V11.1.5 Business Logic Security

Requirement:

Verify the application has business logic limits or validation to protect against likely business risks or threats, identified using threat modeling or similar methodologies.

Explanation:

Уязвимости бизнес-логики могут возникать из-за недостатков или слабых мест в том, как логика приложения обрабатывает различные входные данные, условия и взаимодействия. Хакеры или злоумышленники часто используют эти уязвимости для манипулирования приложением таким образом, это может быть не сразу очевидно.

Remediation:

Для выполнения требования по обеспечению безопасности бизнес-логики приложения необходимо определить потенциальные риски и угрозы, реализовать соответствующие механизмы проверки и установить ограничения для снижения этих рисков. Ниже приведен пошаговый подход:

1. Identify Business Risks and Threats.

Провести комплексное моделирование угроз. Определить потенциальные уязвимости и угрозы, которые могут использовать бизнес-логику приложения. Рассмотреть различные сценарии, в которых злоумышленники могут использовать логику в своих интересах.

2. Define Business Logic Limits and Validation.

На основе выявленных рисков определить, какие области бизнес-логики приложения нуждаются в ограничениях или проверке. Определить правила, ограничения и проверки валидности, которые соответствуют выявленным рискам.

3. Implement Validation and Limits.

Внедрить проверки валидности и ограничения в соответствующие части бизнес-логики приложения. Убедиться, что вводимые данные, действия и условия проверяются на соответствие установленным правилам.

4. Input Validation.

Валидировать все вводимые пользователем данные, чтобы не допустить проникновения вредоносного кода в обход мер безопасности. Проверить соответствие вводимых данных ожидаемым критериям.

5. Context-Based Validation.

Рассмотреть контекст каждого действия или процесса и применить проверку, соответствующую этому контексту. Например, проверять вводимые пользователем данные в зависимости от текущего статуса выполняемого приложением рабочего процесса.

6. Implement Rate Limiting.

Использовать ограничение производительности для предотвращения злоупотреблений или эксплуатации определенных действий, таких как неудачные попытки входа в систему или запросы API. Ограничить частоту и объем запросов от одного источника в течение заданного периода времени.

7. Implement Transaction Controls.

Внедрить средства контроля для предотвращения несанкционированных действий, особенно в финансовых или критических процессах. Требовать дополнительной аутентификации или подтверждения для транзакций с высокой степенью риска.

8. Error Handling.

Реализовать строгую обработку ошибок, чтобы эффективно решать ситуации, когда срабатывают ограничения или валидация. Избегать раскрытия конфиденциальной информации в сообщениях об ошибках.

9. Threat Simulation and Testing.

Протестировать приложение с помощью сценариев, имитирующих потенциальные угрозы, чтобы убедиться в эффективности проверки и ограничений. Использовать тестирование на проникновение для выявления уязвимостей, которые не были учтены.

10. Code Reviews and Quality Assurance.

Проверить код, чтобы убедиться в правильности реализации ограничений и проверки. Включить эти методы проверки в жизненный цикл разработки.

11. Documentation.

Документировать реализованные правила проверки, ограничения и их обоснование в документации приложения.

12. Continuous Monitoring.

Регулярно пересматривать и обновлять ограничения и валидацию бизнес-логики по мере появления новых рисков и угроз. Регулярно следить за соблюдением мер безопасности.

Пример в котором реализованы некоторые из рекомендуемых проверок и ограничений:

from flask import Flask, request, jsonify

from werkzeug.utils import secure_filename

app = Flask(__name__)

# Simulated data storage (in-memory dictionary)

storage = {}

# File upload limit (in bytes)

MAX_FILE_SIZE = 10 * 1024 * 1024 # 10 MB

# Simulated API key (replace with proper authentication)

API_KEY = "your_api_key_here"

# Request rate limiting (requests per minute)

RATE_LIMIT = 60

# Endpoint for uploading files

@app.route("/upload", methods=["POST"])

def upload_file():

# Validate API key

api_key = request.headers.get("X-API-Key")

if api_key != API_KEY:

return jsonify({"error": "Unauthorized"}), 401

# Rate limiting check

# You'll need to implement a mechanism to track and limit requests per minute

# File validation

file = request.files.get("file")

if not file:

return jsonify({"error": "No file provided"}), 400

if file.content_length > MAX_FILE_SIZE:

return jsonify({"error": "File size exceeds the limit"}), 400

filename = secure_filename(file.filename)

storage[filename] = file.read()

return jsonify({"message": "File uploaded successfully"}), 201

# Endpoint for retrieving files

@app.route("/files/<filename>", methods=["GET"])

def get_file(filename):

if filename not in storage:

return jsonify({"error": "File not found"}), 404

# Implement logic to restrict access based on authentication and authorization

return jsonify({"data": storage[filename].decode("utf-8")}), 200

if __name__ == "__main__":

app.run(debug=True)

Additional:

https://cwe.mitre.org/data/definitions/841.html

https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/10-Business_Logic_Testing/README.html