Wyobra\u017a sobie: aplikacja dzia\u0142a, klienci s\u0105 zadowoleni, a Ty \u015bpisz spokojnie. Tymczasem gdzie\u015b w tle dane wyciekaj\u0105, a pieni\u0105dze znikaj\u0105 szybciej ni\u017c my\u015blisz. Nie chodzi tu o spektakularne w\u0142amania rodem z film\u00f3w \u2013 prawdziwe zagro\u017cenia s\u0105 ciche, subtelne i cz\u0119sto pozostaj\u0105 niezauwa\u017cone przez d\u0142ugie miesi\u0105ce.<\/p>\n
Jako osoba, kt\u00f3ra od lat audytuje systemy webowe, widz\u0119 ten schemat regularnie: firmy trac\u0105 dane i pieni\u0105dze nie przez z\u0142o\u015bliwych haker\u00f3w, ale przez w\u0142asne zaniedbania techniczne. To jak dziurawy dach \u2013 nie widzisz problemu, dop\u00f3ki nie zacznie la\u0107, a wtedy straty s\u0105 ju\u017c du\u017ce.<\/p>\n
Pami\u0119tam przypadek \u015bredniej wielko\u015bci sklepu e-commerce, kt\u00f3ry przez sze\u015b\u0107 miesi\u0119cy notowa\u0142 rosn\u0105ce koszty operacyjne. Zesp\u00f3\u0142 IT szuka\u0142 przyczyny na \u015blepo \u2013 wymieniali serwery, optymalizowali zapytania, a problem narasta\u0142.<\/p>\n
Dopiero dog\u0142\u0119bna analiza log\u00f3w ujawni\u0142a prawd\u0119: b\u0142\u0105d w konfiguracji systemu logowania powodowa\u0142, \u017ce cz\u0119\u015b\u0107 zdarze\u0144 (w tym pr\u00f3by nieautoryzowanego dost\u0119pu) nie by\u0142a rejestrowana. Z\u0142odzieje danych wykorzystali t\u0119 luk\u0119, kradn\u0105c dane kart kredytowych klient\u00f3w przez kilka miesi\u0119cy. Koszt? Ponad 200 tysi\u0119cy z\u0142otych na odszkodowania, odbudow\u0119 reputacji i audyty.<\/p>\n
Co robi\u0107?<\/strong> Regularnie audytuj logi \u2013 nie tylko pod k\u0105tem wydajno\u015bci, ale tak\u017ce sp\u00f3jno\u015bci. Je\u015bli logi pokazuj\u0105 luki czasowe lub brak zdarze\u0144, kt\u00f3re powinny wyst\u0105pi\u0107 (np. logowanie u\u017cytkownika), to czerwona flaga.<\/p>\n W jednej z platform SaaS, z kt\u00f3r\u0105 wsp\u00f3\u0142pracowa\u0142em, miesi\u0119czny rachunek za API zewn\u0119trzne wzr\u00f3s\u0142 z 500 do 15 000 z\u0142otych w ci\u0105gu trzech miesi\u0119cy. Nikt nie potrafi\u0142 wyja\u015bni\u0107 skoku. Okaza\u0142o si\u0119, \u017ce frontend wysy\u0142a\u0142 wielokrotnie te same zapytania do endpoint\u00f3w, bo deweloper zapomnia\u0142 zaimplementowa\u0107 cache\u2019owanie.<\/p>\n Efekt? Aplikacja dzia\u0142a\u0142a poprawnie, ale ka\u017cde od\u015bwie\u017cenie strony generowa\u0142o 50 dodatkowych wywo\u0142a\u0144 API po 0,01 z\u0142 ka\u017cde. Przy 10 000 u\u017cytkownik\u00f3w dziennie \u2013 5000 z\u0142 miesi\u0119cznie w b\u0142oto.<\/p>\n Jak to wykry\u0107?<\/strong> Monitoruj metryki API: liczb\u0119 wywo\u0142a\u0144, czas odpowiedzi, cz\u0119stotliwo\u015b\u0107 b\u0142\u0119d\u00f3w. Gwa\u0142towny wzrost koszt\u00f3w bez zmiany ruchu u\u017cytkownik\u00f3w to sygna\u0142 alarmowy. Wprowad\u017a te\u017c limity (rate limiting) i alerty \u2013 niech system powie Ci, gdy co\u015b jest nie tak.<\/p>\n To najtrudniejszy do wykrycia problem, bo najcz\u0119\u015bciej nie daje widocznych objaw\u00f3w. Wiele firm zak\u0142ada, \u017ce skoro u\u017cywa HTTPS, to wszystko jest bezpieczne. Tymczasem samo szyfrowanie transportu nie chroni danych w spoczynku (na serwerze) ani w trakcie przetwarzania.