АНАЛІЗ ПРОБЛЕМИ SQL-ІНЄКЦІЙ В ВЕБ-ЗАСТОСУНКАХ - Терещенко, Катерина; Терещенко, Тетяна; Черниш , Юлія; Штонда, Роман; Бокій, Олена (Електронне фахове наукове видання «Кібербезпека: освіта, наука, техніка», 2024)
Використання веб-додатків наділяє виробничі та бізнес-процеси новими якостями, перш за все такими як: висока мобільність бізнесу; доступність сервісів; безперервність бізнес-процесів; масштабованість одержуваного ефекту тощо. Враховуючи всі ці обставини, питання забезпечення інформаційної безпеки при обробці та зберіганні персоніфікованої та “чутливої” корпоративної інформації, зберігають найвищий пріоритет і є вкрай актуальним напрямом діяльності, як для спеціалістів відповідних підрозділів компаній (відділів та служб інформаційної безпеки), так і для профільних фахівців галузі інформаційної безпеки. SQL-ін’єкція – одна з найпоширеніших технік злому програм та веб-сайтів, що працюють з різними базами даних. Атака, як правило, проводиться на основі впровадження в різні типи запитів некоректних SQL операторів, що дозволяє зловмиснику отримати практично повний несанкціонований доступ до відповідної бази даних, локальних файлів, а також можливість віддаленого виконання довільних операцій на сервері. Крім того, SQL-атаки часто є результатом неекранованого введення, що передається сайту і використовується як частина запиту до бази даних. У статті наведено короткий огляд відомих технік злому програм і веб-сайтів, що працюють з базами даних. На основі проведеного аналізу основних різновидів SQL-атак виділено найбільш серйозні типи загроз. Звернуто увагу на необхідність періодичного тестування та моніторингу веб-сайтів, що є актуальним засобом захисту від SQL-ін’єкцій. Відзначено, що найкращий метод тестування – спроба піддати код SQL-ін’єкції. Розглянуті способи захисту здатні підвищити загальний рівень безпеки програмних продуктів від атак типу “SQL-ін’єкція”, забезпечують коректну роботу додатків та цілісність даних користувача. Розглянуто використання методів і засобів тестування веб-додатків на стійкість до атак відмови в обслуговуванні (DoS-атак). Підхід, що відображений в статті надасть можливість виявляти вразливості та потенційні загрози, які можуть бути використані зловмисниками для несанкціонованого доступу до веб-ресурсів