Rückblick
Das Maß, die Zusammensetzung und die Struktur von Cyberbedrohungen für Anwendungen entwickeln sich schnell weiter. Über viele Jahre hatten Benutzer Zugang zu Webanwendungen über das Internet mithilfe beliebter Webbrowser. Zu jedem Zeitpunkt war es notwendig, 2-5 Webbrowser zu unterstützen, und der Satz von Standards für die Entwicklung und das Testen von Webanwendungen war ziemlich eingeschränkt. Beispielsweise wurden fast alle Datenbanken mit SQL erstellt. Leider lernten Hacker bald, Webanwendungen zu nutzen, um Daten zu stehlen, zu löschen oder zu verändern. Sie erhielten unbefugten Zugriff und missbrauchten die Funktionen von Anwendungen durch verschiedene Methoden, einschließlich des Betrugs von Anwendungsbenutzern, der Injektion und der Remote-Ausführung von Code. Bald kamen kommerzielle Schutzmaßnahmen für Webanwendungen auf den Markt, die Web Application Firewalls (WAF) genannt wurden, und die Gesellschaft reagierte mit der Gründung eines Open-Source-Projekts zur Sicherung von Webanwendungen, dem Open Web Application Security Project (OWASP), mit dem Ziel, Standards und Methoden zur Entwicklung sicherer Anwendungen zu definieren und aufrechtzuerhalten.
Basisanwendungsschutz
ist der Ausgangspunkt für den Schutz von Anwendungen und listet die gefährlichsten Bedrohungen und falschen Konfigurationen auf, die zu Anfälligkeiten in Anwendungen führen können, sowie Taktiken zur Erkennung und Abwehr von Angriffen. Die OWASP Top 10 gilt weltweit als anerkanntes Maß für die Cybersicherheitsindustrie und definiert eine Grundliste von Funktionen, die ein Web Application Firewall (WAF) System haben sollte.
Darüber hinaus muss die Funktionalität der WAF auch andere häufige Angriffe auf Webanwendungen berücksichtigen, einschließlich Cross-Site Request Forgery (CSRF), Clickjacking, Web Scraping und Remote File Inclusion (RFI)/Local File Inclusion (LFI).
Bedrohungen und Sicherheitsanforderungen moderner Anwendungen
Bislang sind noch nicht alle Anwendungen in einer Netzwerkversion verfügbar. Es gibt Cloud-Anwendungen, mobile Anwendungen, APIs und in den neuesten Architekturen sogar individuelle Software-Funktionen. All diese Arten von Anwendungen müssen synchronisiert und kontrolliert werden, da sie unsere Daten erzeugen, ändern und verarbeiten. Mit dem Auftreten neuer Technologien und Paradigmen ergeben sich neue Herausforderungen und Aufgaben in allen Phasen des Lebenszyklus von Anwendungen. Dazu gehört die Integration von Entwicklung und Betrieb (DevOps), Container, das Internet der Dinge (IoT), Open-Source-Tools, APIs und mehr.
Die verteilte Bereitstellung von Anwendungen und die Vielfalt der Technologien schaffen komplexe und anspruchsvolle Aufgaben nicht nur für Sicherheitsspezialisten, sondern auch für Anbieter von Sicherheitslösungen, die sich nicht mehr auf einen einheitlichen Ansatz verlassen können. Die Sicherheitsvorkehrungen für Anwendungen müssen deren geschäftsspezifische Anforderungen berücksichtigen, um Fehlalarme und Beeinträchtigungen der Servicequalität für die Benutzer zu vermeiden.
Das Hauptziel von Hackern ist in der Regel entweder der Datenraub oder die Störung der Verfügbarkeit von Diensten. Angreifer profitieren ebenfalls von der technologischen Entwicklung. Erstens schaffen neue Technologien mehr potenzielle Lücken und Schwachstellen. Zweitens stehen ihnen mehr Werkzeuge und Wissen zur Verfügung, um traditionelle Sicherheitsmaßnahmen zu umgehen. Dies erhöht erheblich die sogenannte "Angriffsfläche" und die Anfälligkeit von Organisationen für neue Risiken. Sicherheitsrichtlinien müssen kontinuierlich angepasst werden, um mit den Veränderungen in Technologien und Anwendungen Schritt zu halten.
