polityka bezpieczeństwa reguł

Polityka bezpieczeństwa reguł określa, jakie automatyczne przekierowania i filtry mogą tworzyć użytkownicy.

Zakres polityki bezpieczeństwa reguł przekierowań i filtrów

Polityka bezpieczeństwa reguł określa, jakie działania może wykonać reguła utworzona przez użytkownika oraz w jakich warunkach system ją zastosuje. Reguła może rozpoznawać między innymi adres URL, domenę, ścieżkę zasobu, port, metodę żądania HTTP, adres IP albo określony wzorzec tekstowy. Po spełnieniu warunku system może przekierować żądanie do innego adresu, zablokować je, zezwolić na dostęp lub zmodyfikować wybrane parametry obsługi. Sama możliwość wpisania reguły nie powinna oznaczać automatycznego prawa do wykonywania każdej operacji.

Bezpieczeństwo zależy od rozdzielenia warunku od działania oraz od ograniczenia zakresu reguły. Przekierowanie z jednego adresu na konkretny, zaufany adres jest łatwiejsze do kontroli niż przekierowanie zależne od danych przekazanych przez użytkownika. Szczególne ryzyko powstaje wtedy, gdy reguła pobiera docelowy adres z parametru żądania i przekazuje go bez sprawdzenia. Taki mechanizm może prowadzić do otwartego przekierowania, wykorzystanego do kierowania użytkowników na strony podszywające się pod prawidłowy serwis. Polityka powinna więc wymagać listy dozwolonych domen, poprawnego kodowania adresów oraz jednoznacznego określenia, czy reguła działa dla całej witryny, wybranej ścieżki, czy pojedynczego zasobu.

Kontrola kolejności, zakresu i kolizji reguł

Reguły są zwykle oceniane w określonej kolejności. Gdy pierwsza pasująca reguła kończy przetwarzanie, reguła znajdująca się niżej może już nie zostać wykonana. W innym modelu system przechodzi przez wszystkie pasujące wpisy i stosuje ostatnie działanie albo łączy działania według ustalonego priorytetu. Osoba konfigurująca filtr musi znać ten mechanizm, ponieważ szeroka reguła typu „wszystkie adresy w domenie” może przesłonić bardziej szczegółowy wyjątek dla konkretnej ścieżki. Bez kontroli kolejności łatwo uzyskać sytuację, w której dostęp do zasobu administracyjnego zostanie zablokowany albo ruch przeznaczony dla jednej domeny trafi do niewłaściwego celu.

Polityka powinna wymagać unikalnego identyfikatora reguły, opisu jej celu, właściciela konfiguracji i daty ostatniej zmiany. Przydatne jest również określenie priorytetu oraz jawne oznaczenie reguł tymczasowych. Filtry oparte na wyrażeniach regularnych należy ograniczać do niezbędnego zakresu. Wzorzec dopasowujący dowolny fragment adresu może objąć nieplanowane domeny lub ścieżki, a bardzo złożony wzorzec może obciążać procesor podczas obsługi wielu żądań. Bezpieczniejsza reguła wskazuje dokładny prefiks, pełną nazwę hosta albo zamknięty zbiór wartości, a wyjątki są umieszczone zgodnie z zasadami priorytetyzacji danego silnika.

Każdą zmianę warto sprawdzić na danych testowych obejmujących dopasowanie prawidłowe, brak dopasowania, wartości graniczne i próbę użycia niedozwolonego celu. Należy też zweryfikować, czy przekierowanie zachowuje właściwy schemat HTTP lub HTTPS, kod odpowiedzi i ścieżkę zapytania. Wielokrotne przekierowanie tego samego żądania może utworzyć pętlę, której przeglądarka nie zakończy prawidłowo. Test powinien obejmować również reguły sąsiednie, ponieważ nowy wpis może zmienić wynik istniejących filtrów.

