Rückblick
Das Ausmaß, die Zusammensetzung und die Struktur der Cyberbedrohungen für Anwendungen entwickeln sich schnell weiter. Über viele Jahre haben Benutzer über beliebte Webbrowser auf Webanwendungen im Internet zugegriffen. Zu jedem bestimmten Zeitpunkt war es erforderlich, 2 bis 5 Webbrowser zu unterstützen, und der Satz von Standards für die Entwicklung und das Testen von Webanwendungen war stark eingeengt. Zum Beispiel wurden fast alle Datenbanken mit SQL erstellt. Leider haben Hacker bald gelernt, Webanwendungen zu nutzen, um Daten zu stehlen, zu löschen oder zu verändern. Sie verschafften sich illegalen Zugang und missbrauchten die Funktionen von Anwendungen durch verschiedene Methoden, einschließlich der Täuschung von Anwendung Benutzern, das Einfügen und die Ausführung von Code aus der Ferne. Bald erschienen auf dem Markt kommerzielle Schutzmittel für Webanwendungen, die Web Application Firewalls (WAF) genannt werden, und die Gesellschaft reagierte mit der Schaffung eines offenen Projekts zur Sicherstellung der Sicherheit von Webanwendungen, des Open Web Application Security Project (OWASP), das zum Ziel hatte, Standards und Methodiken für die Entwicklung sicherer Anwendungen festzulegen und zu unterstützen.
Grundschutz für Anwendungen
stellt einen Ausgangspunkt für den Schutz von Anwendungen dar und enthält eine Liste der gefährlichsten Bedrohungen und falschen Konfigurationen, die zu Schwachstellen von Anwendungen führen können, sowie Taktiken zur Erkennung und Abwehr von Angriffen. Die OWASP Top 10 gilt als anerkannte Orientierung in der Cyber-Sicherheitsbranche für Anwendungen weltweit und definiert eine grundlegende Liste an Möglichkeiten, die ein Schutzsystem für Webanwendungen (WAF) haben sollte.
Darüber hinaus sollte die Funktionalität von WAF auch andere verbreitete Angriffe auf Webanwendungen berücksichtigen, einschließlich Cross-Site Request Forgery (CSRF), Clickjacking, Web-Scraping und Remote File Inclusion (RFI)/Local File Inclusion (LFI).
Bedrohungen und Herausforderungen für die Sicherheit moderner Anwendungen
Heute sind längst nicht alle Anwendungen in einer Netzwerkvariante umgesetzt. Es gibt Cloud-Anwendungen, mobile Anwendungen, APIs und in den neuesten Architekturen sogar individuelle Softwarefunktionen. All diese Arten von Anwendungen müssen synchronisiert und überwacht werden, da sie unsere Daten erstellen, ändern und verarbeiten. Mit dem Aufkommen neuer Technologien und Paradigmen entstehen neue Schwierigkeiten und Herausforderungen in allen Phasen des Lebenszyklus von Anwendungen. Dazu gehört die Integration von Entwicklung und Betrieb (DevOps), Container, das Internet der Dinge (IoT), Open-Source-Tools, APIs usw.
Die verteilte Bereitstellung von Anwendungen und die Vielfalt der Technologien schaffen komplexe und anspruchsvolle Aufgaben, nicht nur für Spezialisten für Informationssicherheit, sondern auch für Sicherheitslösungsanbieter, die sich nicht länger auf einen einheitlichen Ansatz verlassen können. Die Schutzmaßnahmen für Anwendungen müssen deren branchenspezifische Gegebenheiten berücksichtigen, um Fehlalarme zu vermeiden und die Qualität der Dienstleistungen für die Nutzer nicht zu beeinträchtigen.
Das Hauptziel von Hackern sind in der Regel entweder Datenstehlen oder die Beeinträchtigung der Verfügbarkeit von Dienstleistungen. Angreifer profitieren ebenfalls von der technologischen Evolution. Erstens schafft die Entwicklung neuer Technologien mehr potenzielle Sicherheitslücken und Schwachstellen. Zweitens steht ihnen ein größeres Arsenal an Werkzeugen und Wissen zur Verfügung, um herkömmliche Schutzmaßnahmen zu umgehen. Dies erhöht erheblich die so genannte "Angriffsfläche" und die Verwundbarkeit von Organisationen gegenüber neuen Risiken. Sicherheitsrichtlinien müssen sich ständig an die Veränderungen in Technologien und Anwendungen anpassen.
