V11.1.8 Business Logic Security

Requirement:

Verify that the application has configurable alerting when automated attacks or unusual activity is detected.

Explanation:

Автоматические атаки, также известные как атаки ботов, и необычные действия могут представлять серьезную угрозу безопасности и функциональности приложения. Эти атаки могут включать в себя различные виды вредоносной деятельности, такие как атаки brute force, credential stuffing, scraping и другие виды. Своевременное обнаружение и реагирование на эти угрозы имеет решающее значение для поддержания безопасности и целостности приложения.

Remediation:

Чтобы выполнить требование и реализовать настраиваемое автоматическое обнаружение атак или аномалий в приложении, необходимо выполнить следующие действия:

1. Identify Key Areas and Risks:

• Определите, какие части вашего приложения наиболее чувствительны к автоматизированным атакам или аномальной активности. К ним можно отнести системы входа в систему, аутентификации пользователей, получения критически важных данных и любые другие важные объекты.

2. Set Detection Criteria:

• Определите критерии, по которым будет происходить алертинг. К ним можно отнести неудачные попытки входа в систему, чрезмерное количество запросов с одного IP-адреса, неожиданные API вызовы и т.д.

• При этом учитываются как автоматизированные паттерны атак (например, частые запросы), так и необычные паттерны активности (например, одновременный доступ пользователя к множеству ресурсов).

3. Choose Alerting Mechanisms:

• Определите, каким образом будут передаваться оповещения. К распространенным методам относятся уведомления по электронной почте, SMS-сообщения или интеграция с SIEM-системой.

4. Implement Automated Monitoring:

• Разработать или интегрировать средства мониторинга или скрипты, которые будут непрерывно анализировать логи приложений и сетевой трафик для выявления моделей автоматизированных атак или необычных действий.

5. Set Thresholds and Heuristics:

• Определите пороговые значения и эвристики, которые помогут выявить потенциальные угрозы. Эти пороги должны быть основаны на типичном поведении пользователей и шаблонах использования приложений.

6. Implement Immediate Alerts:

• Настройте систему мониторинга таким образом, чтобы при превышении заданных пороговых значений немедленно включались оповещения. Это позволяет оперативно реагировать на возможные инциденты безопасности.

7. Response and Mitigation Plans:

• Разработайте набор предопределенных действий для различных типов оповещений. Эти действия могут включать временную блокировку IP-адреса, приостановку действия учетной записи или инициирование запроса CAPTCHA.

8. Testing and Tuning:

• Протестируйте механизмы оповещения, используя имитацию атак или сценарии необычной активности. При необходимости скорректируйте пороговые значения и эвристику, чтобы уменьшить количество ложных и ошибочных срабатываний.

9. Document and Communicate:

• Задокументируйте настройку оповещения, включая критерии, пороговые значения и планы реагирования.

• Убедитесь, что все заинтересованные стороны знают о системе оповещения и их роли в реагировании на оповещения.

10. Continuous Monitoring and Improvement:

•  Регулярно пересматривайте и обновляйте механизмы оповещения по мере развития приложений и угроз.

• Отслеживайте эффективность оповещений и со временем уточняйте критерии обнаружения.

Пример, демонстрирующий, как можно реализовать это требование

import logging

# Configure logging to send alerts

logging.basicConfig(level=logging.INFO,

format='%(asctime)s - %(levelname)s - %(message)s')

# Simulate monitoring thresholds (for demonstration purposes)

AUTOMATED_ATTACK_THRESHOLD = 10 # Number of failed login attempts

UNUSUAL_ACTIVITY_THRESHOLD = 100 # Requests in a short time period

# Simulate a user authentication function

def authenticate_user(username, password):

# Simulate authentication logic

# Return True if authentication is successful, False otherwise

return False

# Simulate a request processing function

def process_request():

# Simulate processing a request

pass

# Simulate monitoring function

def monitor_activity(username, request_count):

if request_count > UNUSUAL_ACTIVITY_THRESHOLD:

logging.warning(f"Unusual activity detected for user: {username}")

# Simulate a function to track failed login attempts

def track_failed_login(username):

# Track failed login attempts (for demonstration purposes)

pass

# Simulate an API endpoint for user login

def login():

username = input("Enter your username: ")

password = input("Enter your password: ")

if authenticate_user(username, password):

process_request()

else:

logging.error("Authentication failed")

track_failed_login(username)

# Check for automated attack threshold

if failed_login_count(username) >= AUTOMATED_ATTACK_THRESHOLD:

logging.warning(f"Automated attack detected for user: {username}")

# Implement response action (e.g., lock account, IP ban)

# Simulate a function to track failed login count (for demonstration purposes)

def failed_login_count(username):

# Return the count of failed login attempts for a user

return 0

# Simulate API request processing

def api_request():

username = "testuser"

request_count = 120 # Simulated request count

process_request()

monitor_activity(username, request_count)

# Entry point of the application

if __name__ == "__main__":

login()

api_request()

Additional:

https://cwe.mitre.org/data/definitions/390.html