Безопасность веб-сайта: полное руководство

[Mutt]

Содержание статьи:

• Защита от DDoS-атак
• Защита от APT
• Брандмауэр веб-приложений
• Предотвращение внутренних угроз
• Управление ботами
• Управление доступом и блокировка IP
• Защита от захвата аккаунта
• Безопасность API
• Настройка безопасности
• Группа исследования безопасности на стороне поставщика
• Регистрация событий, приоритезация и обнаружение аномалий
• Видимость трафика в реальном времени
• Самозащита приложения во время выполнения (RASP)
• SIEM интеграция

Что такое безопасность веб-сайта? Критические проблемы веб-безопасности
Оценка и выбор инструментов безопасности веб-сайтов: полное руководство
Безопасность веб-сайтов - это практика защиты веб-приложений от широкого спектра киберугроз. Вот наиболее распространенные проблемы безопасности, с которыми сталкиваются группы безопасности, которым поручена защита веб-сайтов и веб-приложений:

• Обеспечение высокой доступности - многие веб-сайты и веб-приложения являются критически важными службами, которые должны работать круглосуточно и без выходных. Простой может привести к нарушению SLA, потере доходов и ущербу для репутации.
• Защита данных - веб-приложения обычно хранят конфиденциальные данные о клиентах и организациях во внутренних базах данных. Если веб-приложение взломано, есть большая вероятность, что злоумышленники могут скомпрометировать эти данные.
• Управление трафиком веб-сайта - владельцам веб-сайтов требуется видимость и контроль над тем, кто получает доступ к их веб-присутствию. Важно отличать хороший трафик от плохого - например, законных ботов и вредоносных ботов - и блокировать плохой трафик.
• Защита доверия и репутации - веб-сайт является витриной для большинства предприятий. Если веб-сайт не работает, если домашняя страница повреждена или злоумышленники скомпрометируют конфиденциальные данные клиентов, это может нанести серьезный ущерб бренду и репутации.
• Защита посетителей веб-сайтов - онлайн-пользователи безоговорочно доверяют веб-сайтам, которые они посещают, и веб-приложениям, с которыми они работают. Если злоумышленникам будет разрешено украсть сеансы посетителей или их личные данные или скомпрометировать их устройства, это доверие будет безвозвратно нарушено.
• Автоматизация безопасности - нехватка навыков безопасности и высокая стоимость персонала по безопасности означает, что у большинства организаций меньше специалистов по безопасности, чем им нужно. Автоматизация задач безопасности имеет важное значение для максимально эффективного использования ресурсов и обеспечения надлежащей защиты веб-ресурсов.

Выбор правильных решений безопасности веб-сайтов для вашего бизнеса
Какая забота вас больше всего волнует? Выберите проблемы, которые вас волнуют, и просмотрите список решений безопасности, которые помогут вам их решить.

Защита от DDoS-атак

• Обеспечение высокой доступности
• Защита доверия и репутации
• Автоматизация безопасности

Современные службы защиты от DDoS-атак могут защитить веб-сайты от крупномасштабных DDoS-атак за счет увеличения масштаба сети облачных компьютеров в соответствии с масштабами атаки. Службы защиты от DDoS-атак могут выполнять глубокую проверку пакетов входящего трафика и «очищать» или удалять неверные запросы в больших масштабах, позволяя при этом проходить легитимные запросы.

Ключевая особенность

• Поддержка всех типов атак - возможность защиты как от атак сетевого уровня, так и от атак на уровне приложений с широкой поддержкой трафика приложений.
• HTTP / S-трафик - возможность расшифровывать и очищать SSL-трафик.
• Защита вторичных активов - таких как базы данных, файловые серверы и системы CRM.
• Пропускная способность сети - проверьте, сколько Гбит / с или Тбит / с трафика поддерживает служба; это примерно соответствует масштабу DDoS-атаки, которую она может остановить.
• SLA - сервисы должны гарантировать время безотказной работы от трех девяток (99,9%) до пяти девяток (99,999%), указывать тип, размер и продолжительность защищаемых атак и указывать гарантированное время отклика.
• Быстрое смягчение атак - DDoS-атаки могут вывести из строя вашу инфраструктуру всего за несколько секунд, а восстановление может занять часы или больше. Время отклика необходимо измерять в секундах, а не в минутах или часах.
• Постоянная защита - в идеале предотвращение DDoS-атак должно быть полностью незаметным для конечных пользователей. Убедитесь, что ваш DDoS-сервис имеет пропускную способность и конфигурацию для доставки контента веб-сайта с минимальной задержкой.