Daher müssen Anwendungen vor der ständig wachsenden Vielfalt von Angriffsmetoden und -quellen geschützt werden, und die Abwehr automatisierter Angriffe muss in Echtzeit auf der Grundlage informierter Entscheidungen erfolgen. Dies führt zu höheren Betriebskosten und mehr manuellem Aufwand bei gleichzeitig geschwächten Sicherheitspositionen.
Aufgabe Nr. 1: Bot-Management
Über 60 % des Internetverkehrs werden von Bots generiert, von denen die Hälfte als "schlechter" Verkehr eingestuft wird (laut den Daten ). Organisationen investieren in die Erhöhung der Netzwerkbandbreite, indem sie im Wesentlichen eine Scheinbelastung bedienen. Eine genaue Trennung zwischen echtem Nutzerverkehr und Bot-Verkehr sowie zwischen „guten“ Bots (z.B. Suchmaschinen-Robots und Preisvergleichsdiensten) und „schlechten“ Bots kann zu erheblichen Kosteneinsparungen und einer Verbesserung der Servicequalität für die Nutzer führen.
Bots haben nicht vor, diese Aufgabe zu erleichtern und können das Verhalten echter Nutzer imitieren, CAPTCHA und andere Hindernisse umgehen. Darüber hinaus wird der Schutz auf der Grundlage der IP-Adressfilterung bei Angriffen mit dynamischen IP-Adressen ineffektiv. Oftmals werden Open-Source-Entwicklungswerkzeuge (zum Beispiel Phantom JS), die Client-JavaScript ausführen können, für Brute-Force-Angriffe, Credential-Stuffing-Angriffe, DDoS-Angriffe und automatisierte Bot-Angriffe verwendet.
Für eine effektive Verwaltung des Bot-Verkehrs ist eine einzigartige Identifizierung seiner Quelle (wie ein Fingerabdruck) erforderlich. Da bei einem Bot-Angriff viele Einträge entstehen, ermöglicht sein Fingerabdruck die Identifizierung verdächtiger Aktivitäten und die Vergabe von Punkten, auf deren Basis das Anwendungsschutzsystem eine informierte Entscheidung trifft – blockieren/erlauben – mit minimalen Fehlalarmraten.
Aufgabe Nr. 2: API-Schutz
Viele Anwendungen sammeln Informationen und Daten von Diensten, mit denen sie über APIs interagieren. Bei der Übertragung vertraulicher Daten über APIs führen über 50 % der Organisationen weder eine Überprüfung noch einen Schutz der APIs zur Erkennung von Cyberangriffen durch.
Beispiele für die Nutzung von APIs:
- Internet of Things (IoT) Integration
- Maschinenkommunikation
- Serverlose Umgebungen
- Mobile Anwendungen
- Ereignisgesteuerte Anwendungen
API-Schwachstellen ähneln Anwendungsanfälligkeiten und umfassen Injektionen, Protokollangriffe, Parameter-Manipulationen, Weiterleitungen und Bot-Angriffe. Dedizierte API-Gateways gewährleisten die Kompatibilität der Anwendungsdienste, die über APIs interagieren. Sie bieten jedoch keine End-to-End-Sicherheit für Anwendungen, wie es ein WAF mit den erforderlichen Sicherheitsmaßnahmen wie der Analyse von HTTP-Headern, einer Zugriffssteuerungsliste der Schicht 7 (ACL), der Analyse und Überprüfung von JSON/XML-Nutzlasten sowie dem Schutz vor allen Schwachstellen aus der OWASP Top 10-Liste ermöglicht. Dies wird durch die Inspektion von Schlüsselwerten der API unter Verwendung positiver und negativer Modelle erreicht.
