V11.1.4 Business Logic Security

Requirement:

Verify that the application has anti-automation controls to protect against excessive calls such as mass data exfiltration, business logic requests, file uploads or denial of service attacks.

Explanation:

Требование определяет необходимость внедрения средств защиты от атак, направленных на массовую утечку данных, повторные запросы бизнес-логики, загрузку файлов или атаки типа "отказ в обслуживании" (DoS). Задача состоит в том, чтобы предотвратить злоупотребления, защитить системные ресурсы, обеспечить доступность и целостность приложения. 

Remediation:

Чтобы выполнить требование необходимо реализовать следующие действия:

1. Identify Critical Endpoints and Activities:

• Определите критические элементы в приложении, которые могут стать объектом автоматизированных атак.

• К ним можно отнести вход в систему, регистрацию, получение данных, загрузку файлов или любые ресурсоемкие операции.

2. Determine Appropriate Limits:

• Определите разумные пределы по количеству запросов от одного источника в течение определенного промежутка времени.
• Ограничения должны позволять легитимным пользователям выполнять обычные действия без ограничений.

3. Implement Rate Limiting:

• Внедрить механизмы ограничения скорости обработки запросов, чтобы ограничить количество запросов от одного источника в течение определенного временного окна.

• Это может быть сделано на основе IP-адресов, учетных записей пользователей или других идентифицирующих факторов.

4. Utilize CAPTCHA Challenges:

• Интегрируйте CAPTCHA-запросы для определенных действий с высоким риском или при превышении лимитов.

• CAPTCHA позволяют отличить автоматических ботов от легитимных пользователей.

5. IP Blocking:

• Блокируйте IP-адреса, с которых поступает большое количество запросов или которые демонстрируют аномальное поведение.
• Избегайте случайной блокировки легитимных пользователей

6. Behavioral Analysis:

• Внедрить поведенческий анализ для выявления закономерностей, соответствующих автоматическим атакам.

• Например, выявление необычных последовательностей запросов, повторяющихся действий или паттернов, указывающих на scraping.

7. Implement Delay Mechanisms:

• Установите задержки между запросами на выполнение определенных действий, чтобы замедлить действия злоумышленников.
• Это может отпугнуть злоумышленников, которые полагаются на скорость своих атак.

8. Response Actions:

• Настройте средства управления на выполнение соответствующих действий при превышении лимитов или обнаружении подозрительного поведения.

• Действия могут включать в себя показ CAPTCHA, временную блокировку или ограничение запросов, а также отправку предупреждений.

9. Logging and Monitoring:

• Логируйте информацию о запросах, ограничениях скорости и ответных действиях для анализа и отчетности.

• Настройте мониторинг для выявления характерных признаков неправомерного поведения и соответствующей настройки системы управления.

10. Regular Review and Adjustment:

• Постоянно анализируйте и корректируйте средства управления с учетом меняющихся моделей использования и возникающих угроз.

• Тонкая настройка пороговых значений и правил для минимизации ложных срабатываний и отрицательных результатов.

11. Error Handling and User Feedback:

• Предоставьте понятные сообщения об ошибках и обратную связь с пользователем при срабатывании ограничений скорости или CAPTCHA.

• Убедитесь, что легитимные пользователи понимают ситуацию.

12. Documentation and Testing:

•  Документируйте реализованные средства контроля, пороговые значения и ответные действия.

• Проведите тщательное тестирование средств контроля в различных сценариях, чтобы убедиться в том, что они функционируют должным образом.

Сервер ограничивает количество клиентских подключений и клиентских потоков, создавая обьект пула потоков, который ограничивает количество генерируемых потоков.

public static final int SERVER_PORT = 4444;

public static final int MAX_CONNECTIONS = 10;

...

public void acceptConnections() {

try {

ServerSocket serverSocket = new ServerSocket(SERVER_PORT);

int counter = 0;

boolean hasConnections = true;

while (hasConnections) {

hasConnections = checkForMoreConnections();

Socket client = serverSocket.accept();

Thread t = new Thread(new ClientSocketThread(client));

t.setName(client.getInetAddress().getHostName() + ":" + counter++);

ExecutorService pool = Executors.newFixedThreadPool(MAX_CONNECTIONS);

pool.execute(t);

}

serverSocket.close();

} catch (IOException ex) {...}

}

Additional:

https://cwe.mitre.org/data/definitions/770.html

https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/10-Business_Logic_Testing/README.html