Наша база WAF и OWASP — объяснение

Безопасность не должна быть проектом, который начинают после запуска. На каждой среде Clonext управляемый файрвол веб-приложений и база, выстроенная по OWASP, включены с первого развёртывания — вот что это означает на практике.

Что блокирует WAF

На границе Google Cloud Armor проверяет каждый запрос до того, как он доберётся до вашего приложения, — управляемая политика на глобальном балансировщике Google, чтобы вашему коду никогда не приходилось быть последней линией обороны.

• Паттерны OWASP Top 10 — применяемый заслон против классических инъекций и XSS-нагрузок, плюс преднастроенные наборы правил OWASP, оценивающие каждый запрос.
• Лимиты на вход на границе и в приложении — повторные попытки входа блокируются раньше, чем станут перебором.
• Исключения, спроектированные по маршрутам, — платёжные вебхуки и расширенные редакторы продолжают работать; ничто не блокируется случайно.
• TLS с сертификатами под управлением Google и HSTS, на вашем собственном домене.

Хорошая база — это безопасность, которую вы получаете, не заводя под неё тикет.

OWASP — это пол, а не потолок

Стандарты OWASP дают общий чек-лист, но чек-лист — лишь отправная точка. Мы привязываем каждый контроль к чему-то конкретному в ядре — работе с сессиями, экранированию вывода, политике зависимостей — и проверяем это в сборке, вместо того чтобы верить, будто фреймворк сделал это за нас.

Настроено по средам

Поскольку каждая среда изолирована, мы можем настраивать правила под ваш трафик, не оглядываясь на соседей. Ложное срабатывание на вашем API чинится для вас — а не согласуется через общее размещение.

Полная картина edge — глобальный балансировщик, DNSSEC, вход по подтверждённой личности — в статье Google edge: как это устроено.