Защита загрузки файлов – 10 лучших практик для предотвращения кибератак

По мере использования в организациях удаленной и дистанционной формы работы сотрудников становится все более важным реализовать меры по обеспечению безопасности загрузки файлов, поскольку неограниченная загрузка файлов создает вектор атаки для злоумышленников.

Какие риски связаны с загрузкой файлов?

1. Атаки на вашу ИТ-инфраструктуру:Перезапись существующего файла. Если файл загружается с тем же именем и расширением, что и существующий файл на сервере, это может привести к перезаписи существующего файла. Если файл, который был перезаписан, является критическим (например, файл замены htaccess), новый файл потенциально может быть использован для запуска атаки на стороне сервера. Это может привести к тому, что веб-сайт перестанет функционировать, или может поставить под угрозу настройки безопасности, позволяя злоумышленникам загружать дополнительные вредоносные файлы и использовать вас с целью получения выкупа. Вредоносный контент. Если загруженный файл содержит эксплойт или вредоносное ПО, которое может использовать уязвимость в обработке файлов на стороне сервера, файл может быть использован для получения контроля над сервером, что приведет к серьезным последствиям для бизнеса и ущербу репутации.
2. Атаки на ваших пользователей: Вредоносный контент. Если загруженный файл содержит эксплойт, вредоносное ПО, вредоносный скрипт или макрос, файл может быть использован для получения контроля над компьютерами зараженных пользователей.
3. Перебои в обслуживании пользователей: Если загружается файл очень большого размера, это может привести к высокому потреблению ресурсов серверов и перебоям в обслуживании пользователей.

Как предотвратить кибератаки, связанные с загрузкой файлов? 10 лучших практик от OPSWAT.

1. Разрешить только определенные типы файлов. Ограничив список разрешенных типов файлов, можно избежать загрузки в приложение исполняемых файлов, скриптов и другого потенциально вредоносного содержимого.
2. Проверять типы файлов. Помимо ограничения типов файлов, важно убедиться, что файлы не "маскируются" под разрешенные типы. Например, если злоумышленник переименует .exe в .docx, а ваше решение будет полностью опираться на расширение файла, то он обойдет вашу проверку как документ Word, которым он на самом деле не является. Поэтому важно проверять типы файлов перед тем, как разрешить их загрузку.
3. Сканировать на наличие вредоносных программ. Чтобы минимизировать риск, все файлы должны быть проверены на наличие вредоносного ПО. Рекомендуем проверять файлы несколькими средствами защиты от вредоносного ПО (с использованием комбинации сигнатур, эвристики и методов машинного обучения), чтобы получить максимальный процент обнаружения и сократить время воздействия вредоносных программ.
4. Удалить возможные встроенные угрозы. Такие файлы, как Microsoft Office, PDF и файлы изображений, могут содержать встроенные угрозы в виде скрытых скриптов и макросов, которые не всегда обнаруживаются средствами защиты от вредоносного ПО. Чтобы снизить риск и убедиться в том, что файлы не содержат скрытых угроз, лучше всего удалить все возможные встроенные объекты с помощью методики, которая называется "Content Disarm & Reconstruction" (CDR).
5. Аутентифицировать пользователей. Для повышения уровня безопасности рекомендуется запрашивать у пользователей аутентификации перед загрузкой файла. Однако это не гарантирует, что сама машина пользователя не была скомпрометирована.
6. Установить максимальную длину имени и максимальный размер файла. Обязательно установите максимальную длину имени (по возможности ограничьте допустимые символы) и размер файла, чтобы предотвратить возможные перебои в работе системы.
7. Случайно изменять имена загружаемых файлов. Случайным образом изменяйте имена загружаемых файлов, чтобы злоумышленники не могли попытаться получить доступ к файлу с тем именем, которое они загрузили. При использовании Deep CDR можно сконфигурировать санируемый файл как случайный идентификатор (например, data_id анализа).
8. Хранить загружаемые файлы вне корневой папки сайта. Каталог, в который загружаются файлы, должен находиться вне общедоступного каталога сайта, чтобы злоумышленники не могли выполнить файл по назначенному пути URL.
9. Проверять файлы на наличие уязвимостей. Обязательно проверяйте на наличие уязвимостей файлы программного обеспечения и прошивки перед их загрузкой.
10. Использовать простые сообщения об ошибках. При отображении ошибок загрузки файлов не следует указывать пути к каталогам, параметры конфигурации сервера или другую информацию, которая может быть использована злоумышленниками для дальнейшего проникновения в систему.

Обращайтесь за персональной консультацией по решениям OPSWAT и с запросами на проведение пилотных проектов – к специалистам Softprom.

Softprom – Value Added Distributor компании OPSWAT.