Ana içeriğe geç

API Discovery Tarafından Bulunan Uç Noktalar için Otomatik BOLA Koruması 

Bu makale, API Discovery (APID) modülü tarafından bulunan uç noktalar için otomatik BOLA korumasını açıklamaktadır.

Diğer BOLA koruma önlemleri

Alternatif olarak veya ek olarak, BOLA korumasını tetikleyicilerle yapılandırabilirsiniz.

Overview

Behavioral attacks such as Broken Object Level Authorization (BOLA) exploit the vulnerability of the same name. This vulnerability allows an attacker to access an object by its identifier via an API request and either read or modify its data bypassing an authorization mechanism. This article instructs you on protecting your applications against BOLA attacks.

By default, Wallarm automatically discovers only vulnerabilities of the BOLA type (also known as IDOR) but does not detect its exploitation attempts.

BOLA protection restrictions

Only Wallarm node 4.2 and above supports BOLA attack detection.

Wallarm node 4.2 and above analyzes only the following requests for BOLA attack signs:

Requirements

To protect resources from BOLA attacks, make sure your environment meets the following requirements:

  • If the filtering node is deployed behind a proxy server or load balancer, configure displaying real clients' IP addresses.

Koruma Mantığı

Once BOLA protection is enabled, Wallarm:

  1. Identifies API endpoints that are most likely to be the target of BOLA attacks, e.g. those with variability in path parameters: domain.com/path1/path2/path3/{variative_path4}.

    This stage takes a period of time

    Identification of vulnerable API endpoints takes a period of time required for deep observation of discovered API inventory and incoming traffic trends.

    Only API endpoints explored by the API Discovery module are protected against BOLA attacks in the automated way. Protected endpoints are highlighted with the corresponding icon.

  2. Protects vulnerable API endpoints against BOLA attacks. The default protection logic is the following:

    • Requests to a vulnerable endpoint exceeding the 180 requests threshold from the same IP per minute are considered BOLA attacks.

    • Only register BOLA attacks in the event list when the threshold of requests from the same IP is reached. Wallarm does not block BOLA attacks. Requests will keep going to your applications.

      The corresponding reaction in the autoprotection template is Only register attacks.

  3. Reacts to changes in API by protecting new vulnerable endpoints and disabling protection for removed endpoints.

Yapılandırma

API Discovery gerekli

Otomatik BOLA koruması, API Discovery modülünü kullanıyorsanız mevcuttur.

Otomatik korumayı etkinleştirmek için, Wallarm Console → BOLA protection bölümüne gidin ve anahtarı etkin konuma getirin:

BOLA trigger

Ardından, BOLA otomatik algılama şablonunu aşağıdaki gibi düzenleyerek varsayılan Wallarm davranışını ince ayar yapabilirsiniz:

  • Aynı IP'den gelen isteklerin BOLA saldırıları olarak işaretlenmesi için eşiği değiştirin.

  • Eşik aşıldığında tepkiyi değiştirin:

    • Denylist IP - Wallarm, BOLA saldırı kaynağının IP'lerini denylist yapacak ve bu sayede bu IP'lerden gelen tüm trafiği engelleyecektir.
    • Graylist IP - Wallarm, BOLA saldırı kaynağının IP'lerini graylist yapacak ve bu sayede yalnızca zararlı istekleri, yalnızca filtreleme düğümü güvenli engelleme modunda ise engelleyecektir.

BOLA trigger

Devre Dışı Bırakma

Otomatik BOLA korumasını devre dışı bırakmak için, BOLA protection bölümünde anahtarı devre dışı konuma getirin.

API Discovery aboneliğiniz sona erdiğinde, otomatik BOLA koruması otomatik olarak devre dışı bırakılır.