V11.1.7 Business Logic Security

Requirement:

Verify that the application monitors for unusual events or activity from a business logic perspective. For example, attempts to perform actions out of order or actions which a normal user would never attempt. (C9)

Explanation:

Требование предусматривает мониторинг аномальных событий или действий с точки зрения бизнес-логики приложения. Целью является обнаружение и реагирование на события, которые отклоняются от ожидаемого или типичного поведения пользователя, например, попытки выполнить действия не по порядку или действия, которые обычный пользователь никогда бы не предпринял. Это требование направлено на выявление потенциально вредоносных или несанкционированных действий, которые не могут быть обнаружены стандартными механизмами защиты. 

1 Business Logic Perspective:

• Бизнес-логика определяет правила, процессы и технологические операции, которые определяют функционирование приложения и взаимодействие с пользователями. Мониторинг с точки зрения бизнес-логики означает наблюдение за последовательностью действий и логическим потоком в приложении.

2 Unusual Events or Activity:

• Это требование направлено на обнаружение действий, которые отклоняются от нормального или ожидаемого поведения.

• В качестве примера можно привести попытки выполнения действий в нелогичном порядке (например, попытка завершить оформление заказа до добавления товаров в корзину) или выполнение действий, которые обычные пользователи обычно не инициируют (например, доступ к конфиденциальным функциям администратора).

3 Benefits:

• Стандартные средства защиты могут не обнаружить некоторые аномалии в бизнес-логике, что делает это требование крайне важным для выявления уникальных угроз.

• Злоумышленники часто используют пробелы в бизнес-логике для обхода стандартных средств защиты.

4 Detection Mechanisms:

• Приложение должно быть оснащено механизмами регистрации и анализа последовательностей действий и взаимодействий.

• Для выявления необычных закономерностей могут использоваться системы распознавания образов, системы, основанные на правилах, и методы обнаружения аномалий.

5 Response and Alerting:

• При обнаружении аномальных действий приложение должно реагировать на них, генерируя оповещения, регистрируя соответствующую информацию и, возможно, принимая меры по их устранению.

• Оповещения могут быть направлены администраторам или IT безопасности для дальнейшего расследования.

6 Customization and Tuning:

• Система мониторинга должна быть настраиваемой, чтобы адаптироваться к специфике бизнес-логики и сценариев использования приложения.

• Для минимизации ложных срабатываний и ошибок требуется регулярная настройка.

7 Use Cases:

• В качестве примера можно привести обнаружение попыток манипулирования поведением покупательской корзины, доступа к закрытым страницам приложения или отправки некорректных данных в обход проверок.

Remediation:

Пример реализации мониторинга аномальных событий с точки зрения бизнес-логики предполагает отслеживание действий пользователя и выявление закономерностей, отклоняющихся от нормального поведения

Реализация мониторинга аномальных событий

class UserActivityMonitor:

def __init__(self):

# Dictionary to store user activities and their counts

self.user_activities = {}

def track_activity(self, user_id, activity):

if user_id not in self.user_activities:

self.user_activities[user_id] = {}

if activity not in self.user_activities[user_id]:

self.user_activities[user_id][activity] = 1

else:

self.user_activities[user_id][activity] += 1

def detect_unusual_activity(self, user_id, activity):

if user_id in self.user_activities and activity in self.user_activities[user_id]:

activity_count = self.user_activities[user_id][activity]

# Set a threshold for detecting unusual activity

unusual_threshold = 5

if activity_count > unusual_threshold:

return True

return False

# Simulate user activities

monitor = UserActivityMonitor()

# Simulate tracking user activities

monitor.track_activity("user123", "add_to_cart")

monitor.track_activity("user123", "add_to_cart")

monitor.track_activity("user123", "add_to_cart")

monitor.track_activity("user123", "checkout")

monitor.track_activity("user456", "add_to_cart")

# Simulate detecting unusual activity

user_id = "user123"

activity = "add_to_cart"

if monitor.detect_unusual_activity(user_id, activity):

print(f"Unusual activity detected for user {user_id}: {activity}")

user_id = "user456"

activity = "add_to_cart"

if monitor.detect_unusual_activity(user_id, activity):

print(f"Unusual activity detected for user {user_id}: {activity}")

В данном примере:

    Класс UserActivityMonitor моделирует наблюдение за действиями пользователя и выявление необычных закономерностей. Метод track_activity регистрирует действия пользователя и их количество. Метод detect_unusual_activity проверяет, не превышает ли количество действий заданный порог, что свидетельствует о необычном поведении.

Additional:

https://cwe.mitre.org/data/definitions/754.html