Cisco Applied Mitigation Bulletin-
Gli attacchi Cross-Site Request Forgery (CSRF) sono in genere destinati alle applicazioni Web. Gli attacchi CSRF possono includere modifiche non autorizzate alle informazioni utente o l'estrazione di dati sensibili dall'applicazione Web.
Gli exploit CSRF utilizzano l'ingegneria sociale per convincere un utente ad aprire un link che, quando elaborato dall'applicazione web interessata, potrebbe causare l'esecuzione arbitraria del codice. Il codice exploit CSRF può essere archiviato in una posizione Web (ad esempio, un CSRF archiviato) in un iframe/immagine di un pixel o può essere un componente di un exploit CSRF. Quando elaborato, il collegamento CSRF potrebbe consentire all'autore dell'attacco di inviare richieste arbitrarie tramite l'applicazione Web interessata con i privilegi dell'utente. Le origini degli attacchi CSRF sono difficili da identificare utilizzando i metodi di traceback. I metodi di ingegneria sociale possono nascondere l'identità dell'autore dell'attacco perché il server considera la richiesta come una richiesta legittima dell'utente.
Esempio
Esempi di attacchi del CSRF sono numerosi, ma il più comune riguarda un bonifico bancario. Si supponga, ad esempio, che il reparto risorse umane della società X utilizzi un portale Web che aggiorna le informazioni sugli stipendi dei dipendenti della società. Per eseguire questo processo, il reparto delle risorse umane deve completare le seguenti operazioni: eseguire l'autenticazione all'applicazione Web, passare all'area aumento stipendio del portale e completare un modulo con il nome del dipendente e l'importo dell'aumento. Una volta completati i passaggi precedenti, l'utente dovrà premere il pulsante di invio per elaborare il modulo e completare la modifica. Si supponga che il modulo inviato sia destinato a un dipendente di nome John Doe a cui è stato concesso un aumento di 100 dollari, verrà generata la seguente richiesta HTTP POST:
POST http://hr.companyX-internal.com/raisesalary.do HTTP/1.1 ... ... ... usr=JohnDoe&amount=100A seconda dell'applicazione, potrebbe esistere una richiesta in cui il browser dispone già di una sessione autenticata valida (cookie del browser). Se l'applicazione Web Human Resources dispone di una sessione di autenticazione valida, la stessa azione, ad esempio aumento di stipendio, verrà eseguita con la richiesta HTTP GET seguente:
GET http://hr.companyX-internal.com/raisesalary.do?usr=JohnDoe&amount=100 HTTP/1.1La richiesta di cui sopra può essere effettuata visitando un collegamento ed eseguendo una richiesta HTTP GET. Il browser non richiede l'invio di moduli.
L'applicazione Web Human Resources, descritta nell'esempio precedente, è suscettibile di attacchi CSRF. Un utente (ad esempio, John Doe) potrebbe tentare di aumentare il suo stipendio di 500 dollari senza avere accesso all'applicazione, ma potrebbe convincere un dipendente del reparto risorse umane ad aprire un collegamento o caricare un iframe HTTP reindirizzato a un collegamento dannoso (ad esempio, http://hr.companyX-internal.com/raisesalary.do?usr=JohnDoe&amount=500). Una volta che il dipendente è stato autenticato dall'applicazione risorse umane (ad esempio, a metà giornata), l'unico requisito è quello di persuadere il dipendente delle risorse umane a visitare il collegamento.
-
Gli attacchi Cross-Site Request Forgery (CSRF) sono in genere destinati alle applicazioni Web. L'utente malintenzionato tenta di accedere a informazioni riservate e di apportare modifiche non autorizzate ai dati utente da un'applicazione Web convincendo l'utente a eseguire una richiesta di applicazione Web creata.
-
Formazione degli utenti e consapevolezza della sicurezza
Per ridurre il rischio di attacchi CSRF, si consiglia di discutere tecniche di navigazione sicure. Gli aggressori utilizzano la posta elettronica basata sul Web come vettore CSRF, tramite script incorporati o collegamenti dannosi che determinano l'utilizzo di CSRF. Una strategia di base dovrebbe essere costituita dai seguenti elementi:
- Gli utenti sono invitati a non aprire messaggi di posta elettronica provenienti da fonti sospette o non riconosciute. Se gli utenti non possono verificare che i collegamenti inclusi nei messaggi di posta elettronica siano sicuri, è consigliabile non aprirli.
