Какие существуют виды атак на веб-сервисы и как от них защититься?

Веб-сервисы постоянно находятся под угрозой атак, потому что они доступны из интернета и обрабатывают пользовательские данные. Понимание типовых векторов атак и способов защиты — базовая компетенция backend-разработчика. Рассмотрим самые распространённые категории из списка OWASP Top 10.

Основные виды атак

• SQL-инъекции — злоумышленник вставляет SQL-код через пользовательский ввод, получая доступ к данным.
• XSS (Cross-Site Scripting) — внедрение JavaScript в страницу, который выполняется в браузере жертвы.
• CSRF (Cross-Site Request Forgery) — принуждение пользователя выполнить нежелательный запрос от своего имени.
• DDoS — перегрузка сервиса огромным числом запросов.
• Brute force — перебор паролей или токенов.
• MITM — перехват трафика между клиентом и сервером.

Пример уязвимого и безопасного кода

// Уязвимо: конкатенация строк в SQL
const q = `SELECT * FROM users WHERE email = '${email}'`;

// Безопасно: параметризованный запрос
const q = 'SELECT * FROM users WHERE email = $1';
await db.query(q, [email]);

// XSS: экранирование вывода
res.send(escapeHtml(userInput));

// CSRF: проверка токена
if (req.body.csrf !== req.session.csrf) throw new Error('CSRF');

Методы защиты

1. Валидация и санитизация всех входных данных.
2. Параметризованные запросы и ORM вместо конкатенации SQL.
3. Экранирование вывода и Content Security Policy против XSS.
4. CSRF-токены и SameSite cookies.
5. HTTPS/TLS, HSTS против MITM.
6. Rate limiting, капча, блокировка после N попыток против брутфорса.
7. WAF, CDN и автоскейлинг против DDoS.
8. Регулярные обновления зависимостей и аудит (npm audit, Snyk).

Итог: защита веб-сервиса — это многослойный процесс, где каждый уровень (валидация, аутентификация, транспорт, инфраструктура) закрывает свой класс атак; применять эти практики нужно с самого начала разработки, а не после инцидента.