Защита от APT

• Защита данных
• Защита доверия и репутации
• Защита посетителей веб-сайта
• Видимость сети и трафика

Веб-сайты и веб-приложения часто являются первоначальной целью для устойчивых расширенных угроз (APT). APT-группы активно ищут уязвимости веб-сайтов, и если им удастся незаметно взломать веб-сайт, они начнут горизонтальное перемещение по сети, чтобы получить доступ к более конфиденциальным данным и системам.
Нет ни одного инструмента, который мог бы защитить от APT. При выборе решения для защиты от APT рассмотрите комбинацию инструментов, которые могут защитить от многогранных атак.

Ключевая особенность

• Обнаружение бокового движения - отслеживание атак, в которых задействованы несколько систем или пользователей, с боковым движением и постепенным увеличением привилегий.
• Двухфакторная аутентификация - для предотвращения несанкционированного доступа к организационным системам.
• Брандмауэр веб-приложений (WAF) - для блокировки подозрительных запросов к веб-приложениям.
• Защита от бэкдорных оболочек и других уязвимостей.
• Защита от DDoS-атак - DDoS-атаки могут использоваться как часть APT, чтобы отвлечь группы безопасности, в то время как злоумышленники используют другие методы проникновения в сеть.

Брандмауэр веб-приложений

• Обеспечение высокой доступности
• Контроль трафика веб-сайта
• Защита доверия и репутации
• Защита посетителей веб-сайта
• Видимость сети и трафика
• Автоматизация безопасности

WAF - это краеугольный камень проактивной безопасности веб-сайтов. Это решение безопасности, развернутое на границе сети, которое проверяет весь входящий трафик и постоянно блокирует вредоносные запросы. WAF универсальны, они автоматически блокируют известные типы атак с помощью встроенных правил и позволяют развертывать собственные политики безопасности для конкретных нужд.
Основным преимуществом WAF является то, что они могут быть развернуты без изменений в базовых приложениях и могут немедленно блокировать угрозы, не требуя от вас выполнения таких действий, как исправление уязвимостей или изменение проблемного кода.
В отличие от традиционного брандмауэра, WAF может понимать трафик приложений, различать законный и вредоносный трафик и, таким образом, обнаруживать и блокировать сложные шаблоны атак.

Ключевая особенность:

• Фильтрация трафика - автоматическая блокировка трафика из подозрительных источников, из топ-10 OWASP и других известных схем атак.
• Защита от уязвимостей - обнаружение и блокировка трафика, связанного с известными уязвимостями программного обеспечения, без необходимости сложных исправлений, автоматическое обновление с помощью оперативного анализа угроз для защиты от угроз нулевого дня.
• Развертывание - легко развертывать, не требуя внесения каких-либо изменений в базовые системы веб-сайтов. Совместимость с общедоступным облаком, гибридными и локальными средами.
• Интеграция - интеграция с корпоративной SIEM, гарантирующая, что предупреждения WAF можно легко просматривать в контексте других данных безопасности.
• Сведение к минимуму ложных срабатываний - возможность настройки правил безопасности для адаптации к требованиям организации и минимального нарушения работы бизнеса. Желательно, чтобы частота ложных срабатываний была низкой при базовой конфигурации, даже без настройки.
• Автоматически обновляется и поддерживается - поддерживается и поддерживается группой исследователей безопасности на стороне поставщика, что особенно важно для угроз нулевого дня.

Предотвращение внутренних угроз

• Защита данных
• Защита доверия и репутации
• Автоматизация безопасности

Внутренние угрозы представляют собой серьезную угрозу безопасности любой ИТ-инфраструктуры, включая веб-приложения. Любой сотрудник или третье лицо, имеющее привилегированную или административную учетную запись для вашего веб-приложения, потенциально может выступить против вас и использовать свой доступ для кражи данных, нарушения операций или допуска других злоумышленников в систему.
Внутренние угрозы сложнее идентифицировать или предотвратить, чем внешние атаки, и они невидимы для традиционных решений безопасности, таких как межсетевые экраны и системы обнаружения вторжений. Эффективная система обнаружения внутренних угроз сочетает в себе несколько инструментов, позволяющих не только отслеживать поведение внутренних нарушителей, но также фильтровать большое количество предупреждений и устранять ложные срабатывания.
Инструменты цифровой криминалистики и аналитики, такие как анализ поведения пользователей и событий (UEBA), помогают автоматически обнаруживать, анализировать и предупреждать службу безопасности о любых потенциальных внутренних угрозах. Аналитика поведения пользователей может установить основу для нормальной активности доступа к данным, а мониторинг активности базы данных может помочь выявить нарушения политики.

