Posted inSecurity

Chống RCE và Injection bằng OpenRASP: Bảo vệ Web App từ bên trong không cần sửa code

Security tutorial - IT technology blog
Security tutorial - IT technology blog

Nỗi lo 0-day và giới hạn của WAF truyền thống

Vận hành hệ thống lớn, chắc hẳn anh em từng nếm trải cảm giác “thót tim” khi các lỗ hổng 0-day như Log4Shell hay Spring4Shell bùng nổ. Mình nhớ cuối năm 2021, lúc 11 giờ đêm, nhóm chat DevOps bỗng nổ tung vì Log4j. Cả team phải thức trắng đêm rà soát hàng trăm microservices. Việc nâng cấp thư viện, build lại image và deploy đồng loạt cực kỳ tốn sức và dễ sai sót.

Thực tế cho thấy Tường lửa ứng dụng web (WAF) thường bất lực trước các payload được mã hóa tinh vi. WAF chỉ đứng ở tầng network và soi dấu hiệu (signature). Nếu hacker tìm ra cách bypass mới, lớp phòng thủ này sẽ bị xuyên thủng ngay lập tức. Đó là lý do mình chuyển sang dùng RASP (Runtime Application Self-Protection). Trong đó, OpenRASP là công cụ mã nguồn mở hiếm hoi xử lý tốt vấn đề này mà không bắt anh em sửa một dòng code nào.

Cơ chế “nội gián” của OpenRASP có gì hay?

Khác với WAF đứng ngoài cổng như bảo vệ, RASP giống như hệ thống camera cảm biến lắp bên trong ngôi nhà. OpenRASP can thiệp trực tiếp vào môi trường thực thi (Runtime) như JVM, PHP Engine hay Node.js. Nó sử dụng kỹ thuật Instrumentation để “móc” (hook) vào các hàm nhạy cảm ở mức bytecode.

Về mặt kỹ thuật, khi ứng dụng gọi các hàm thực thi lệnh như Runtime.exec() hoặc truy vấn SQL, OpenRASP sẽ nhảy vào kiểm tra dữ liệu đầu vào. Nó không chỉ nhìn xem payload có gì, mà còn xem payload đó định làm gì. Nếu phát hiện hành vi bất thường, nó chặn đứng lệnh thực thi ngay tại chỗ.

Tại sao nên dùng OpenRASP?

  • Triển khai siêu tốc: Không cần động vào source code, chỉ thêm tham số khi khởi chạy.
  • Ít báo động giả: Do kiểm tra tại điểm thực thi cuối cùng, tỉ lệ False Positive thấp hơn WAF rất nhiều.
  • Chặn đứng 0-day: Bảo vệ dựa trên hành vi nên dù hacker dùng kỹ thuật mới, cứ đụng vào hàm nguy hiểm là bị tóm.

Hướng dẫn cài đặt OpenRASP Management Console

Để quản lý tập trung hàng chục Agent và soi log tấn công, anh em nên dựng server Management Console. Dùng Docker Compose là cách nhanh nhất để lên môi trường trong 5 phút.

Bước 1: Thiết lập môi trường

Tạo thư mục openrasp và file docker-compose.yml với nội dung sau:

version: '3'
services:
  mongodb:
    image: mongo:4.4
    container_name: openrasp-mongo
    volumes: ["./data/db:/data/db"]
  
  elasticsearch:
    image: elasticsearch:7.10.1
    container_name: openrasp-es
    environment:
      - discovery.type=single-node
      - "ES_JAVA_OPTS=-Xms512m -Xmx512m"

  openrasp-console:
    image: openrasp/cloud:latest
    container_name: openrasp-console
    ports: ["8086:8086"]
    depends_on: [mongodb, elasticsearch]
    environment:
      - BASE_URL=http://localhost:8086

Gõ lệnh docker-compose up -d để khởi động. Sau đó, truy cập http://your-ip:8086 với tài khoản admin/admin123. Anh em nhớ đổi pass ngay để tránh bị “gậy ông đập lưng ông”.

Tích hợp OpenRASP Agent vào ứng dụng Java

Sau khi có Console, chúng ta sẽ cài Agent cho App. Giả sử anh em có một ứng dụng Spring Boot chạy file JAR.

Bước 2: Lấy gói Agent

Trên giao diện Console, chọn Add Agent -> Java. Tải gói rasp-java.tar.gz về server chứa ứng dụng và giải nén.

tar -zxvf rasp-java.tar.gz
cd rasp-202x-xx-xx

Bước 3: Cấu hình kết nối

Mở file conf/openrasp.yml. Anh em điền chính xác cloud.address, cloud.app_id và cloud.app_secret lấy từ Console vào đây.

Bước 4: Kích hoạt Agent

Đây là bước quyết định. Thay vì chạy java -jar app.jar, anh em chèn thêm tham số -javaagent:

java -javaagent:/path/to/rasp/rasp.jar -jar your-app.jar

Quan sát log khởi động, nếu thấy dòng OpenRASP Engine Initialized tức là App của bạn đã được bảo vệ.

Kiểm chứng khả năng thực chiến

Muốn biết nó lợi hại thế nào, hãy thử kịch bản Command Injection. Giả sử app có tính năng thực hiện lệnh ping đến IP do người dùng nhập.

Hacker nhập: 127.0.0.1 && cat /etc/passwd

Bình thường, file passwd sẽ bị lộ. Nhưng với OpenRASP, ngay khi hàm ProcessBuilder nhận lệnh cat, nó sẽ chặn đứng và trả về lỗi 403. Trên Dashboard lúc này sẽ hiện cảnh báo đỏ kèm Stack Trace chi tiết. Dev nhìn vào là biết chính xác dòng code nào đang hở để fix ngay.

Kinh nghiệm xương máu khi chạy Production

Dù hiệu quả cao, nhưng khi đưa lên môi trường thật, anh em cần lưu ý 3 điểm sau:

  1. Chế độ Log-only: Tuần đầu tiên hãy để Block: false. Việc này giúp rà soát các tính năng đặc thù bị nhận nhầm là tấn công (False Positive).
  2. Độ trễ (Overhead): Việc hook vào hàm sẽ làm tăng độ trễ khoảng 3-5ms mỗi request. CPU có thể tăng thêm 3-5%. Với hệ thống High Frequency Trading thì cần cân nhắc, còn Web thông thường thì không thành vấn đề.
  3. Tự động hóa: Đừng cài thủ công. Hãy đưa Agent vào Dockerfile để khi scale-out, mọi container mới đều tự động có sẵn lớp giáp này.
# Dockerfile mẫu
FROM openjdk:11-jre-slim
COPY rasp /opt/rasp
COPY target/my-app.jar /app/my-app.jar
ENTRYPOINT ["java", "-javaagent:/opt/rasp/rasp.jar", "-jar", "/app/my-app.jar"]

Lời kết

OpenRASP không thay thế hoàn toàn được các biện pháp bảo mật khác. Tuy nhiên, nó là lớp phòng thủ cực mạnh cho các ứng dụng cũ (legacy) không còn nguồn lực để sửa code. Nó giúp mình ngủ ngon hơn mỗi khi có tin tức về lỗ hổng RCE mới. Anh em hãy triển khai thử trên Staging để cảm nhận sức mạnh nhé. Có vướng mắc gì cứ để lại comment, mình sẽ hỗ trợ!

Share:
Tags: