この投稿では、一般的なセキュリティ、特にWebリソースに焦点を当てています。 意図的な攻撃に対する保護の主な問題は、それらに対する防御が不可能であることです。 新しいセキュリティシステムはそれぞれ、新しい脆弱性を作成します。 毎日、さまざまなソフトウェアバージョンで新しいホールが開かれています。その結果、セキュリティプロセスはホールに継続的にパッチを当てるプロセスです。 リソースのセキュリティを確保するスペシャリストの資格と熱意が潜在的なハッカーよりも多い場合、彼はこのマラソンでより速く走り、リソースのある種の「セキュリティ」について話すことができます。 それ以外の場合、管理者は自分の間違いから学ぶ必要があります。
このような状況全体が、このITセキュリティ自体に関するITセキュリティの問題に未熟な人々を懐疑的にさせてきました。 多くの場合、情報を保護するための新しいテクノロジーや製品への投資は無駄であるという意見を耳にします。なぜなら、保護が破られても新しいものも例外ではないからです。
この状況から、 今日の未知の脆弱性からシステムを保護するという点で、従来のセキュリティとは根本的に異なる、セキュリティを確保するための根本的に新しいアプローチについて考えさせられました 。 この考えはばかげているように見えるかもしれませんが、一見しただけです。 インターネットへの攻撃の背後には、あなたと私と同じ人物がいることを思い出すだけで十分です。 オンライン攻撃は、標的を絞ったアクションとフィードバックの組み合わせです。 これは、攻撃者のアプリオリ情報および調査中に取得した情報に基づいています。 しかし、この情報を虚偽にするのに複雑なことは何もありません。 そして、これは単なる誤報ではなく、 システムを研究から守ることです 。
それが何であるかを理解するために、あなたは人が彼の周りの世界についての情報をどのように受け取るかを想像しなければなりません。 情報は基本的に特定のカテゴリ（分類）に属し、一部のパラメーター（ステレオタイプスキーム）の観点からのみ現実に対応できます。 読者にハイテク用語をロードさせないために、簡単な例を示します。 たとえば、椅子があります。 一般的に受け入れられている椅子のステレオタイプがあります-4本の脚、それらの上には特定の表面と椅子の背面があります。 誰もが彼を認識し、これが「椅子」であることを確実に言うでしょう。 しかし、脚、表面、背部なしで根本的に異なるものにした場合（たとえば、最初の柔らかい形のない椅子）、同じ機能を実行しますが、誰もそれを椅子と呼びません。 認識できないほどオブジェクトを変更することにより、機能的な目的を隠すことができます。 また、機能的な目的を隠すことで、特定のアクティビティやビジネスプロセス全体を隠すことができます。 ロシアには、イベントや企業全体の活動の「隠蔽」に長い間従事していると主張する人がいます！ しかし、私はこれを実際には見ませんでした。また、普通のオブジェクトを認識できないほど修正する方法を知りません。 しかし、IT業界は、ソフトウェアで好きなものを書くことができるため、そのような活動に適した基盤を提供してくれます。
そして、 システム研究に対する保護の技術が生まれました。それは、プロセスの目的関数の観点からは意味のないいくつかのパラメーターを導入することにより、標準プロセスからユニークなものを作ることを可能にします。 これにより、コンピューティングリソース（「一意性」を作成するリソース）にわずかな追加の負荷がかかりますが、一方で、セキュリティの観点から主要なタスクを実行します。 システムを調査するために、攻撃者はいくつかの追加の前提条件に依存する必要がありますが、これも正しくないため、システムが外部の観測者にとって完全なカオス状態になります。 同時に、システムのターゲット機能は変更されませんが、左へのステップ、右へのステップ-そして何も明確ではありません...
これは実際にどのように起こりますか？ 攻撃者は、SQLインジェクションの脆弱性についてサイトをチェックしようとしています。簡単にするために、引用符または... id = 1 + 1のような式を入力し、何が起こっているのかを調べます。 そして信じられない！ -システムは数字を合計し、id = 2でページを表示します。 結論は、SQLインジェクションの脆弱性が公開されているということです。 ただし、データベースから情報を取得しようとすると、システムが何らかの形で奇妙な情報を表示し、入力されたパラメーターに不適切に応答することがわかります。 しばらくして、彼は新しい依存関係を見つけましたが、それもまた真実ではないことに気付き、無意味な研究プロセスを続けています。
Reflexion Web（反射Web）プロジェクトによって開発されたモジュールは、この原則に従って機能します。 PRIS Mirrorモジュールの操作スキームを図に示します。
$ _GET配列と$ _POST配列の値をインターセプトし、システムの一意性のカスタマイズ可能な概念を考慮して、「通常のユーザー」が入力できないものをフィルターに掛けて要求を実行します。 その結果、潜在的に攻撃者がすでに実際に監視されていると疑うことなく立ち往生する、脆弱性の広大なスペースを作成します。 監視に関しては、この技術は既に知られているHoneyPotシステムに似ていますが、監視がモジュールの主要なタスクではないという点で後者とは根本的に異なります。 主なタスクは、各システムの機能プロセスを根本的に異なるものにし、それによってこれまでは不可能だった残留リスクを減らすことです。
この段階では、プロジェクトは公開されており、開発における新しいアイデア、提案、支援を歓迎します！