Web-sovellustason palomuuri osana kerroksellista suojausarkkitehtuuria

Abstract

Opinnäytetyön toimeksiantajana toimi Kansaneläkelaitoksen ICT-osasto. Opinnäytetyön tavoitteena ja kehityskohteena oli selvittää web-sovellustason palomuurin tarjoamat mahdollisuudet osana sovelluksien kerroksellista suojautumisarkkitehtuuria. Määrittelyvaiheessa keskityttiin tyypillisen yksinkertaisen web-sovelluksen käyttämään rakenteeseen sekä sovellustasolla tapahtuviin tietoturvauhkiin ja niiden mahdollisiin vaikutuksiin. Web-sovellustason palomuurituotteista opinnäytetyössä keskityttiin kaupalliseen F5 BIG-IP ASM -tuotteeseen. Opinnäytetyön toteutusvaihe, jossa web-sovelluksiin kohdistettiin erilaisia hyökkäyslausekkeita, suoritettiin eristetyssä laboratorioympäristössä. Toteutusvaiheessa suojattavina web-sovelluksina käytettiin kahta erilaista yksinkertaista PHP-pohjaista sovellusta. Työn avulla saavutettiin kattava tietopohja web-sovellustason palomuurien tarpeellisuudesta sovellustason uhkien torjunnassa. Dokumentaation avulla toimeksiantajalle luotiin käytännön esimerkkien avulla hyvät lähtökohdat BIG-IP ASM -web-sovellustason palomuurin käyttöönottoon. Käytännön esimerkkien avulla tuotiin esille myös NGFW- ja IPS-tuotteiden heikkoudet web-sovellustason uhkien torjumisessa. Opinnäytetyön pohjalta saatiin myös johtopäätöksiä, joiden avulla web-sovellustason palomuureja voidaan arvioida kriittiseltä pohjalta. Lopputuloksena saavutettiin laboratorioympäristöön kaksi ASM:n toimivaa tietoturvapolitiikkaa, joiden perusteella ASM-moduulin käyttöönottoa on helppo lähteä suunnittelemaan varsinaiseen tuotantoympäristöön.

The bachelor’s thesis was assigned by the ICT department of Social Insurance Institution of Finland. The purpose of the thesis was to investigate opportunities and benefits offered by the web application layer firewall used as a part of a layered security architecture. The definition phase focused on the structure of a typical simple web application, the application layer threats and their potential effects against organization’s web applications. As for the web application layer firewalls, the main focus was on the commercial F5 BIG-IP ASM web application firewall. The implementation phase, where application layer attacks were used against simple web applications, was implemented in an isolated laboratory environment. Web applications in question were simple PHP-language based applications. A comprehensive knowledge base for the basic need to implement web application firewall to protect organization’s web applications was achieved. Practical examples revealed the weaknesses of NGFW and IPS products against web application level threats. The thesis helped to understand the features of the F5 BIG-IP ASM product, as well as its effectiveness and its typical use cases. Furthermore, the research provided conclusions to evaluate WAF products critically. As the end result the thesis achieved to implement two working effective ASM security policies into the development environment. On this basis, it is easy to continue bringing the system to the actual production environment.