Có ba loại rủi ro khi cho phép việc tải tệp lên trên trang web của bạn:
Để tránh các loại tấn công liên qua đến tải tệp lên này, chúng tôi khuyên bạn nên thực hiện 10 phương pháp hay nhất sau:
1. Chỉ cho phép các loại tệp cụ thể. Bằng cách giới hạn danh sách các loại tệp được phép, bạn có thể tránh tải tệp thực thi, tập lệnh và nội dung độc hại tiềm ẩn khác lên ứng dụng của mình.
2. Xác minh các loại tệp. Ngoài việc hạn chế các loại tệp, điều quan trọng là phải đảm bảo rằng không có tệp nào ‘che giấu’ dưới dạng các loại tệp được phép. Chẳng hạn, nếu kẻ tấn công đổi tên .exe thành .docx và giải pháp của bạn hoàn toàn dựa vào phần mở rộng tệp, thì kẻ tấn công sẽ bypass kiểm tra của bạn dưới dạng tài liệu Word mà thực tế không phải vậy. Do đó, điều quan trọng là phải xác minh các loại tệp trước khi cho phép chúng được tải lên.
3. Quét phần mềm độc hại. Để giảm thiểu rủi ro, tất cả các tệp phải được quét phần mềm độc hại. Chúng tôi khuyên bạn nên quét nhiều tệp bằng nhiều công cụ chống phần mềm độc hại (sử dụng kết hợp các phương pháp phát hiện signature, phỏng đoán và học máy) để có được tỷ lệ phát hiện cao nhất và thời gian tiếp xúc với sự bùng phát phần mềm độc hại ngắn nhất.
4. Loại bỏ các mối đe dọa được nhúng có thể xảy ra. Các tệp như Microsoft Office, PDF và tệp hình ảnh có thể chứa các mối đe dọa nhúng trong các tập lệnh và macro ẩn mà các công cụ chống phần mềm độc hại không phải lúc nào cũng phát hiện được. Để loại bỏ rủi ro và đảm bảo rằng các tệp không chứa các mối đe dọa tiềm ẩn, cách tốt nhất là loại bỏ bất kỳ đối tượng nhúng nào có thể bằng cách sử dụng phương pháp được gọi là CDR (content to disarm and reconstruction).
5. Xác thực người dùng. Để tăng tính bảo mật, nên yêu cầu người dùng tự xác thực trước khi tải tệp lên. Tuy nhiên, điều đó không đảm bảo rằng máy của người dùng không bị xâm phạm.
6. Đặt độ dài tên tối đa và kích thước tệp tối đa. Đảm bảo đặt độ dài tên tối đa (hạn chế các ký tự được phép nếu có thể) và kích thước tệp để ngăn sự cố ngừng dịch vụ có thể xảy ra.
7. Ngẫu nhiên tên tệp đã tải lên. Thay đổi ngẫu nhiên tên tệp đã tải lên để kẻ tấn công không thể truy cập vào tệp có tên tệp mà chúng đã tải lên. Khi sử dụng Deep CDR, bạn có thể định cấu hình tệp đã khử trùng thành mã định danh ngẫu nhiên (ví dụ: data_id phân tích).
8. Lưu trữ các tệp đã tải lên bên ngoài thư mục gốc của web. Thư mục chứa tệp được tải lên phải nằm ngoài thư mục chung của trang web để kẻ tấn công không thể thực thi tệp qua URL đường dẫn được chỉ định.
9. Kiểm tra lỗ hổng trong tập tin. Đảm bảo rằng bạn kiểm tra các lỗ hổng trong tệp phần mềm và chương trình cơ sở trước khi chúng được tải lên.
10. Sử dụng các thông báo lỗi đơn giản. Khi hiển thị lỗi tải lên tệp, không bao gồm đường dẫn thư mục, cài đặt cấu hình máy chủ hoặc thông tin khác mà kẻ tấn công có thể sử dụng để xâm nhập thêm vào hệ thống của bạn.
OPSWAT cung cấp nhiều giải pháp cho File Upload Security với MetaDefender, một nền tảng ngăn chặn mối đe dọa nâng cao giúp ngăn chặn các cuộc tấn công tải lên tệp độc hại bằng cách sử dụng nhiều công cụ chống phần mềm độc hại, giải giáp và tái tạo nội dung (Deep CDR) cũng như đánh giá lỗ hổng. MetaDefender có thể được triển khai thông qua API hoặc với bất kỳ thiết bị mạng nào hỗ trợ ICAP như tường lửa ứng dụng web, bộ cân bằng tải và bộ điều khiển phân phối ứng dụng.
Nguồn: File Upload Protection – 10 Best Practices for Preventing Cyber Attacks
Xem thêm:
Cùng khám phá cách University Hospital Centre (CHU) của Saint Etienne tận dụng cơ sở hạ tầng Pure Storage để tăng dung lượng lưu trữ, cải thiện hiệu suất ứng dụng và hiện đại hóa bảo vệ dữ liệu. Về khách hàng CHU Saint-Etienne là một trong bốn bệnh viện đại học ở vùng Auvergne-Rhône-Alpes […]
![[Thông báo tuyển dụng] Sales, Presales, Account Manager](https://www.vietsunshine.com.vn/wp-content/uploads/2023/05/Tuyen-dung-06-270x150.png)
Do nhu cầu mở rộng kinh doanh, VietSunshine đang tìm kiếm các ứng viên phù hợp cho các vị trí: 1. Presales Mức lương từ $1000 trở lên Số lượng: 01 HN và 01 HCM Xem chi tiết: HCM: https://bit.ly/VSSHCM_presales HN: https://bit.ly/VSSHN_presales 2. Sales Mức lương từ 9 – 12 triệu + thưởng theo KPI […]
Các mạng đám mây (Cloud network) — đặc biệt là các mạng trải rộng trên cơ sở hạ tầng kết hợp hoặc đa đám mây — vốn đã phức tạp. Trong những ngày đầu của mạng đám mây, sự phức tạp này đã tạo ra một loạt thách thức mà các tổ chức phải vượt […]