Daher müssen Anwendungen vor der ständig wachsenden Vielfalt an Angriffsarten und -quellen geschützt werden, und die Abwehr automatisierter Angriffe sollte in Echtzeit auf Basis informierter Entscheidungen erfolgen. Dies führt zu höheren Betriebskosten und manuellem Aufwand bei geschwächten Sicherheitspositionen.
Aufgabe Nr. 1: Bot-Management
Mehr als 60 % des Internettraffics werden von Bots generiert, von denen die Hälfte als "schlechte" Traffic bezeichnet wird (laut den ). Organisationen investieren in die Erhöhung der Netzwerkbandbreite, um im Wesentlichen simulierte Last zu bedienen. Eine präzise Unterscheidung zwischen echtem Benutzertraffic und Bot-Traffic sowie zwischen „guten“ Bots (z. B. Crawlers und Preisvergleichs-Diensten) und „schlechten“ Bots kann zu erheblichen Einsparungen und einer Verbesserung der Dienstleistungsqualität für die Nutzer führen.
Bots werden diese Aufgabe nicht erleichtern, da sie das Verhalten realer Benutzer simulieren, CAPTCHAs und andere Barrieren umgehen können. Außerdem wird bei Angriffen unter Verwendung dynamischer IP-Adressen der IP-Filterschutz ineffektiv. Häufig werden Open-Source-Entwicklungstools (zum Beispiel Phantom JS), die clientseitiges JavaScript ausführen können, verwendet, um Brute-Force-Angriffe, Credential Stuffing-Angriffe, DDoS-Angriffe und automatisierte Bot-Angriffe durchzuführen.
Für eine effektive Verwaltung des Bot-Traffics ist eine eindeutige Identifikation seiner Quelle (ähnlich einem Fingerabdruck) erforderlich. Bei einem Bot-Angriff entstehen zahlreiche Einträge, und dieser Fingerabdruck hilft dabei, verdächtige Aktivitäten zu erkennen und Punkte zuzuweisen, auf deren Grundlage das Anwendungsschutzsystem eine informierte Entscheidung trifft – blockieren/erlauben – und dabei die Rate an falsch-positiven Ergebnissen minimiert.
Aufgabe Nr. 2: API-Schutz
Viele Anwendungen sammeln Informationen und Daten von den Diensten, mit denen sie über APIs interagieren. Bei der Übertragung sensibler Daten über APIs überprüfen oder schützen mehr als 50 % der Organisationen ihre APIs nicht, um Cyberangriffe zu erkennen.
Beispiele für die Nutzung von APIs:
- Integration des Internet der Dinge (IoT)
- Maschinenkommunikation
- Serverlose Umgebungen
- Mobile Anwendungen
- Verwaltete ereignisgesteuerte Anwendungen
API-Sicherheitsanfälligkeiten ähneln Anwendungsanfälligkeiten und umfassen Injektionen, Protokollangriffe, Parameter-Manipulationen, Weiterleitungen und Bot-Angriffe. Dedizierte API-Gateways gewährleisten die Kompatibilität von Anwendungsdiensten, die über APIs interagieren. Sie bieten jedoch keinen vollständigen Schutz für Anwendungen, wie es ein WAF mit den erforderlichen Sicherheitswerkzeugen ermöglicht, z. B. durch das Parsen von HTTP-Headern, eine Layer-7-Zugriffskontrollliste (ACL), das Parsen und Validieren von JSON/XML-Nutzlasten sowie den Schutz vor allen OWASP Top 10-Sicherheitsanfälligkeiten. Dies wird durch die Inspektion der Schlüsselwerte der APIs unter Verwendung positiver und negativer Modelle erreicht.
