V9.2.2 Server Communication Security

Requirement:

Verify that encrypted communications such as TLS is used for all inbound and outbound connections, including for management ports, monitoring, authentication, API, or web service calls, database, cloud, serverless, mainframe, external, and partner connections. The server must not fall back to insecure or unencrypted protocols.

Explanation:

Требование определяет необходимость использования шифрованных соединений, в частности Transport Layer Security (TLS), для всех типов входящих и исходящих соединений в приложении. Данное требование охватывает широкий спектр сценариев взаимодействия, включая порты управления, мониторинг, аутентификацию, API, вызовы веб-сервисов, соединения с базами данных, взаимодействие с облачными сервисами, бессерверными платформами, системами mainframe, внешние соединения и соединения с партнерами. Задача состоит в том, чтобы обеспечить защиту конфиденциальных данных, передаваемых с помощью этих подключений, от проникновения и перехвата. 

Remediation:

Чтобы выполнить требование  и убедиться, что приложение использует шифрованные соединения (TLS) для всех входящих и исходящих соединений, можно выполнить следующие действия:

1. Identify Communication Paths:

• Перечислите все типы входящих и исходящих соединений, используемых вашим приложением, включая те, которые упомянуты в требовании (порты управления, мониторинг, аутентификация, вызовы API, вызовы веб-служб, соединения с базами данных, взаимодействие с облаком и т.д.).

2. Verify TLS Implementation:

• Проверьте текущую реализацию TLS для каждого канала связи, чтобы убедиться в том, что она правильно настроена и соблюдается.

3. Testing and Verification:

• Ниже приведен пошаговый подход к проверке и исправлению зашифрованных коммуникаций вашего приложения:

   a. Audit Communication Paths:

• Для каждого пути связи проверьте, используется ли TLS, нет ли небезопасных или незашифрованных протоколов.

   b. Identify Unencrypted Connections:

• Определите все пути передачи данных, в которых в настоящее время используются незащищенные протоколы (например, HTTP) или незашифрованные соединения.

   c. Update Configuration:

• Для каналов связи, использующих небезопасные или незашифрованные протоколы, обновите конфигурацию, чтобы использовать TLS.

   d. Verify TLS Configuration:

• Убедитесь, что конфигурация TLS является актуальной и соответствует лучшим практикам, таким как использование надежных наборов шифров и правильное управление сертификатами.

   e. Test Connection Security:

• Используйте средства тестирования TLS или сканеры безопасности для проверки безопасности соединений.
• Убедитесь, что TLS применяется должным образом и что не происходит отката к небезопасным протоколам.

4. Implement Necessary Changes:

• При необходимости измените код, конфигурационные файлы и настройки приложения, чтобы включить TLS для каждого канала связи.

5. Security Headers and HSTS:

• Внедрите заголовки безопасности, такие как HTTP Strict Transport Security (HSTS), для обеспечения использования HTTPS-соединений и предотвращения атак на понижение уровня.

6. Certificate Management:

• Правильно управляйте сертификатами SSL/TLS для своих приложений, чтобы обеспечить их актуальность и действительность.

7. Regular Review and Updates:

• Периодически пересматривайте и обновляйте конфигурацию приложения и соединений, чтобы обеспечить соответствие использования TLS изменяющимся требованиям безопасности.

8. Monitoring and Alerts:

• Реализовать мониторинг для обнаружения изменений конфигурации, которые могут повлиять на использование TLS.

9. Documentation and Training:

• Документируйте шаги, предпринятые для обеспечения зашифрованных соединений для каждого пути передачи данных.

Пример демонстрирующий, как можно обеспечить шифрованную связь (TLS) для исходящего соединения с внешним API с помощью библиотеки requests:

import requests

def send_request():

# Set up the API endpoint

api_endpoint = "https://api.example.com/data"

try:

# Send an HTTPS request to the external API

response = requests.get(api_endpoint)

# Check if the response is successful

if response.status_code == 200:

print("Data received:", response.json())

else:

print("Failed to fetch data:", response.text)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

send_request()

В данном примере:

• Используется библиотека requests для отправки GET-запроса к внешнему API.
• Доступ к API осуществляется по протоколу HTTPS, что подразумевает шифрование связи по протоколу TLS.
• Ответ проверяется, и из успешного ответа извлекаются необходимые данные.

Additional:

https://cwe.mitre.org/data/definitions/319.html

https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html