Falšovanie žiadostí medzi stránkami (CSRF)

Cross-Site Request Forgery (CSRF) , tiež známy ako XSRF, je metóda útoku, ktorá oklame webový prehliadač a prinúti ho vykonať nechcené akcie v používateľskej aplikácii. Podobne ako phishingové útoky sa CSRF zvyčajne spravujú pomocou škodlivého sociálneho inžinierstva , ako je e-mail alebo odkaz, ktorý oklame obeť a prinúti ju odoslať sfalšovanú požiadavku na server. Keďže nič netušiaci používateľ je v čase útoku overený svojou aplikáciou, je takmer nemožné rozlíšiť legitímnu požiadavku od sfalšovanej. Úspešný útok CSRF môže byť zničujúci pre firmu aj používateľa. Môže viesť k poškodeniu obchodných vzťahov, neoprávneným prevodom peňazí, zmene hesiel a krádeži údajov. V závislosti od povahy útoku CSRF môže hacker získať plnú kontrolu nad používateľským účtom. Ak má napadnutý používateľ privilegovaný (administrátorský) účet v aplikácii, útočník by mohol získať plnú kontrolu nad všetkými údajmi a funkciami aplikácie.

Zdroj: Imperva , PortSwigger

Doplňujúce čítanie: Google a Mozilla pripravujú základy pre „svet po XSS“

Súvisiace pojmy: Útok na únos relácie

Čo to znamená pre malé a stredné podniky?

Malé a stredné podniky (MSP) môžu prijať množstvo preventívnych opatrení, ktoré pomôžu predchádzať útokom CSRF a chrániť svojich zamestnancov pred nimi. Z pohľadu používateľa je prevencia otázkou ochrany prihlasovacích údajov a zabránenia neoprávneným osobám v prístupe k aplikáciám.

Medzi osvedčené postupy pre zamestnancov patria:

• Odhlásenie z webových aplikácií, keď sa nepoužívajú
• Zabezpečenie používateľských mien a heslá s heslami s dĺžkou viac ako 14 znakov uloženými v Správca hesiel
• Nedovolenie prehliadačom zapamätať si heslá

Najlepšie postupy pre spoločnosti vyvíjajúce kód:

• Pravidelne spúšťajte svoj vývojový kód dynamický a statický kód analytické nástroje na identifikáciu bezpečnostných problémov, ktoré je potrebné riešiť.
• Zvážte najatie firmy zaoberajúcej sa testovaním bezpečnosti aplikácií, ktorá vykoná „fuzzing aplikácie„vaša aplikácia na prítomnosť bezpečnostných zraniteľností.“
• Školte svojich vývojárov v oblasti 10 najčastejších programátorských chýb podľa OWASP vytvorené vývojármi.

Ak sa chcete dozvedieť viac o CSRF, pozrite si toto krátke video:

Robíte dosť pre ochranu svojho podnikania?

Zaregistrujte sa ešte dnes na CyberHoot a spite lepšie s vedomím svojho...

Zamestnanci sú vyškolení v oblasti kybernetickej bezpečnosti a sú v strehu!

Zaregistrujte sa ešte dnes!