Il caricamento dei file è essenziale per la produttività degli utenti e per molti servizi e applicazioni aziendali. Ad esempio, il caricamento di file è una funzione importante per i sistemi di gestione dei contenuti, i portali sanitari, i siti assicurativi e le applicazioni di messaggistica. Man mano che le organizzazioni si spostano verso spazi di lavoro remoti e distanziati, diventa sempre più importante implementare misure per garantire la sicurezza del caricamento dei file, poiché lasciare il caricamento dei file senza restrizioni crea un vettore di attacco per gli attori malintenzionati.
Quali sono i rischi legati al caricamento dei file?
I rischi che si corrono quando si consente il caricamento di file sul proprio sito sono di tre tipi:
1. Attacchi alla vostra infrastruttura:
- Sovrascrittura di un file esistente - Se viene caricato un file con lo stesso nome ed estensione di un file esistente sul server, questo potrebbe sovrascrivere il file esistente. Se il file sovrascritto è un file critico (ad esempio, la sostituzione del file htaccess), il nuovo file può essere utilizzato per lanciare un attacco lato server. Ciò potrebbe causare l'interruzione del funzionamento del sito web o compromettere le impostazioni di sicurezza per consentire agli aggressori di caricare ulteriori file dannosi e sfruttare il sito per ottenere un riscatto.
- Contenuto dannoso - Se il file caricato contiene un exploit o un malware in grado di sfruttare una vulnerabilità nella gestione dei file lato server, il file potrebbe essere utilizzato per ottenere il controllo del server, causando gravi conseguenze commerciali e danni alla reputazione.
2. Attacchi ai vostri utenti:
- Contenuto dannoso - Se il file caricato contiene un exploit, un malware, uno script o una macro dannosi, il file potrebbe essere utilizzato per ottenere il controllo dei computer degli utenti infetti.
3. Interruzione del servizio:
- Il caricamento di un file estremamente grande potrebbe comportare un elevato consumo delle risorse dei server e interrompere il servizio per i vostri utenti.
Come prevenire gli attacchi di caricamento dei file
Per evitare questi tipi di attacchi di caricamento di file, consigliamo le seguenti dieci best practice:
1. Consenti solo determinati tipi di file. Limitando l'elenco dei tipi di file consentiti, puoi evitare che file eseguibili, script e altri contenuti potenzialmente dannosi vengano caricati sulla tua applicazione.
2. Verificare i tipi di file. Oltre a limitare i tipi di file, è importante assicurarsi che nessun file si “mascheri” come uno dei tipi consentiti. Ad esempio, se un malintenzionato rinominasse un file .exe in .docx e la vostra soluzione si basasse esclusivamente sull’estensione del file, il file supererebbe il controllo come documento Word, pur non essendolo in realtà. Pertanto, è importante verificare i tipi di file prima di consentirne il caricamento.
3. Eseguire una scansione alla ricerca di malware. Per ridurre al minimo i rischi, è necessario sottoporre tutti i file a una scansione alla ricerca di malware. Si consiglia di eseguire una scansione multipla dei file utilizzando diversi motori anti-malware (che combinino firme, metodi euristici e tecniche di rilevamento basate sull’apprendimento automatico), al fine di ottenere il massimo tasso di rilevamento e ridurre al minimo il periodo di esposizione alle minacce malware.
4. Rimuovere eventuali minacce incorporate. File quali quelli di Microsoft Office, PDF e immagini possono contenere minacce incorporate in script e macro nascosti che non sempre vengono rilevati dai motori anti-malware. Per eliminare il rischio e assicurarsi che i file non contengano minacce nascoste, è buona prassi rimuovere eventuali oggetti incorporati utilizzando una metodologia denominata “content disarm and reconstruction” (CDR).
5. Autenticazione degli utenti. Per aumentare la sicurezza, è buona norma richiedere agli utenti di autenticarsi prima di caricare un file. Tuttavia, ciò non garantisce che il computer dell'utente non sia stato compromesso.
6. Impostare una lunghezza massima del nome e una dimensione massima del file. Assicurarsi di impostare una lunghezza massima del nome (limitando, se possibile, i caratteri consentiti) e una dimensione massima del file per evitare un’eventuale interruzione del servizio.
7. Randomizzare i nomi dei file caricati. Modificare in modo casuale i nomi dei file caricati in modo che gli aggressori non possano tentare di accedere al file utilizzando il nome che hanno caricato. Quando si utilizza la tecnologia Deep CDR™, è possibile configurare il file depurato in modo che assuma un identificatore casuale (ad esempio, l’ID dati dell’analisi).
8. Salvare i file caricati al di fuori della cartella principale del sito web. La directory in cui vengono caricati i file deve trovarsi al di fuori della directory pubblica del sito web, in modo che gli aggressori non possano eseguire il file tramite l'URL del percorso assegnato.
9. Verificare la presenza di vulnerabilità nei file. Assicurarsi di verificare la presenza di vulnerabilità nei file di software e firmware prima che vengano caricati.
10. Utilizzate messaggi di errore semplici. Quando visualizzate gli errori relativi al caricamento dei file, non includete percorsi di directory, impostazioni di configurazione del server o altre informazioni che gli hacker potrebbero potenzialmente utilizzare per ottenere un ulteriore accesso ai vostri sistemi.
Blog: 13 best practice comprovate per la sicurezza delle applicazioni
Sicurezza del caricamento dei file da OPSWAT
OPSWAT offre diverse soluzioni per la sicurezza del caricamento dei file con MetaDefender, una piattaforma avanzata di prevenzione delle minacce che contribuisce a prevenire attacchi dannosi legati al caricamento di file utilizzando diversi motori anti-malware, la neutralizzazione e la ricostruzione dei contenuti (tecnologia Deep CDR™) e la valutazione delle vulnerabilità. MetaDefender può essere implementata tramite un API o con qualsiasi dispositivo di rete compatibile conICAP , come firewall per applicazioni web, bilanciatori di carico e controller di distribuzione delle applicazioni.
Vuoi saperne di più su come bloccare il caricamento di file dannosi? Leggi il nostro white paper “Come bloccare il caricamento di file dannosi con le API di OPSWAT ”.
