Security analysis of a web application for accessing the critical data storage system
Authors: Вульфин А.М. 
Published: July 2024

В работе рассматривается проблема обеспечения защищенного доступа с помощью веб-приложения к существующей базе данных, содержащей критически важную информацию о параметрах жизненного цикла сложных технических изделий. На основе анализа документа международной организации Web Application Security Consortium (WASC) «The WASC Threat Classification v2.0» выделены возможные атаки на веб-приложение, выступающее в качестве однонаправленной прослойки доступа к базе данных, эксплуатирующие потенциальные уязвимости (недостатки аутентификации, недостатки авторизации, атаки на стороне клиента, выполнение вредоносного кода на стороне сервера), разработан комплекс контрмер применительно к архитектуре веб-приложения. Разработана схема, описывающая контрмеры применительно к Model-View-Controller архитектуре web-приложения. Представлена диаграмма первого уровня декомпозиции функциональной модели работы веб-приложения. Для обеспечения безопасности на уровне сети модернизирована базовая архитектура сети предприятия с демилитаризованной зоной и соответствующей конфигурацией межсетевых экранов. Для оценки защищенности использованы внутренние метрики защищенности программного обеспечения, а также использована методика анализа рисков кибербезопасности на основе нечетких серых когнитивных карт, позволившая количественно оценить снижение относительно риска нарушения целостности накапливаемых данных в 3,5 раза. Рассмотрены четыре сценария воздействия злоумышленника: без использования дополнительных контрмер, применение архитектурной организации веб-приложения прослойки, учитывающего основные паттерны обеспечения кибербезопасности, применение Web-application Firewall (WAF), применение архитектурной организации приложения и WAF.

The paper deals with the issue of providing secure access using a web application to an existing database containing critical information about the parameters of complex technical products life cycle. Based on the analysis of the document of the international organization Web Application Security Consortium (WASC) "The WASC Threat Classification v2.0", possible attacks on a web application, acting as a unidirectional layer of access to the database, exploiting potential vulnerabilities (authentication flaws, authorization flaws, client-side attacks, execution of malicious code on the server-side) have been highlighted and a set of countermeasures has been devised in relation to the architecture of a web application. A pattern has been developed that describes countermeasures concerning the Model-View-Controller architecture of a web application. The diagram of the first level of the web application functional model decomposition is presented. To ensure security at the network level, the basic architecture of the enterprise network with a demilitarized zone and the corresponding configuration of firewalls has been modernized. To assess the security, the internal metrics of software security were utilized, and the cybersecurity risk analysis method by means of fuzzy gray cognitive maps was applied which made it possible to quantitatively assess the reduction with regard to the risk of the accumulated data integrity violation by 3.5 times. Four scenarios of the attacker's impact are considered: without the use of additional countermeasures, the use of the web application layer architectural organization, which takes into account the main patterns of cybersecurity, the use of the Web-application Firewall (WAF), the use of the application architectural organization, and WAF.