Lakukan Penyaringan Lapisan Aplikasi
Deskripsi
Lakukan penyaringan lapisan aplikasi. Contoh implementasi termasuk proxy penyaring, firewall lapisan aplikasi, atau gateway.
Daftar Periksa Implementasi
Rekomendasi Alat
Secure web gateway cloud-native dengan inspeksi inline, penyaringan URL, sandboxing, dan DLP untuk lalu lintas web
Zscaler · Langganan per pengguna
Platform DLP dan CASB cloud-native yang menyediakan perlindungan data inline untuk SaaS, IaaS, web, dan endpoint
Netskope · Langganan per pengguna
Platform firewall generasi baru dengan kebijakan sadar aplikasi, pencegahan ancaman, penyaringan URL, dan SD-WAN
Palo Alto Networks · Perangkat + langganan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Serangan Lapisan Aplikasi Melewati Aturan Firewall Berbasis Port
IntegrityPenyerang mengirimkan eksploit aplikasi web melalui port 443 yang diizinkan firewall packet-filtering tradisional, karena tidak ada penyaringan lapisan aplikasi yang memeriksa konten permintaan HTTP untuk payload berbahaya.
Eksfiltrasi Data yang Di-tunnel Melalui Protokol Aplikasi yang Diizinkan
ConfidentialityPenyerang men-tunnel eksfiltrasi data melalui kueri DNS atau lalu lintas HTTPS yang diizinkan firewall berbasis port, berhasil karena tidak ada inspeksi lapisan aplikasi yang mengidentifikasi saluran terselubung.
Unggahan File Berbahaya melalui Lalu Lintas Web yang Diizinkan
IntegrityPenyerang mengunggah web shell ke server melalui permintaan HTTP POST yang sah yang melewati firewall jaringan, karena tidak ada penyaringan Layer 7 atau WAF yang memeriksa konten lalu lintas yang diizinkan.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Deep Packet Inspection di Lapisan Aplikasi
Tanpa penyaringan lapisan aplikasi, kontrol keamanan jaringan hanya mengevaluasi lalu lintas di lapisan transport, memungkinkan semua bentuk serangan tingkat aplikasi yang menggunakan port dan protokol yang diizinkan.
Ketidakmampuan Mendeteksi Penyalahgunaan Protokol dan Tunneling
Ketiadaan inspeksi Layer 7 berarti penyerang dapat menyalahgunakan protokol yang sah untuk komunikasi command-and-control, eksfiltrasi data, dan saluran terselubung tanpa terdeteksi.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Ekspor kumpulan aturan firewall dan dokumentasi peninjauan | Ditinjau setiap kuartal |
| Catatan | Catatan permintaan perubahan dan persetujuan firewall | Setiap perubahan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |