальное поведение человека.

• Задержка должна быть достаточно большой, чтобы замедлить автоматические атаки, но достаточно короткой, чтобы сохранить удобство работы пользователя.

3. Implement Delays Between Steps:

• Внедрить задержки между этапами каждого процесса бизнес-логики, желательно в произвольном порядке в определенном диапазоне.

• Для введения задержек используйте программные конструкции (например, функции sleep или timer).

4. Consider Throttling Mechanisms:

• Реализуйте механизмы ограничения скорости выполнения операций или действий.

• Ограничение может включать в себя ограничение количества операций за период времени для каждого пользователя.

5. Validate and Test Delays:

• Протестируйте введенные задержки и механизмы ограничения при различных сценариях, включая нормальное использование и автоматические атаки.

• Убедитесь, что задержки не оказывают негативного влияния на легитимных пользователей.

6. Monitor and Analyze Patterns:

• Внедрите логирование и мониторинг для отслеживания времени выполнения операций и закономерностей.

• Анализируйте данные для выявления необычных моделей быстрых отправок или отклонений от нормального поведения.

7. Response Actions for Rapid Submissions:

• При обнаружении случаев быстрых отправок следует принять ответные меры.

• Реакция может включать замедление или временную блокировку пользователя для предотвращения злоупотреблений.

8. Error Handling and User Feedback:

• Создайте понятные сообщения об ошибках и обратную связь с пользователями, объясняющие цель задержек.

• Информируйте пользователей о том, что задержки введены для повышения безопасности и защиты от несанкционированных действий.

9. Regular Review and Tuning:

• Регулярно пересматривайте и настраивайте параметры задержки и механизмы ограничения на основе отзывов пользователей, моделей использования приложений и эволюционирующих методов атак.

10. Educate Users and Stakeholders: - 

• Сообщите пользователям и заинтересованным лицам о назначении задержек и о том, как они способствуют обеспечению безопасности приложения.
• Объясните, что эти меры принимаются для защиты от автоматизированных атак.

11. Document and Communicate: 

• Задокументируйте внедренные механизмы задержки и ограничения доступа, а также их назначение и ожидаемые эффекты.

Пример демонстрирующий, как можно ввести задержку между этапами процесса бизнес-логики, чтобы соответствовать требованию 

import time

import random

class BusinessLogicFlow:

def __init__(self):

self.step_delay_range = (2, 5) # Range of delays between steps in seconds

def simulate_step(self, step_name):

print(f"Processing step: {step_name}")

delay = random.randint(*self.step_delay_range)

print(f"Delaying for {delay} seconds...")

time.sleep(delay)

print("Step completed.")

# Simulate a business logic flow

def main():

logic_flow = BusinessLogicFlow()

steps = ["Step 1", "Step 2", "Step 3", "Step 4"]

for step in steps:

logic_flow.simulate_step(step)

print()

if __name__ == "__main__":

main()

В данном примере:

• Класс BusinessLogicFlow моделирует поток бизнес-логики с несколькими шагами.
• Метод simulate_step представляет шаг процесса бизнес-логики и вводит случайную задержку между шагами с помощью функции time.sleep.
• Диапазон step_delay_range задает диапазон задержек в секундах между шагами.

Additional:

https://cwe.mitre.org/data/definitions/799.html

https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/10-Business_Logic_Testing/README.html