Ключевая особенность

• Аналитика поведения пользователей и событий (UEBA) - помогает защитить от внутренних угроз, атак нулевого дня и APT.
• Мониторинг активности баз данных - отслеживает реляционные базы данных, хранилища данных, большие данные и мэйнфреймы для генерации предупреждений в реальном времени о нарушениях политики.
• Предотвращение потери данных (DLP) - проверка данных в движении, в состоянии покоя, в облаке или на конечных точках.
• Устройства обмана, такие как ловушки и приманки, а также мониторинг и аудит использования данных в реальном времени.

Управление ботами

• Обеспечение высокой видимости
• Обеспечение автоматизации
• Контроль трафика веб-сайта

Большинство кибератак и большинство современных векторов угроз связаны с использованием автоматических ботов. Тысячи ботов поражают ваше присутствие в Интернете каждый месяц, одни легальные, другие - злонамеренные, которые ищут уязвимости и потенциально используют их. Ботов также можно использовать для получения доступа к данным организации другими способами, например, парсингом веб-страниц.
Решения для защиты от ботов могут выявлять и блокировать плохих ботов, позволяя при этом хорошим ботам получать доступ к вашему сайту.

Ключевая особенность

• Профили поведения - профилирование поведения трафика с течением времени для выявления пользователей-людей, хороших и плохих ботов.
• Анализ репутации - ведение базы данных сигнатур ботов и определение того, соответствует ли текущий трафик известным плохим ботам.
• Проблемы - заголовки HTTP / S, подписи IP и ASN, файлы cookie и JavaScript, чтобы определить, являются ли боты, попадающие на ваш сайт, законными или вредоносными.

Управление доступом и блокировка IP

• Обеспечение высокой доступности
• Контроль трафика веб-сайта
• Обеспечение автоматизации
• Защита доверия и репутации

Существует несколько подходов и инструментов для обеспечения безопасного управления доступом. Если у вас нет полной системы управления идентификацией и доступом (IAM) , ваше решение безопасности должно обеспечивать автоматический способ принудительной многофакторной аутентификации, помогать вам отфильтровывать плохой трафик с известных вредоносных IP-адресов или других плохих источников, одновременно позволяя вам для определения настраиваемых политик для выборочной блокировки или пропуска трафика.

Ключевая особенность

• Многофакторная проверка подлинности - передовые решения безопасности могут помочь вам применять многофакторную проверку подлинности всякий раз, когда кто-либо входит в ваше веб-приложение, не требуя изменений в базовом приложении.
• Управление репутацией - может фильтровать трафик на основе обнаружения таких источников, как анонимные прокси, сеть TOR или подозрительные регионы.
• Черный список IP-адресов - определяет известные источники плохого трафика и использует их для блокировки плохих запросов и управления репутацией.

Защита от захвата аккаунта

• Обеспечение высокой доступности
• Защита данных
• Защита доверия и репутации

Из-за серьезности инсайдерских угроз и сложности выявления и блокировки инсайдерской атаки превентивная мера предотвращает захват аккаунта. Решения для захвата аккаунтов используют процесс обнаружения на основе намерений для выявления злонамеренных логинов с использованием поведенческого анализа и данных глобального анализа угроз.

Ключевая особенность

• Обнаружение на основе намерений - выявляет злонамеренные входы в систему посредством перекрестной проверки репутации и поведения, классификации клиентов и т. д.
• Видимость за действиями входа в систему - позволяет просматривать активность входа в систему на предприятии, видеть, атакованы ли сайты, определять, какие учетные записи пользователей были взломаны и что было сделано с учетными данными.
• Анализ угроз - передовые решения используют глобальную базу данных шаблонов атак, сопоставляя ее с шаблонами входа в вашу среду с помощью машинного обучения.

