אבטחה עובדת בשכבות
תחשבו על אבטחת שרת כמו על אבטחת בניין. יש שכבה שמטפלת במי שמנסה להיכנס בכמות ובכוח (הגנת רשת), ויש שכבה שבודקת מה כל אחד עושה ברגע שהוא כבר בפנים (הגנת אפליקציה). שתיהן חשובות, ואף אחת לא מחליפה את השנייה. עסק שיש לו רק אחת מהן, מוגן חלקית, גם אם הוא לא מרגיש את זה.
מה זו הגנת רשת שעוצרת הצפה (L3/L4)?
הגנת רשת פועלת בשכבה הנמוכה (L3/L4 במודל השכבות), לפני שהתעבורה מגיעה לאפליקציה. הדוגמה הבולטת היא הגנת DDoS: היא מזהה ומסננת הצפות תעבורה זדונית, כדי שהשרת לא ייחנק. היא מטפלת בכמות ובדפוסים חשודים, לא בתוכן של כל בקשה. מה זה בעצם DDoS מוסבר לעומק במדריך נפרד.
מה היא לא עוצרת: בקשה בודדת שנראית תקינה אך מנסה לנצל חולשה בקוד, למשל הזרקת קוד או ניסיון פריצה לטופס, עוברת דרך שכבת הרשת בלי בעיה. לזה נדרשת השכבה הבאה.
מה זו הגנת אפליקציה שבודקת מה בפנים (L7)?
הגנת אפליקציה עובדת גבוה יותר (L7, שכבת האפליקציה), ברמת הבקשות לאתר עצמו. היא בוחנת מה כל בקשה מנסה לעשות, וחוסמת ניסיונות זדוניים, הזרקת קוד, ניצול חולשות, ניסיונות פריצה לטפסים ולממשקים. הכלי הטיפוסי הוא WAF (חומת אש לאפליקציות web). כאן לא מדובר בכמות תעבורה, אלא בכוונה של כל בקשה בודדת.
מה היא לא עוצרת: מבול תעבורה נפחי שנועד להרוות את הקו ולהפיל את השרת. הצפה כזו צריכה להיבלם מוקדם יותר, בשכבת הרשת, עוד לפני שהיא בכלל מגיעה ל-WAF.
מי עוצר מה
הצפת תעבורה (DDoS)
- השכבה שמטפלת
- הגנת רשת (L3/L4)
הזרקת SQL / קוד זדוני
- השכבה שמטפלת
- הגנת אפליקציה (L7)
ניסיון פריצה לטופס התחברות
- השכבה שמטפלת
- הגנת אפליקציה (L7)
מבול בקשות שמפיל את השרת
- השכבה שמטפלת
- הגנת רשת (L3/L4)
ניצול חולשה ידועה באתר
- השכבה שמטפלת
- הגנת אפליקציה (L7)
| האיום | השכבה שמטפלת |
|---|---|
| הצפת תעבורה (DDoS) | הגנת רשת (L3/L4) |
| הזרקת SQL / קוד זדוני | הגנת אפליקציה (L7) |
| ניסיון פריצה לטופס התחברות | הגנת אפליקציה (L7) |
| מבול בקשות שמפיל את השרת | הגנת רשת (L3/L4) |
| ניצול חולשה ידועה באתר | הגנת אפליקציה (L7) |
תרחישים עסקיים
איך זה נראה בפועל? שלוש דוגמאות שממחישות למה שכבה אחת לבדה משאירה פרצה:
- חנות שסופגת הצפת תעבורה בשיא מבצע: הגנת רשת בולמת את ההצפה; WAF לבדו לא היה עוזר כאן.
- אתר עם טופס לידים שמותקף בהזרקות: הגנת אפליקציה חוסמת את הבקשות הזדוניות; הגנת רשת לא "רואה" את הכוונה שלהן.
- שירות מקוון שסופג גם עומס וגם ניסיונות ניצול: רק שתי השכבות יחד נותנות כיסוי אמיתי.
אז איזו שכבת הגנה צריך בעצם?
אל תסתפקו ב"יש לי הגנה" בלי לדעת איזו. הגנת רשת שומרת עליכם מהצפות; הגנת אפליקציה שומרת מפני ניצול חולשות. ביחד הן נותנות תמונה שלמה. אם אתם רוצים שמישהו יבנה ויתחזק לכם את השכבות האלה בלי שתצטרכו להיות מומחי אבטחה, זה בדיוק מה ששירות מנוהל עושה.
שאלות נפוצות
לא. הגנת DDoS פועלת ברמת הרשת ועוצרת הצפות תעבורה, אבל היא לא מגינה מפני ניצול חולשות בקוד האפליקציה (כמו הזרקת SQL או ניסיונות פריצה לטופס). לזה צריך שכבת הגנת אפליקציה. השתיים משלימות זו את זו.
WAF (Web Application Firewall) הוא חומת אש ברמת האפליקציה, שבוחנת את הבקשות שמגיעות לאתר ומסננת ניסיונות זדוניים, כמו הזרקות קוד או ניצול חולשות. זו שכבת הגנת אפליקציה טיפוסית, שמשלימה את הגנת הרשת.
זה תלוי בסיכון. אתר שסובל מהצפות תעבורה יתחיל בהגנת רשת (DDoS); אפליקציה שמעבדת נתונים רגישים תשים דגש על הגנת אפליקציה. אבל האמת היא ששתיהן חשובות, כל אחת סוגרת פרצה שהשנייה לא נוגעת בה.
WAF מוגדר היטב מוסיף עיכוב זניח שלא מורגש בפועל, כי הוא בודק רק את הבקשות עצמן, לא מעבד את כל התוכן. ה-latency שהוא מוסיף קטן בהרבה מהנזק של פרצה שהייתה נמנעת.
כן, גם אתר קטן חשוף לסריקות אוטומטיות שמחפשות חולשות ידועות, לא רק לתקיפות ממוקדות. הגנת רשת בסיסית והגנת אפליקציה בסיסית שוות את ההשקעה הקטנה גם לאתר תדמית.
כלל בסיסי מגן על רוב האתרים, אך אפליקציה מורכבת עם דרישות ייחודיות עשויה להזדקק לכללים מותאמים אישית. ספק תשתית טוב יעזור לכוון את ההגנה כך שלא תחסום שימוש לגיטימי בטעות.