Выбор ответа Middle OWASP Top 10 и API Top 10 обновлено
WAF вместо исправления
Вопрос
Команда предлагает не исправлять найденную SQL-инъекцию, а включить правило WAF. Что верно?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: WAF может временно снизить риск, но правила обходят, а уязвимость остаётся в коде. WAF работает по сигнатурам и эвристикам, их обходят кодировками и нестандартным синтаксисом.
Варианты ответа
- WAF полностью закрывает уязвимость: запросы с инъекцией просто не дойдут до приложения
- WAF может временно снизить риск, но правила обходят, а уязвимость остаётся в кодеправильный ответ
- WAF бесполезен против SQL-инъекций, он рассчитан только на XSS и DDoS
- Исправлять не нужно, если инъекция во внутреннем сервисе за WAF и VPN
Разбор
WAF работает по сигнатурам и эвристикам, их обходят кодировками и нестандартным синтаксисом. Это хорошая временная мера (виртуальный патч), пока выходит исправление. Совсем бесполезным WAF не назвать. Внутренние сервисы тоже атакуют, например после компрометации соседнего узла или через SSRF.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «OWASP Top 10 и API Top 10»
- Первое место OWASP Top 10
- BOLA в API
- Unrestricted Resource Consumption
- Зачем ASVS
- BFLA
- CWE и CVE
- OWASP API Top 10 2023
- Базовые принципы защиты