V9.2.5 Server Communication Security

Requirement:

Verify that backend TLS connection failures are logged.

Explanation:

Требование определяет необходимость фиксировать и записывать в лог любые сбои и ошибки, возникающие при установлении защищенных TLS-соединений между внутренними службами приложения. Эти логи могут быть полезны для диагностики проблем, выявления потенциальных уязвимостей безопасности и поддержания общей безопасности сетевой инфраструктуры приложения.

Remediation:

Чтобы выполнить требование и обеспечить логирование сбоев TLS-соединений на внутреннем сервере в приложении, можно выполнить следующие действия:

1 Ознакомьтесь с необходимостью логирования сбоев внутренних TLS-соединений и их важностью для безопасности и устранения неполадок. 1 Определите различные внутренние службы, компоненты или серверы, которые взаимодействуют с помощью TLS в вашем приложении. 1 Ниже приведен пошаговый подход к проверке и устранению в приложении механизма логирования сбоев TLS-соединений с внутренними сервисами:

• Выберите фреймворк или механизм логирования, соответствующий технологическому стеку вашего приложения.
• Для обеспечения последовательности и структурированности журналов используйте общепринятые методы ведения логов.
• Интегрируйте ведение логов в backend-сервисы, поддерживающие соединение по протоколу TLS.
• При невозможности установления TLS-соединения следует регистрировать отказы, ошибки и соответствующие подробности.
• Регистрируйте временные метки, коды ошибок, сообщения об ошибках, информацию об источнике/назначении и любой соответствующий контекст.
• Включите информацию о причине сбоя, например, о просроченных сертификатах или неподдерживаемых протоколах. 1 Создайте централизованную систему сбора логов, объединяющую журналы различных внутренних служб. Выберите инструменты или сервисы, поддерживающие агрегацию, поиск и анализ журналов. 1 Внедрите средства анализа и мониторинга логов, которые помогут обнаружить в журналах аномалии, тенденции и потенциальные инциденты безопасности. 1 Разработайте процедуры реагирования на инциденты, в которых описаны действия при обнаружении сбоев TLS-соединений на внутреннем сервере. 1 Протестируйте приложение, чтобы убедиться в правильности регистрации сбоев TLS-соединений на внутреннем сервере.  Смоделируйте сбои соединения и убедитесь, что в журналах фиксируется необходимая информация. 1 Периодически пересматривайте и обновляйте механизмы логирования, чтобы убедиться в том, что они по-прежнему эффективно фиксируют сбои соединений. 1 Документируйте внедрение системы регистрации, включая подробную информацию о типах регистрируемых сбоев и записываемой информации.

Пример демонстрирующий, как можно реализовать в приложении протоколирование сбоев TLS-соединения с backend:

import logging

import requests

# Configure logging

logging.basicConfig(level=logging.INFO,

format='%(asctime)s - %(levelname)s - %(message)s')

def communicate_with_backend_service():

backend_url = "https://backend.example.com"

try:

# Simulate TLS connection to the backend service

response = requests.get(backend_url)

# Check if the connection was successful

if response.status_code == 200:

logging.info("Successfully connected to backend service.")

else:

logging.error(f"Failed to connect to backend service. Status code: {response.status_code}")

except requests.exceptions.RequestException as e:

# Log connection failure with detailed information

logging.error(f"Failed to establish TLS connection to backend service: {e}")

if __name__ == "__main__":

communicate_with_backend_service()

В данном примере:

• Для ведения журнала используется модуль logging.
• Функция communicate_with_backend_service имитирует связь с backend-сервисом с помощью библиотеки requests.
• В случае успешного соединения (код состояния 200) формируется лог информационного уровня.
• Если при попытке соединения произошел сбой (перехвачен requests.exceptions.RequestException), то генерируется журнал уровня ошибки с подробной информацией о сбое.

Это можно сделать с помощью IIS, добавив настраиваемые поля ведения журнала:applicationHost.config

<logFile>

<customFields>

<clear />

<add logFieldName="crypt-protocol" sourceName="CRYPT_PROTOCOL" sourceType="ServerVariable" />

<add logFieldName="crypt-cipher" sourceName="CRYPT_CIPHER_ALG_ID" sourceType="ServerVariable" />

<add logFieldName="crypt-hash" sourceName="CRYPT_HASH_ALG_ID" sourceType="ServerVariable" />

<add logFieldName="crypt-keyexchange" sourceName="CRYPT_KEYEXCHANGE_ALG_ID" sourceType="ServerVariable" />

</customFields>

</logFile>

Вот пример конфигурации для ведения журнала сбоев соединения TLS с серверной частью в Nginx:

error_log /var/log/nginx/error.log;

http {

log_format backend_tls_failure '$remote_addr - $remote_user [$time_local] "$request" '

'$status $body_bytes_sent "$http_referer" '

'"$http_user_agent" $upstream_addr tls_failure="$ssl_verify_result"';

server {

...

location / {

...

proxy_ssl_verify on;

proxy_ssl_verify_depth 2;

proxy_ssl_trusted_certificate /path/to/ca.crt;

proxy_ssl_session_reuse on;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_pass https://backend_server;

access_log /var/log/nginx/access.log backend_tls_failure;

error_log /var/log/nginx/backend_error.log warn;

}

...

}

}

Вот пример конфигурации для ведения журнала сбоев TLS-подключения серверной части в Apache:

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_VERIFY_RESULT}e" backend_tls_failure

<VirtualHost *:80>

ServerName example.com

...

<Location />

ProxyPass https://backend_server

ProxyPassReverse https://backend_server

RequestHeader set Front-End-Https "On"

RequestHeader set X-Real-IP $remote_addr

RequestHeader set X-Forwarded-For $proxy_add_x_forwarded_for

RequestHeader set X-Forwarded-Proto $scheme

RequestHeader set X-Url-Scheme $scheme

RequestHeader set X-Host $host

RequestHeader set X-Port $server_port

RequestHeader set X-Request-Start "%{UNIQUE_ID}e %D"

SSLProxyEngine On

SSLProxyVerify on

SSLProxyVerifyDepth 2

SSLProxyCheckPeerCN off

SSLProxyCheckPeerName off

SSLProxyCACertificateFile /path/to/ca.crt

CustomLog /var/log/httpd/access_log backend_tls_failure

ErrorLog /var/log/httpd/backend_error_log

</Location>

...

</VirtualHost>

Additional:

https://cwe.mitre.org/data/definitions/544.html

https://docs.ukfast.co.uk/operatingsystems/windows/tlsandschannel/tlsloggingiis.html