Безопасность API

• Обеспечение высокой доступности
• Защита данных
• Защита доверия и репутации

Многие веб-приложения предоставляют API, позволяя другим в цифровой экономике использовать веб-приложение в автоматическом режиме. API-интерфейсы становятся все более важными и сложными, но, как правило, они не защищены и не отслеживаются должным образом. Многие API-интерфейсы не были созданы с учетом надежных методов обеспечения безопасности и могут позволить пользователям вводить злонамеренные данные или иным образом злоупотреблять API.
Безопасность API защищает конечные точки API, отслеживая запросы API и гарантируя, что только проверенный хороший трафик может получить доступ к конечной точке.
Конечные точки API должны быть защищены сразу после их публикации, а безопасность должна быть частью вашего процесса разработки. Расширенные решения позволяют создавать определения безопасности с использованием стандарта OpenAPI, поэтому вы можете встроить безопасность в свой API по мере его разработки и публиковать его с автоматически применяемыми настройками безопасности.

Ключевая особенность

• Блокируйте нежелательный трафик - перехватывайте и блокируйте трафик с известных плохих IP-адресов, подозрительных регионов, анонимных прокси, сети TOR и т. д.
• Аналитика атак - передовые решения могут обнаруживать и блокировать известные шаблоны атак с помощью брандмауэра веб-приложений (WAF).
• Защита от DDoS-атак уровня 3/4 - защищает ваши API-интерфейсы от DDoS-атак, независимо от того, выполняется ли это на уровне сети (например, Syn flood) или на уровне приложения.
• Интеграция шлюза API - решения безопасности API должны интегрироваться с распространенными шлюзами API, такими как Azure, AWS или RedHat.

Настройка безопасности

• Защитить данные
• Контроль трафика веб-сайта
• Защита доверия и репутации
• Автоматизация безопасности

Решения безопасности веб-сайтов часто развертываются на границе сети и принимают решения о трафике, поступающем на ваш веб-сайт. Настройка важна для того, чтобы решение безопасности не нарушило ваш бизнес - если решение блокирует законный трафик, оно может нанести такой же ущерб, как и атаки, для предотвращения которых оно было предназначено.
Убедитесь, что решение безопасности не нарушит ваш бизнес - определите настраиваемые правила для управления автоматическим ответом, реагирования на определенные атаки, включения конкретных вариантов использования.

Ключевая особенность

• Пользовательские правила для определения различного автоматического ответа на разные сценарии
• Политики безопасности для разных типов трафика
• Детализированные политики контроля доступа
• Внесение в белые и черные списки
• Высокая степень прозрачности процессов принятия решений по безопасности - что заблокировано и почему

Группа исследования безопасности на стороне поставщика

• Защитить данные
• Контроль трафика веб-сайта
• Защита доверия и репутации
• Автоматизация безопасности

Ведущие поставщики средств безопасности имеют опыт защиты тысяч организаций и защищаются от миллионов атак. Ищите решение, которое дает вам доступ к группе безопасности поставщика и дает стороннюю помощь в определении политик и конфигурации безопасности, а также в решении повседневных проблем безопасности.
Основное преимущество наличия группы исследователей безопасности - защита от угроз нулевого дня. Организации, работающие только с собственным интеллектом, имеют очень низкие шансы защититься от угроз нулевого дня. Могут пройти недели или месяцы, прежде чем угроза будет опубликована, выпущены исправления и фактически развернуты в локальных ИТ-системах.
С помощью группы исследования безопасности на стороне поставщика, как только угроза нулевого дня становится общедоступной или как только одна организация поражается угрозой, схема атаки распространяется на всех пользователей инструмента безопасности. Все они могут быть защищены мгновенно, развернув новую конфигурацию безопасности, которая блокирует угрозу.

