V11.1.3 Business Logic Security

Requirement:

Verify the application has appropriate limits for specific business actions or transactions which are correctly enforced on a per user basis.

Explanation:

Цель данного требования - предотвратить несанкционированные действия и потенциальные финансовые или операционные риски путем установки и применения соответствующих лимитов для различных пользователей в зависимости от их ролей и прав доступа. 

Без использования квот, ограничений ресурсов или других механизмов защиты злоумышленник может легко потреблять много ресурсов, быстро выполняя множество запросов или вызывая использование большего количества ресурсов, чем необходимо. Когда выделено слишком много ресурсов или если один ресурс слишком велик, это может помешать правильной работе кода, что может привести к отказу в обслуживании.

Remediation:

Чтобы выполнить требование и убедиться в том, что в приложении установлены соответствующие ограничения на выполнение определенных действий или операций, которые корректно соблюдаются на уровне каждого пользователя, можно выполнить следующие действия:

1. Identify Critical Business Actions or Transactions:

• Определите критические действия или операции в приложении, для которых требуются ограничения.
• В качестве примера можно привести финансовые операции, загрузку данных, запросы API и другие ресурсоемкие операции.

2. Determine Business Rules and Limits:

• Определите бизнес-правила, которые диктуют соответствующие ограничения для каждого типа действий или транзакций.
• Совместно с заинтересованными сторонами установите эти ограничения, исходя из потребностей бизнеса, отраслевых стандартов и нормативных требований.

3. Map Limits to User Roles and Permissions:

• Сопоставьте установленные лимиты с конкретными ролями и правами пользователей в приложении.
• Различные роли пользователей могут иметь разные ограничения в зависимости от их ролей и прав.

4. Implement Limit Enforcement:

• Интегрируйте логику применения ограничений в соответствующие части кода приложения.
• Прежде чем разрешить пользователям выполнять действия, проверьте их роль и связанные с ней ограничения.

5. Provide User Feedback and Error Handling:

• Создайте понятные сообщения об ошибках и обратную связь, информирующую пользователей о том, что они собираются превысить установленные лимиты.
• Убедитесь, что пользователи понимают установленные ограничения и последствия их превышения.

6. Configure Alerts and Notifications:

• Настройте предупреждения или уведомления, срабатывающие при приближении или превышении пользователями установленных лимитов.
• Эти оповещения могут быть отправлены администраторам для проверки

7. Implement Monitoring and Auditing:

• Внедрите механизмы логирования и мониторинга для регистрации активности пользователей, выполняемых действий и событий, связанных с лимитами.
• Эта информация будет полезна для выявления случаев злоупотребления или неправомерного использования.

8. Test Limits Under Different Scenarios:

• Проведите комплексное тестирование механизма применения лимитов в различных сценариях, включая обычное использование и попытки превышения лимитов.
• Для обеспечения точности используйте как авторизованные, так и неавторизованные учетные записи.

9. Fine-Tune Limits Regularly:

• Регулярно пересматривайте и корректируйте установленные лимиты по мере развития приложений и бизнес-требований.
• Убедитесь, что установленные лимиты обеспечивают оптимальный баланс между безопасностью и удобством использования.

10. Document the Limits and Enforcement:

• Задокументируйте ограничения, соответствующие роли пользователей и используемую логику применения.
• Убедитесь, что все заинтересованные стороны, включая разработчиков и администраторов, знают эти детали.

11. Provide User Training:

• Проинформируйте пользователей о существовании ограничений и причинах их введения.
• Объясните пользователям возможные последствия превышения лимитов и то, как этого избежать.

12. Security Review and Code Auditing:

• Проводите анализ безопасности и аудит кода, чтобы убедиться в том, что механизмы обеспечения соблюдения ограничений реализованы правильно и их невозможно обойти.

Сервер ограничивает количество клиентских подключений и клиентских потоков, создавая обьект пула потоков, который ограничивает количество генерируемых потоков.

Ограничение количества клиентских подключений

public static final int SERVER_PORT = 4444;

public static final int MAX_CONNECTIONS = 10;

...

public void acceptConnections() {

try {

ServerSocket serverSocket = new ServerSocket(SERVER_PORT);

int counter = 0;

boolean hasConnections = true;

while (hasConnections) {

hasConnections = checkForMoreConnections();

Socket client = serverSocket.accept();

Thread t = new Thread(new ClientSocketThread(client));

t.setName(client.getInetAddress().getHostName() + ":" + counter++);

ExecutorService pool = Executors.newFixedThreadPool(MAX_CONNECTIONS);

pool.execute(t);

}

serverSocket.close();

} catch (IOException ex) {...}

}

Additional:

https://cwe.mitre.org/data/definitions/770.html

https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/10-Business_Logic_Testing/README.html