- Gli utenti sono invitati a passare il mouse sul link per osservare dove il link è diretto prima di fare clic/selezionare il link.
- Controlla i collegamenti per l'utilizzo di caratteri dall'aspetto sospetto.
- Si consiglia di utilizzare due browser diversi. Uno deve fungere da browser di siti attendibili e l'altro da browser informale per la navigazione sul Web. Quando viene selezionato un link contenuto in un'e-mail o da un sito di social networking, il browser utilizzato per la navigazione sul Web casuale deve essere utilizzato per garantire che non esistano cookie validi per un attacco basato su CSRF.
- Gli utenti devono prestare attenzione ai collegamenti che richiedono un accesso per l'autenticazione. (ad esempio, banche o il sito web risorse umane descritto nell'esempio precedente)
- Diffidare di legami troppo lunghi.
- Accedere solo a siti Web da percorsi noti e attendibili. In caso di dubbi, contattare immediatamente il webmaster e la società che ospita il sito Web.
- Eliminare i messaggi di posta elettronica non richiesti o leggerli in formato testo normale per impedire l'esecuzione di codice dannoso.
Procedure di sviluppo di applicazioni Web sicure
L'utilizzo di procedure di progettazione e sviluppo sicure durante la progettazione di applicazioni Web riduce il rischio di creare applicazioni suscettibili di attacchi CSRF. Alcune pratiche di progettazione e sviluppo sicure includono:
- Per ogni sessione utente o richiesta, aggiungere token di richiesta imprevedibili. Questo metodo assicura che ogni richiesta venga verificata in modo che l'utente sia l'origine e non un collegamento CSRF.
- Se possibile, verificare se una richiesta è stata emessa dal sito stesso o da una richiesta intersito verificando l'intestazione del riferimento HTTP.
- Utilizzare intestazioni HTTP personalizzate. Ad esempio, Google Web Toolkit consiglia di allegare un'intestazione X-CSRF-Cookie a XMLHttpRequest in grado di fornire protezione dagli attacchi CSRF.
Dispositivi Cisco
A causa della natura degli attacchi del CSRF, è difficile identificare l'intento di un URL specifico (ad esempio, un aumento di stipendio descritto nell'esempio precedente). Di conseguenza, non è sempre possibile identificare una richiesta dannosa tra l'utente e il server. Le migliori contromisure per mitigare gli attacchi CSRF sono pratiche sicure per lo sviluppo di applicazioni Web e l'educazione degli utenti. I prodotti di sicurezza Cisco (ad esempio, Cisco Ironport Web Security Appliance, Cisco ACE Web Application Firewall) possono fornire un certo livello di protezione, principalmente contro gli oggetti che attivano richieste dannose. Inoltre, alcune protezioni generali contro lo scripting tra siti che convalidano i cookie HTTP e le intestazioni dei riferimenti HTTP possono fungere da attenuazione contro gli attacchi CSRF.
-
Le organizzazioni sono invitate a seguire i processi standard di valutazione e mitigazione dei rischi per determinare l'impatto potenziale di questa vulnerabilità. Triage si riferisce all'ordinamento dei progetti e all'assegnazione delle priorità agli sforzi che hanno maggiori probabilità di avere successo. Cisco ha fornito documenti che possono aiutare le organizzazioni a sviluppare una funzionalità di triage basata sui rischi per i team addetti alla sicurezza delle informazioni. Valutazione dei rischi per la vulnerabilità della sicurezza Gli annunci e la valutazione dei rischi e la creazione di prototipi possono aiutare le organizzazioni a sviluppare processi ripetibili di valutazione della sicurezza e di risposta.
-
Attenzione: l'efficacia di qualsiasi tecnica di mitigazione dipende dalle situazioni specifiche del cliente, come il mix di prodotti, la topologia di rete, il comportamento del traffico e la missione organizzativa. Come per qualsiasi modifica apportata alla configurazione, valutare l'impatto della configurazione prima di applicare la modifica.
CSRF non è facilmente distinguibile dalle richieste Web legittime, tuttavia alcuni prodotti Cisco possono fornire un certo livello di protezione dagli attacchi CSRF.