Ключевая особенность

• Помощь человека с настройкой параметров безопасности или политик
• Аналитики безопасности на основе поставщиков помогают анализировать предупреждения и удалять ложные срабатывания.
• Команды реагирования на инциденты, предлагаемые поставщиком
• Помощь поставщика при серьезных нарушениях безопасности

Регистрация событий, приоритезация и обнаружение аномалий

• Защитить данные
• Контроль трафика веб-сайта
• Защита доверия и репутации
• Автоматизация безопасности

Большинство организаций сталкиваются с хронической нехваткой сотрудников службы безопасности и огромным количеством предупреждений, связанных с безопасностью, от множества инструментов. Поведенческая аналитика пользователей и объектов (UEBA) может быть важным инструментом для определения приоритетов предупреждений и обеспечения того, чтобы группы безопасности людей просматривали только предупреждения, которые действительно представляют собой вредоносную активность.
Технология UEBA устанавливает базовый уровень поведения для учетных записей пользователей, конечных точек и объектов в сети, таких как коммутаторы, маршрутизаторы и приложения. Предупреждение генерируется только тогда, когда активность отклоняется от этого базового уровня и превышает допустимый порог.

Ключевая особенность:

• Поведенческая аналитика - определение реальной вредоносной активности с помощью UEBA для уменьшения количества ложных срабатываний.
• Анализ угроз - сопоставление шаблонов трафика с известными сигнатурами атак для выявления атак и предоставления контекста об участниках угроз.
• Анализ журналов - сопоставление и анализ журналов из нескольких ИТ-систем и инструментов безопасности.

Видимость трафика в реальном времени

• Обеспечение высокой доступности
• Контроль трафика веб-сайта
• Автоматизация безопасности

Чтобы управлять безопасностью веб-сайта, вам нужна максимальная видимость трафика, получающего доступ к вашему веб-сайту. Видимость в реальном времени угроз или вредоносной активности в вашем трафике позволит реагировать в режиме реального времени.
Расширенные решения веб-безопасности могут помочь вам визуализировать не только типы трафика, источники, протоколы, пропускную способность и скорость пакетов. Но помимо этого, они должны агрегировать эти данные, чтобы показать вам законный и вредоносный трафик. Вы должны уметь определять тип атаки, к которому принадлежит каждый сеанс.
Кроме того, у вас должен быть доступ к историческим и криминалистическим данным, чтобы получить полный контекст текущей атаки и для целей поиска угроз.

Ключевая особенность

• Данные о трафике в реальном времени - объемы трафика, источники, пропускная способность, скорость пакетов и т. д.
• Исторические данные - просматривайте данные трафика за несколько недель или месяцев назад, чтобы понять исторические тенденции для текущих угроз.
• События безопасности - просмотрите, какие атаки попали на ваш сайт, прямо сейчас или в прошлом, и какие сеансы относятся к какому типу атаки.

Самозащита приложения во время выполнения (RASP)

• Обеспечение высокой доступности
• Защитить данные
• Защита доверия и репутации
• Автоматизация безопасности

Эксплойты и уязвимости обнаруживаются каждый день. Чтобы действовать упреждающе и предотвращать уязвимости, вам следует реализовать решение, которое поможет разработчикам, когда они начинают создавать приложение. Самозащита приложений в реальном времени (RASP) перехватывает код, когда он передается в систему управления версиями, и предупреждает об известных атаках и атаках нулевого дня. Это может предотвратить уязвимость кода до того, как он будет запущен в производство.
RASP может обеспечивать защиту по умолчанию для OWASP Top 10, известных атак и атак нулевого дня, а также может защищать устаревшие и сторонние приложения, упакованные с вашим программным обеспечением.

Ключевая особенность

• Сканирует код и определяет уязвимый код или компоненты
• Выявляет вредоносные полезные данные в процессе сборки
• Предотвращает распространение уязвимостей и эксплойтов в производственную среду

SIEM интеграция

• Автоматизация безопасности

Без интеграции SIEM любое решение безопасности веб-сайта будет бесполезно для вашей команды SOC. Никто не хочет добавлять «еще один экран» для просмотра.
Если ваша команда использует систему управления информацией и событиями безопасности (SIEM), убедитесь, что инструменты безопасности вашего веб-сайта интегрированы с ними. Это позволит вам использовать данные и предупреждения из ваших решений безопасности для создания предупреждений SIEM, а также проводить анализ безопасности и расследования.

Насколько это важно для вашего бизнеса?