Aufgabe Nr. 3: Dienstverweigerung
Der alte Angriffsvektor – Denial of Service (DoS) – bewährt sich weiterhin in Angriffen auf Anwendungen. Angreifer verfügen über eine Vielzahl erfolgreicher Techniken zur Störung von Anwendung Services, einschließlich HTTP- oder HTTPS-Fluten, schwachen und langsamen Angriffen (wie "low-and-slow", z. B. SlowLoris, LOIC, Torshammer), Attacken mit dynamischen IP-Adressen, Bufferüberlauf, Brute-Force-Angriffe und viele weitere. Mit der Entwicklung des Internets der Dinge und dem Aufkommen von IoT-Botnets haben Angriffe auf Anwendungen den Hauptfokus von DDoS-Angriffen eingenommen. Die meisten WAF mit Verbindungstracking können nur eine begrenzte Attackenlast abwehren. Sie sind jedoch in der Lage, HTTP/S-Trajektorien zu inspizieren und Angriffs- und schädlichen Traffic zu entfernen. Nach Identifizierung eines Angriffs ist es sinnlos, diesen Traffic erneut durchzulassen. Da die Kapazität von WAF zur Abwehr von Angriffen begrenzt ist, bedarf es einer zusätzlichen Lösung am Netzwerkperimeter, um automatisch die nächsten "schlechten" Pakete zu blockieren. Für dieses Schutzszenario müssen beide Lösungen die Fähigkeit haben, miteinander zu kommunizieren, um Informationen über Angriffe auszutauschen.
Abbildung 1. Organisation eines umfassenden Netzwerks und Anwendungsschutzes am Beispiel von Radware-Lösungen
Aufgabe Nr. 4: Kontinuierlicher Schutz
Anwendungen unterliegen häufig Änderungen. Entwicklungsmethoden und Implementierungen, wie kontinuierliche Updates, bedeuten, dass Modifikationen ohne menschliches Eingreifen und Kontrolle durchgeführt werden. In solch dynamischen Bedingungen ist es schwierig, angemessene Sicherheitsrichtlinien aufrechtzuerhalten, ohne eine hohe Zahl von Fehlalarmen zu generieren. Mobile Anwendungen werden viel häufiger aktualisiert als Webanwendungen. Drittanbieteranwendungen können sich ohne Ihr Wissen ändern. Einige Organisationen streben danach, mehr Kontrolle und Visualisierung zu erhalten, um über potenzielle Risiken informiert zu bleiben. Doch dies ist nicht immer erreichbar, und ein zuverlässiger Schutz von Anwendungen muss maschinelles Lernen nutzen, um vorhandene Ressourcen zu berücksichtigen und visuell darzustellen, potenzielle Bedrohungen zu analysieren und Sicherheitsrichtlinien im Falle von Modifikationen der Anwendungen zu erstellen und zu optimieren.
Fazit
Da Anwendungen eine immer wichtigere Rolle im Alltag spielen, werden sie zunehmend zum Hauptziel für Hacker. Der potenzielle Gewinn für Täter und die möglichen Verluste für Unternehmen sind enorm. Die Komplexität der Aufgabe, die Sicherheit von Anwendungen zu gewährleisten, kann nicht überschätzt werden, angesichts der Anzahl und Vielfalt von Anwendungen und Bedrohungen.
Glücklicherweise befinden wir uns in einer Zeit, in der künstliche Intelligenz uns helfen kann. Algorithmen, die auf maschinellem Lernen basieren, bieten adaptive Echtzeitschutzmaßnahmen gegen die fortschrittlichsten Cyber-Bedrohungen, die auf Anwendungen abzielen. Sie aktualisieren auch automatisch Sicherheitsrichtlinien zum Schutz von Web-, Mobil- und Cloud-Anwendungen sowie von APIs, ohne dabei Fehlalarme auszulösen.
Es ist schwierig, genau vorherzusagen, wie die nächste Generation von Cyber-Bedrohungen für Anwendungen aussehen wird (möglicherweise ebenfalls basierend auf maschinellem Lernen). Doch Organisationen können definitiv Schritte unternehmen, um die Daten ihrer Kunden und ihr geistiges Eigentum zu schützen und die Verfügbarkeit von Dienstleistungen mit großem Nutzen für das Geschäft zu gewährleisten.
Effektive Ansätze und Methoden zur Sicherstellung der Sicherheit von Anwendungen, die wichtigsten Arten und Angriffsvektoren, Risikozonen und Lücken in der Cyberabwehr von Webanwendungen sowie internationale Erfahrungen und Best Practices sind in der Studie und dem Bericht von Radware dargestellt.”.
Quelle: habr.com