Il sistema Cisco IronPort Web Reputation Filters include la protezione dei siti remoti, il rilevamento di epidemie di URL e il filtro degli exploit che protegge gli utenti dagli exploit inviati tramite cross-site scripting (XSS), cross-site request forgery (CSRF), SQL injection o invisible iFrames. La potenza alla base della tecnologia di reputazione deriva dalle tecniche di valutazione basate su modelli del sistema e dalle capacità di scansione per oggetto. Per ulteriori informazioni, fare riferimento al sito Web Cisco IronPort Web Reputation Technology.
I criteri del firewall dell'applicazione Web ACE possono essere utilizzati per proteggere i sistemi dagli attacchi tramite script tra siti e richieste di falsificazione convalidando il campo cookie e referrer nell'intestazione HTTP. Per ulteriori informazioni, fare riferimento alla Guida introduttiva a Cisco ACE Web Application Firewall.
Cisco Intrusion Prevention System (IPS) fornisce protezione dagli attacchi CSRF. Nell'elenco seguente vengono fornite informazioni sulle firme IPS (Cisco IPS Signature Update version S704) che possono essere utilizzate per fronteggiare le recenti minacce CSRF (marzo 2013):
- 1398/00 - Vulnerabilità delle richieste incrociate di Microsoft Outlook Web Access
- 1881/00 - D-Link DSL-2640B Redpass.Cgi Cross Site Request Forgery Vulnerability
- 1930/0 - WordPress Cross Richiesta sito di falsificazione Vulnerabilità
-
IL PRESENTE DOCUMENTO VIENE FORNITO "COSÌ COM'È" E NON IMPLICA ALCUNA GARANZIA O CONCESSIONE, INCLUSE LE GARANZIA DI COMMERCIABILITÀ O IDONEITÀ PER UNO SCOPO SPECIFICO. L'UTILIZZO DA PARTE DELL'UTENTE DELLE INFORMAZIONI CONTENUTE NEL DOCUMENTO O NEI MATERIALI ACCESSIBILI DAL DOCUMENTO AVVIENE A PROPRIO RISCHIO. CISCO SI RISERVA IL DIRITTO DI MODIFICARE O AGGIORNARE IL PRESENTE DOCUMENTO IN QUALSIASI MOMENTO.
-
Mostra meno
-
Le informazioni complete sulla segnalazione delle vulnerabilità della sicurezza nei prodotti Cisco, su come ottenere assistenza in caso di incidenti relativi alla sicurezza e su come registrarsi per ricevere informazioni sulla sicurezza da Cisco, sono disponibili sul sito Web di Cisco all'indirizzo https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Ciò include istruzioni per le richieste della stampa relative agli avvisi di sicurezza Cisco. Tutti gli avvisi sulla sicurezza Cisco sono disponibili all'indirizzo http://www.cisco.com/go/psirt.
-
La vulnerabilità della sicurezza si applica alle seguenti combinazioni di prodotti.
Prodotti principali Cisco Cisco Web Security Appliance (WSA) 7.1 (.0, .1, .2, .3, .4) | 7,5 ( 0,0-000, 0,1-000) | 7,7 (0,000) Cisco Email Security Appliance (ESA) 7.1 (.0, .1, .2, .3, .4, .5) | 7.3 (0,0,1,2) | 7.5 (0,0,1,2) | 7.6 (.0, .1-000, .2) Cisco Content Security Management Appliance (SMA) 7.2 (.0, .1, .2) | 7.7 (0,0,1) | 7.9 (0,0,1)
Prodotti associati
-
IL PRESENTE DOCUMENTO VIENE FORNITO "COSÌ COM'È" E NON IMPLICA ALCUNA GARANZIA O CONCESSIONE, INCLUSE LE GARANZIA DI COMMERCIABILITÀ O IDONEITÀ PER UNO SCOPO SPECIFICO. L'UTILIZZO DA PARTE DELL'UTENTE DELLE INFORMAZIONI CONTENUTE NEL DOCUMENTO O NEI MATERIALI ACCESSIBILI DAL DOCUMENTO AVVIENE A PROPRIO RISCHIO. CISCO SI RISERVA IL DIRITTO DI MODIFICARE O AGGIORNARE GLI AVVISI IN QUALSIASI MOMENTO.
Una copia standalone o una parafrasi del testo di questo documento che omette l'URL di distribuzione è una copia non controllata e può non contenere informazioni importanti o contenere errori materiali. Le informazioni di questo documento sono destinate agli utenti finali dei prodotti Cisco