• Безразлично
• Низкий уровень
• Средний уровень
• Высокий уровень

Нефункциональные требования

• Гибкое развертывание - быстрое развертывание всех компонентов решения безопасности без изменения базовых систем. Это экономит время, предотвращает сложные проекты внедрения и позволяет равномерно применять безопасность к новым и устаревшим системам.
• SLA - убедитесь, что поставщик решения выполняет SLA для ответа на атаки, и что это SLA приемлемо с точки зрения вашего целевого времени восстановления (RTO).
• Цены - инвестируйте все, что необходимо для полного покрытия всех важных векторов угроз. Безопасность имеет высокую ценность и может значительно снизить риск катастрофического взлома. Имейте в виду, что каждое нарушение обходится организациям в среднем в 8 миллионов долларов.
• Соответствие требованиям - убедитесь, что ваше решение поддерживает все нормативные документы и отраслевые стандарты, которым вы должны соответствовать: HIPAA, PCI / DSS, SOX, GDPR, FERPA и т. д.

Предпочитайте специализированное решение для обеспечения безопасности веб-сайтов
Безопасность веб-сайтов - это дисциплина, которая значительно эволюционировала за последние два десятилетия благодаря специализированным решениям, таким как технология защиты от DDoS-атак, WAF, защита от ботов и безопасность API. Даже общие методы обеспечения безопасности, такие как регистрация событий и профилирование поведения, необходимо адаптировать, чтобы они были эффективными для анализа веб-трафика и угроз веб-приложений.
При выборе поставщика постарайтесь оценить, предлагает ли выбранный вами поставщик безопасность веб-сайтов как часть огромного пакета услуг или считает безопасность приложений основной частью своего бизнеса. Мы советуем отдавать предпочтение поставщикам, которые имеют большой опыт и специализированные технологии, особенно подходящие для решения проблем безопасности приложений.

Безопасность вебсайта
Организуйте комплексное решение для безопасности веб-сайтов, предоставляя все инструменты, необходимые для защиты критически важного веб-сайта или веб-приложения. У нас есть группа по исследованию внутренней безопасности, которая анализирует данные тысяч организаций и помогает вам защититься от новейших угроз.
Используйте настраиваемое решение безопасности, которое позволяет добавлять правила или исключения в соответствии с рабочими процессами вашего бизнеса и предотвращать нарушение работы пользователей. Он поставляется с расширенными функциями контроля доступа, включая многофакторную аутентификацию, которую вы можете легко реализовать без изменения существующих приложений, и детализированный контроль доступа на основе ролей (RBAC) для ИТ-систем.
Решение для обеспечения безопасности приложений Imperva включает в себя:
Защита от DDoS-атак - поддержание работоспособности в любых ситуациях. Предотвратите любые типы DDoS-атак любого размера, препятствующие доступу к вашему веб-сайту и сетевой инфраструктуре.
WAF - облачное решение разрешает законный трафик и предотвращает плохой трафик, защищая приложения на периферии, в то время как шлюз WAF обеспечивает безопасность приложений и API внутри вашей сети. WAF также упрощает развертывание в организации мер контроля доступа, таких как многофакторная аутентификация.
Управление ботами - анализирует ваш бот-трафик, чтобы выявить аномалии, выявляет плохое поведение ботов и проверяет его с помощью механизмов проверки, которые не влияют на пользовательский трафик. Управление репутацией также позволяет фильтровать нежелательный трафик на основе источников, географических регионов, шаблонов или черных списков IP-адресов.
Защита от захвата учетных записей - использует процесс обнаружения на основе намерений для выявления и защиты от попыток захвата учетных записей пользователей в злонамеренных целях. Это может помочь уменьшить внутренние угрозы и защитить от повышения привилегий и бокового перемещения.
Безопасность API - защищает API, гарантируя, что только желаемый трафик может получить доступ к вашей конечной точке API, а также обнаруживает и блокирует эксплойты уязвимостей.
Аналитика атак - эффективное и точное устранение реальных угроз безопасности и реагирование на них с помощью действенной аналитики на всех уровнях защиты. Использует машинное обучение и анализ рисков данных для выявления миллионов предупреждений, выявления подозрительного доступа к данным и определения приоритетов угроз.
RASP - защитите свои приложения изнутри от известных атак и атак нулевого дня. Быстрая и точная защита без подписи или режима обучения.
CDN - повысьте производительность веб-сайта и сократите расходы на полосу пропускания с помощью CDN, разработанной для разработчиков. Кэшируйте статические ресурсы на периферии, ускоряя API и динамические веб-сайты.