אבטחה עובדת בשכבות
תחשבו על אבטחת שרת כמו על אבטחת בניין. יש שכבה שמטפלת במי שמנסה להיכנס בכמות ובכוח (הגנת רשת), ויש שכבה שבודקת מה כל אחד עושה ברגע שהוא כבר בפנים (הגנת אפליקציה). שתיהן חשובות, ואף אחת לא מחליפה את השנייה. עסק שיש לו רק אחת מהן — מוגן חלקית, גם אם הוא לא מרגיש את זה.
הגנת רשת — עוצרת את ההצפה (L3/L4)
הגנת רשת פועלת בשכבה הנמוכה (L3/L4 במודל השכבות), לפני שהתעבורה מגיעה לאפליקציה. הדוגמה הבולטת היא הגנת DDoS: היא מזהה ומסננת הצפות תעבורה זדונית, כדי שהשרת לא ייחנק. היא מטפלת בכמות ובדפוסים חשודים — לא בתוכן של כל בקשה. מה זה בעצם DDoS מוסבר לעומק במדריך נפרד.
מה היא לא עוצרת: בקשה בודדת שנראית תקינה אך מנסה לנצל חולשה בקוד — למשל הזרקת קוד או ניסיון פריצה לטופס — עוברת דרך שכבת הרשת בלי בעיה. לזה נדרשת השכבה הבאה.
הגנת אפליקציה — בודקת מה קורה בפנים (L7)
הגנת אפליקציה עובדת גבוה יותר (L7, שכבת האפליקציה), ברמת הבקשות לאתר עצמו. היא בוחנת מה כל בקשה מנסה לעשות, וחוסמת ניסיונות זדוניים — הזרקת קוד, ניצול חולשות, ניסיונות פריצה לטפסים ולממשקים. הכלי הטיפוסי הוא WAF (חומת אש לאפליקציות web). כאן לא מדובר בכמות תעבורה, אלא בכוונה של כל בקשה בודדת.
מה היא לא עוצרת: מבול תעבורה נפחי שנועד להרוות את הקו ולהפיל את השרת. הצפה כזו צריכה להיבלם מוקדם יותר, בשכבת הרשת — עוד לפני שהיא בכלל מגיעה ל-WAF.
מי עוצר מה
| האיום | השכבה שמטפלת |
|---|---|
| הצפת תעבורה (DDoS) | הגנת רשת (L3/L4) |
| הזרקת SQL / קוד זדוני | הגנת אפליקציה (L7) |
| ניסיון פריצה לטופס התחברות | הגנת אפליקציה (L7) |
| מבול בקשות שמפיל את השרת | הגנת רשת (L3/L4) |
| ניצול חולשה ידועה באתר | הגנת אפליקציה (L7) |
תרחישים עסקיים
איך זה נראה בפועל? שלוש דוגמאות שממחישות למה שכבה אחת לבדה משאירה פרצה:
- חנות שסופגת הצפת תעבורה בשיא מבצע — הגנת רשת בולמת את ההצפה; WAF לבדו לא היה עוזר כאן.
- אתר עם טופס לידים שמותקף בהזרקות — הגנת אפליקציה חוסמת את הבקשות הזדוניות; הגנת רשת לא "רואה" את הכוונה שלהן.
- שירות מקוון שסופג גם עומס וגם ניסיונות ניצול — רק שתי השכבות יחד נותנות כיסוי אמיתי.
שורה תחתונה
אל תסתפקו ב"יש לי הגנה" בלי לדעת איזו. הגנת רשת שומרת עליכם מהצפות; הגנת אפליקציה שומרת מפני ניצול חולשות. ביחד הן נותנות תמונה שלמה. אם אתם רוצים שמישהו יבנה ויתחזק לכם את השכבות האלה בלי שתצטרכו להיות מומחי אבטחה, זה בדיוק מה ששירות מנוהל עושה.