SQL injekcija: Kada jednostavan unos postane sigurnosna prijetnja

SQL injekcija (SQLi) je tehnika napada u kojoj napadač ubacuje zlonamjerni SQL kod u upit baze podataka aplikacije iskorištavanjem loše provjerenog korisničkog unosa. Ako unos nije ispravno zaštićen, napadač može pristupiti, izmijeniti, izbrisati ili čak preuzeti potpunu kontrolu nad bazom podataka.

Zašto je opasno:

U pomorskom i energetskom sektoru, gdje se mnoge aplikacije oslanjaju na interakcije s bazama podataka, od logistike i komunikacija do upravljanja flotom, SQLi može ugroziti ključne operativne podatke.

To može uključivati promjene u teretnim listovima, podatke o rasporedu, sustave za naručivanje rezervnih dijelova ili pristup korisničkim računima.

Primjeri iz prakse:

• Aplikacija za dostavu goriva omogućuje neovlašteni pristup putem loše provjerenog unosa broja narudžbe
• Web obrazac za prijavu u sustave za nadzor brodske opreme omogućuje napadaču izdvajanje administratorskih lozinki putem ubrizganih SQL naredbi
• Sustav za ažuriranje ruta dohvaća netočne koordinate zbog manipuliranih upita, što utječe na navigaciju plovila

Kako se zaštititi od toga:

• Koristite parametrizirane upite (prepared statements) i provjerite sve korisničke unose
• Implementirajte Web Application Firewall (WAF) za otkrivanje i blokiranje pokušaja injekcije
• Redovito ažurirajte i testirajte aplikacije pomoću usluga Marlink Cyber Audit i penetracijskog testiranja

SQL injekcija podsjeća nas da sigurnost mora biti ugrađena u fazi dizajna, jer jedan nezaštićen unos može izložiti cijelu vašu infrastrukturu podataka. 

Ovdje otkrijte sve članke iz serijala "It's a jungle out there: Navigating the digital danger zone".