Aufgabe Nr. 3: Dienstverweigerung
Der alte Angriffsvektor - die Dienstverweigerung (DoS) - beweist weiterhin seine Wirksamkeit bei Angriffen auf Anwendungen. Angreifer verfügen über eine Vielzahl erfolgreicher Techniken zur Störung von Anwendungsdiensten, einschließlich HTTP- oder HTTPS-Fluten, geringfügigen und langsamen Angriffen ("low-and-slow", z. B. SlowLoris, LOIC, Torshammer), Angriffen unter Verwendung dynamischer IP-Adressen, Pufferüberläufen, Brute-Force-Angriffen und vielen anderen. Mit der Entwicklung des Internets der Dinge und dem damit verbundenen Aufkommen von IoT-Botnetzen sind Angriffe auf Anwendungen zu einem Hauptziel von DDoS-Angriffen geworden. Die meisten WAFs mit Verbindungstracking können nur eine begrenzte Last abwehren. Sie können jedoch HTTP/S-Traffic-Ströme überwachen und Angriffstraffic sowie bösartige Verbindungen entfernen. Nach der Identifizierung eines Angriffs macht es keinen Sinn, diesen Traffic erneut durchzulassen. Da die Bandbreite der WAF zur Abwehr von Angriffen begrenzt ist, ist eine zusätzliche Lösung am Netzwerkperimeter erforderlich, um die nächsten "schlechten" Pakete automatisch zu blockieren. Für dieses Schutzszenario müssen beide Lösungen in der Lage sein, miteinander zu kommunizieren, um Informationen über Angriffe auszutauschen.
Abb. 1. Organisation einer umfassenden Netz- und Anwendungsabsicherung am Beispiel der Lösungen von Radware
Aufgabe Nr. 4: Kontinuierlicher Schutz
Anwendungen unterliegen häufig Änderungen. Entwicklungsmethodologien und -implementierungen wie kontinuierliche Updates bedeuten, dass Modifikationen ohne menschliches Eingreifen und Kontrolle erfolgen. In solchen dynamischen Bedingungen ist es schwierig, angemessen funktionierende Sicherheitsrichtlinien aufrechtzuerhalten, ohne hohe Zahlen an Fehlalarmen. Mobile Anwendungen werden viel häufiger aktualisiert als Webanwendungen. Drittanbieter-Anwendungen können sich ohne Ihr Wissen ändern. Einige Organisationen streben mehr Kontrolle und Visualisierung an, um über potenzielle Risiken informiert zu bleiben. Doch das ist oft nicht erreichbar, und ein zuverlässiger Schutz von Anwendungen muss maschinelles Lernen nutzen, um bestehende Ressourcen zu berücksichtigen und visuell darzustellen, potenzielle Bedrohungen zu analysieren und Sicherheitsrichtlinien im Falle von Anwendungsmodifikationen zu erstellen und zu optimieren.
Das DBMS Tarantool ist ein attraktives, zukunftsträchtiges Produkt zur Erstellung von hochbelasteten Anwendungen.
Da Anwendungen eine immer wichtigere Rolle im Alltag spielen, werden sie zu einem Hauptziel für Hacker. Der potenzielle Gewinn für Angreifer und die möglichen Verluste für Unternehmen sind enorm. Die Komplexität der Aufgabe, die Sicherheit von Anwendungen zu gewährleisten, kann nicht überbetont werden, angesichts der Anzahl und Vielfalt von Anwendungen und Bedrohungen.
Glücklicherweise befinden wir uns in einem Moment der Zeit, in dem künstliche Intelligenz uns helfen kann. Algorithmen, die auf maschinellem Lernen basieren, bieten adaptive Echtzeitschutzmaßnahmen gegen die fortschrittlichsten Cyberbedrohungen, die auf Anwendungen abzielen. Sie aktualisieren auch automatisch die Sicherheitsrichtlinien zum Schutz von Web-, mobilen und Cloud-Anwendungen – sowie APIs – ohne Fehlalarme.
Es ist schwierig, genau vorherzusagen, wie die nächste Generation von Cyberbedrohungen für Anwendungen aussehen wird (möglicherweise ebenfalls basierend auf maschinellem Lernen). Aber Organisationen können definitv Schritte unternehmen, um die Daten von Kunden, das geistige Eigentum und die Verfügbarkeit von Diensten mit großem wirtschaftlichem Nutzen für das Unternehmen zu schützen.
Effektive Ansätze und Methoden zur Gewährleistung der Sicherheit von Anwendungen, grundlegende Typen und Angriffsvektoren, Risikobereiche und Lücken im Cyber-Schutz von Webanwendungen sowie weltweite Erfahrungen und bewährte Praktiken sind in der Studie und dem Bericht von Radware dargestellt.”.
Quelle: habr.com
