Часть 2. Одно дело про WAF говорить – другое дело WAF считать!

Все эти риски и возможность их реализации, а также необходимость защитных инструментов понятны тем, кто занимается информационной безопасностью и IT, но нужно же идею донести и до тех у кого финансы и бюджеты. А вот это, зачастую, нетривиальная задача. Первый шаг - провести анализ опубликованных приложений, планируемых к защите относительно классической свойств информации и совместно с бизнесом ответить на следующий вопросы:

• Что будет, если анализируемое приложение не будет работать несколько часов? (Нарушение доступности)

• Что будет, если данные, содержащиеся в приложении «утекут»? (Нарушение конфиденциальности)

• Что будет, если приложение подвергнется дефейсу? (Нарушение целостности)

• Что будет, если в результате атаки, будут, например, «сломаны» интеграции со смежными системами, например управления складскими запасами и тд? (Нарушение доступности)

Получается, что WAF хоть и является средством защиты информации, однако плотно связан с инфраструктурной частью функциями балансировки уровня L3, L4, а также DNS-балансировкой. А если учитывать IaC, место и роль защиты приложений вырастает кратно. Вот все эти описанные риски нарушения свойств информации можно перевести в материальные затраты. 

Ориентировочная формула (в каждой отрасли могут добавляться или убираться определенные компоненты) для расчета затрат выглядит следующим образом:

Где ПНП - прямая недополученная прибыль, АО - амортизация оборудования (транспорт, станки, аренда помещений), НК - неустойки контрагентам, ПП - простой персонала, Ш - штрафы от регулятора, О - потенциальный отток покупателей/контрагентов.

Предположим, один час простоя интернет-магазина приводит к недополученной прибыли 500 тыс. рублей, а утечка данных клиентов приведет к их оттоку и снижению прибыли на 1 млн в год. Таким образом, простой интернет-магазина длительностью три часа (а по практике, это может длиться дольше), сопряженный с утечкой данных, приведет к ущербу 2,5 млн. При этом, атака на сайт может повторяться с достаточной регулярностью и по разным векторам. 

Можно считать со средней вероятностью 3-х кратное повторение атаки в разных исполнениях за год, а 1 атаку с высокой вероятностью успеха. Таким образом вероятный ущерб можно верхнеуровнего оценить по такой формуле: 2,5+2,5*3\2. Это и будет пороговым значением бюджета для решения по защите такого веб-ресурса.

Теперь, когда мы определились в каких границах должен быть бюджет, нужно разобраться в вариантах поставки и внедрения. Не будет сюрпризом, что каждый из них имеет свои плюсы и минусы:

- on-premise, когда WAF внедряется внутри условного периметра компании. Главный плюс, определяемый заказчиками – управление собственными силами, минимизация вероятности атаки через цепочку поставщиков. Минусы – необходимость обучения и удержания персонала, отсутствие достаточной экспертизы, затраты на мощности для развертывания решения.

- MSSP, когда WAF находится в облаке и предоставляется в «аренду» сторонним провайдером, им же и управляется. Основные плюсы – соблюдение SLA, наличие экспертизы, возможность увеличения мощностей в случае необходимости. Минусы – отсутствие вовлеченности в процесс защиты приложений, возможность атаки через цепочку поставщиков, заказчик не контролирует процесс настройки политик, необходимость предоставления SSL-сертификатов провайдеру для расшифровки трафика.

- SECaaS, подобен MSSP, но управление производится компанией-заказчиком. Плюсы – отсутствие капитальных затрат, управление производится своими силами, есть возможность получить поддержку от производителя в сложной ситуации. Минусы здесь условные – зависимость управляемости решения от функционирования облачных мощностей производителя.

Померить веса этих потребностей можно по методике, которую когда-то делал для сравнений SIEM.

А для того, чтобы можно было эти показатели приблизить к понятиям операционных (OPEX) и капитальных затрат (CAPEX) ниже небольшая таблица.

Таблица. Сравнение вариантов внедрения WAF

Выбор формы затрат (CAPEX – капительные затраты или OPEX – операционные затраты) зависит от политики компании, которая планирует внедрять WAF, т.к. обе формы затрат имеют свои преимущества и недостатки, и итоговое решение зависит в основном от системы финансового планирования компании. К примеру, если вы в бюджетном учреждении – то рост операционных затрат – это почти всегда особо контролируемая статья, а для растущих компаний капитальные затраты могут стать сигналом об инвестициях и росту стоимости компании. В общем тут нужно понимать именно внутри, как правильно, как удобно и как принято.

Все об API Security, Web Security. Еще немного про уязвимости и технические изыскания команды Вебмониторэкс. Никакой рекламы. Только полезные материалы. https://t.me/WMXWAS