<\/p>\n Przyk\u0142ad z \u017cycia: startup medyczny przechowywa\u0142 dane pacjent\u00f3w w bazie PostgreSQL bez szyfrowania kolumn z danymi wra\u017cliwymi (PESEL, adresy). Atakuj\u0105cy, kt\u00f3ry zdoby\u0142 dost\u0119p do bazy przez luk\u0119 w panelu admina, m\u00f3g\u0142 odczyta\u0107 wszystko jak z ksi\u0105\u017cki. Firma dowiedzia\u0142a si\u0119 o wycieku dopiero po zg\u0142oszeniu przez pacjent\u00f3w \u2013 kilka milion\u00f3w z\u0142otych kary i utrata licencji.<\/p>\n Rozwi\u0105zanie:<\/strong> Zastosuj szyfrowanie end-to-end \u2013 nie tylko na poziomie transportu (TLS), ale te\u017c na poziomie bazy danych (np. pgcrypto w PostgreSQL). Regularnie testuj, czy dane wra\u017cliwe s\u0105 faktycznie zaszyfrowane, u\u017cywaj\u0105c skrypt\u00f3w penetracyjnych.<\/p>\n Strata danych to nie tylko koszt finansowy \u2013 to utrata zaufania klient\u00f3w, kt\u00f3ra mo\u017ce zniszczy\u0107 firm\u0119. Najgorsze jest to, \u017ce te trzy sygna\u0142y s\u0105 \u0142atwe do przeoczenia. Dlatego regularnie audytuj logi, monitoruj koszty API i sprawdzaj szyfrowanie danych wra\u017cliwych.<\/p>\n Je\u015bli prowadzisz firm\u0119 technologiczn\u0105 i nie masz pewno\u015bci, czy Twoja aplikacja jest bezpieczna \u2013 porozmawiajmy. Audyt bezpiecze\u0144stwa to inwestycja, kt\u00f3ra zwraca si\u0119 wielokrotnie. Tak jak w przypadku jednego z naszych klient\u00f3w, kt\u00f3ry po wykryciu dziury w logach zaoszcz\u0119dzi\u0142 100 000 z\u0142 rocznie.<\/p>\n Chcesz by\u0107 spokojny o dane swoje i klient\u00f3w? Daj zna\u0107 \u2013 pomo\u017cemy.<\/p>\n","protected":false},"excerpt":{"rendered":" 3 ciche sygna\u0142y, \u017ce Twoja aplikacja traci dane (i pieni\u0105dze) Wyobra\u017a sobie: aplikacja dzia\u0142a, klienci s\u0105 zadowoleni, a Ty \u015bpisz spokojnie. Tymczasem gdzie\u015b w tle dane wyciekaj\u0105, a pieni\u0105dze znikaj\u0105 szybciej ni\u017c my\u015blisz. Nie chodzi tu o spektakularne w\u0142amania rodem z film\u00f3w \u2013 prawdziwe zagro\u017cenia s\u0105 ciche, subtelne i cz\u0119sto pozostaj\u0105 niezauwa\u017cone przez d\u0142ugie miesi\u0105ce.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[52,354,116,9],"class_list":["post-2559","post","type-post","status-publish","format-standard","hentry","category-warto-wiedziec","tag-aplikacje-webowe","tag-bezpieczenstwo-danych","tag-bledy-it","tag-jurskitech"],"_links":{"self":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2559","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/comments?post=2559"}],"version-history":[{"count":0,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2559\/revisions"}],"wp:attachment":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/media?parent=2559"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/categories?post=2559"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/tags?post=2559"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}2. Niekontrolowane zapytania do API \u2013 ukryty drena\u017c finans\u00f3w<\/h2>\n
3. Niesymetryczne szyfrowanie danych \u2013 fa\u0142szywe poczucie bezpiecze\u0144stwa<\/h2>\n
Podsumowanie<\/h2>\n