Uprawnienia użytkowników i ślad zmian w konfiguracji

Polityka bezpieczeństwa reguł powinna rozdzielać tworzenie propozycji od ich publikowania. Użytkownik może przygotować filtr w zakresie przydzielonej mu domeny lub aplikacji, natomiast aktywacja reguły wpływającej na cały komputer, przeglądarkę albo wspólną konfigurację powinna wymagać dodatkowej kontroli. Uprawnienia trzeba wiązać z konkretnym zakresem zasobów, a nie tylko z ogólną rolą „użytkownika”. Osoba mająca prawo filtrować własną ścieżkę nie powinna przez to otrzymywać możliwości przechwytywania ruchu dla innych domen.

Bezpieczny system zapisuje autora, czas utworzenia, poprzednią wersję, nową wersję i wynik walidacji. Dziennik powinien wskazywać, czy reguła została zaakceptowana, odrzucona, wyłączona lub automatycznie wycofana po błędzie. Wpisy diagnostyczne nie powinny zawierać pełnych danych uwierzytelniających ani wrażliwych parametrów adresu. Jednocześnie log musi pozwalać ustalić, która reguła spowodowała przekierowanie lub blokadę. Do tego celu przydaje się identyfikator reguły umieszczany w komunikacie kontrolnym oraz możliwość odtworzenia aktywnej konfiguracji z określonego momentu.

Przed publikacją reguła powinna przejść walidację składni, sprawdzenie dozwolonych domen i adresów, wykrywanie konfliktów oraz kontrolę cykli przekierowań. Warto przewidzieć wersjonowanie i możliwość szybkiego wyłączenia pojedynczego wpisu bez usuwania całej konfiguracji. Reguły nieużywane przez określony czas powinny trafiać do przeglądu, ponieważ pozostawione wyjątki zwiększają trudność analizy i mogą nadal wpływać na ruch po zmianie struktury witryny.

Sprawdzanie działania reguł na laptopie i komputerze PC

Jeżeli filtr lub przekierowanie działa niezgodnie z założeniem, diagnostykę należy rozpocząć od ustalenia, gdzie reguła jest egzekwowana: w przeglądarce, rozszerzeniu, aplikacji ochronnej, lokalnym serwerze proxy, routerze czy usłudze obsługującej daną witrynę. Ten sam objaw, na przykład przejście na nieoczekiwany adres, może wynikać z aktywnej reguły, pamięci przekierowania w przeglądarce, wpisu DNS albo dodatku modyfikującego żądania. Trzeba porównać zachowanie w drugiej przeglądarce, w profilu bez rozszerzeń oraz po wyczyszczeniu pamięci podręcznej, a następnie sprawdzić aktywną listę reguł i ich kolejność.

Praktyczny test powinien rejestrować adres początkowy, kod odpowiedzi, adres docelowy, liczbę kolejnych przekierowań oraz informację, która reguła dopasowała żądanie. W przypadku filtrów blokujących należy sprawdzić zarówno zasób objęty zakazem, jak i podobny zasób, który powinien pozostać dostępny. Należy też przetestować adresy zawierające znaki kodowane, dodatkowe parametry i nietypową wielkość liter, jeżeli silnik dopasowania może traktować te wartości odmiennie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w ramach diagnostyki może sprawdzić lokalne źródła przekierowań oraz wpływ konfiguracji oprogramowania na dostęp do stron.

Po znalezieniu błędnej reguły warto najpierw ją wyłączyć lub przywrócić poprzednią wersję, a dopiero później przygotować poprawkę. Usunięcie wpisu bez zachowania jego identyfikatora i historii utrudnia ustalenie przyczyny problemu. Końcowa weryfikacja powinna potwierdzić, że dozwolone żądania działają, niedozwolone są filtrowane zgodnie z polityką, nie występuje pętla przekierowań, a logi wskazują właściwą regułę bez ujawniania niepotrzebnych danych.