Банка помогна за създаването на инструмент, защитаващ уязвими приложения

Когато друг не ти помага, най-добре ти сам да си помогнеш. Такава изглежда ситуацията с лондонския офис на Deutsche Bank, които заедно със специалистите от компания за инфозащита създали полезен инструмент, който да открива уязвимите Java приложения в системите на банката и да ги обновява, така че те да не представляват потенциален вектор за атака.

Deutsche Bank AG London, подобно на всяко сериозно предприятие, управлява системи, на които са инсталирани десетки и стотици приложения, които се базират на различни версии на Java, много от които са остарели и трудно биха могли да бъдат обновени и настроени така че да бъдат съобразени с последната версия на платформата.

Идеята за създаването на инструмент, който заема позиция преди приложението и помага за засичането и предотвратяването на атаките, както и да налага обновления по сигурността, дошла след проведен одит на сигурността на приложенията, които се ползват от системите на компанията.

„Открихме най-различни версии на Java, които се ползват в банковата инфраструктура“, споделя пред Dark Reading Хюсеин Бадакчани, вицепрезидент на Deutsche Bank London. Идеята на хората от банката и специалистите от Waratek – спомената компания за защита – е била да създадат инструмент, който да превърне техните приложения – от приложенията за разплащане до тези, които отговарят за обучението на служителите – в PaaS (platform-as-a-service ) решение, основаващо се на Java Virtual Machine (JVM). „Искахме да създадем една автоматизирана и лесна за управление услуга за нашите приложения“, разказва Бадакчани.

Това, което двете компании създали било решение, което използвало специфичен подход за самозащита или Runtime Application Self Protection (RASP) инструмент, който успява да засече и блокира атаки, като функционира в операционната среда (runtime environment) на приложението.

Особен проблем, по думите на Бадакчани, се явява не толкова налагането на обновленията към всички платформи и приложения, но по-скоро непредвидените ъпдейти, които излизат при откриването на zero-day уязвимости. Но с RASP подхода, който са започнали да ползват в банката, нещата са се променили към добро, разказва Бадакчани.

„Когато трябва да се грижиш за сигурността на 600 бизнес приложения и да запушваш всяка уязвимост, обемът на работа, даже в стандартни ситуации, изисква отделянето на сериозни финансови ресурси, като тук освен това влизат и усилията по наемане на специализирани екипи, които имат за цел декодирането на пачовете“, обяснява той.

Технологията създадена от Deutsche Bank AG London и Waratek беше представена вчера на конференцията Oracle JavaOne, която се провежда в Сан Франциско.