{"id":52993,"date":"2019-11-21T00:00:00","date_gmt":"2019-11-20T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10"},"modified":"2020-02-18T14:00:49","modified_gmt":"2020-02-18T11:00:49","slug":"funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","title":{"rendered":"Die Funktionalit\u00e4t moderner Anwendungsschutzsysteme (WAF) sollte viel umfangreicher sein als die Liste der Schwachstellen aus dem OWASP Top 10.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

R\u00fcckblick<\/h4>\n

\nDas Ausma\u00df, die Zusammensetzung und die Struktur der Cyberbedrohungen f\u00fcr Anwendungen entwickeln sich schnell weiter. \u00dcber viele Jahre haben Benutzer \u00fcber beliebte Webbrowser auf Webanwendungen im Internet zugegriffen. Zu jedem bestimmten Zeitpunkt war es erforderlich, 2 bis 5 Webbrowser zu unterst\u00fctzen, und der Satz von Standards f\u00fcr die Entwicklung und das Testen von Webanwendungen war stark eingeengt. Zum Beispiel wurden fast alle Datenbanken mit SQL erstellt. Leider haben Hacker bald gelernt, Webanwendungen zu nutzen, um Daten zu stehlen, zu l\u00f6schen oder zu ver\u00e4ndern. Sie verschafften sich illegalen Zugang und missbrauchten die Funktionen von Anwendungen durch verschiedene Methoden, einschlie\u00dflich der T\u00e4uschung von Anwendung Benutzern, das Einf\u00fcgen und die Ausf\u00fchrung von Code aus der Ferne. Bald erschienen auf dem Markt kommerzielle Schutzmittel f\u00fcr Webanwendungen, die Web Application Firewalls (WAF) genannt werden, und die Gesellschaft reagierte mit der Schaffung eines offenen Projekts zur Sicherstellung der Sicherheit von Webanwendungen, des Open Web Application Security Project (OWASP), das zum Ziel hatte, Standards und Methodiken f\u00fcr die Entwicklung sicherer Anwendungen festzulegen und zu unterst\u00fctzen.<\/a><\/noindex><\/p>\n

Grundschutz f\u00fcr Anwendungen<\/h4>\n

\nDie OWASP Top 10<\/a><\/noindex> stellt einen Ausgangspunkt f\u00fcr den Schutz von Anwendungen dar und enth\u00e4lt eine Liste der gef\u00e4hrlichsten Bedrohungen und falschen Konfigurationen, die zu Schwachstellen von Anwendungen f\u00fchren k\u00f6nnen, sowie Taktiken zur Erkennung und Abwehr von Angriffen. Die OWASP Top 10 gilt als anerkannte Orientierung in der Cyber-Sicherheitsbranche f\u00fcr Anwendungen weltweit und definiert eine grundlegende Liste an M\u00f6glichkeiten, die ein Schutzsystem f\u00fcr Webanwendungen (WAF) haben sollte. <\/p>\n

Dar\u00fcber hinaus sollte die Funktionalit\u00e4t von WAF auch andere verbreitete Angriffe auf Webanwendungen ber\u00fccksichtigen, einschlie\u00dflich Cross-Site Request Forgery (CSRF), Clickjacking, Web-Scraping und Remote File Inclusion (RFI)\/Local File Inclusion (LFI).<\/p>\n

Bedrohungen und Herausforderungen f\u00fcr die Sicherheit moderner Anwendungen<\/h4>\n

\nHeute sind l\u00e4ngst nicht alle Anwendungen in einer Netzwerkvariante umgesetzt. Es gibt Cloud-Anwendungen, mobile Anwendungen, APIs und in den neuesten Architekturen sogar individuelle Softwarefunktionen. All diese Arten von Anwendungen m\u00fcssen synchronisiert und \u00fcberwacht werden, da sie unsere Daten erstellen, \u00e4ndern und verarbeiten. Mit dem Aufkommen neuer Technologien und Paradigmen entstehen neue Schwierigkeiten und Herausforderungen in allen Phasen des Lebenszyklus von Anwendungen. Dazu geh\u00f6rt die Integration von Entwicklung und Betrieb (DevOps), Container, das Internet der Dinge (IoT), Open-Source-Tools, APIs usw. <\/p>\n

Die verteilte Bereitstellung von Anwendungen und die Vielfalt der Technologien schaffen komplexe und anspruchsvolle Aufgaben, nicht nur f\u00fcr Spezialisten f\u00fcr Informationssicherheit, sondern auch f\u00fcr Sicherheitsl\u00f6sungsanbieter, die sich nicht l\u00e4nger auf einen einheitlichen Ansatz verlassen k\u00f6nnen. Die Schutzma\u00dfnahmen f\u00fcr Anwendungen m\u00fcssen deren branchenspezifische Gegebenheiten ber\u00fccksichtigen, um Fehlalarme zu vermeiden und die Qualit\u00e4t der Dienstleistungen f\u00fcr die Nutzer nicht zu beeintr\u00e4chtigen. <\/p>\n

Das Hauptziel von Hackern sind in der Regel entweder Datenstehlen oder die Beeintr\u00e4chtigung der Verf\u00fcgbarkeit von Dienstleistungen. Angreifer profitieren ebenfalls von der technologischen Evolution. Erstens schafft die Entwicklung neuer Technologien mehr potenzielle Sicherheitsl\u00fccken und Schwachstellen. Zweitens steht ihnen ein gr\u00f6\u00dferes Arsenal an Werkzeugen und Wissen zur Verf\u00fcgung, um herk\u00f6mmliche Schutzma\u00dfnahmen zu umgehen. Dies erh\u00f6ht erheblich die so genannte \"Angriffsfl\u00e4che\" und die Verwundbarkeit von Organisationen gegen\u00fcber neuen Risiken. Sicherheitsrichtlinien m\u00fcssen sich st\u00e4ndig an die Ver\u00e4nderungen in Technologien und Anwendungen anpassen. <\/p>\n

Daher m\u00fcssen Anwendungen vor der st\u00e4ndig wachsenden Vielfalt von Angriffsmetoden und -quellen gesch\u00fctzt werden, und die Abwehr automatisierter Angriffe muss in Echtzeit auf der Grundlage informierter Entscheidungen erfolgen. Dies f\u00fchrt zu h\u00f6heren Betriebskosten und mehr manuellem Aufwand bei gleichzeitig geschw\u00e4chten Sicherheitspositionen. <\/p>\n

Aufgabe Nr. 1: Bot-Management<\/h4>\n

\n\u00dcber 60 % des Internetverkehrs werden von Bots generiert, von denen die H\u00e4lfte als \"schlechter\" Verkehr eingestuft wird (laut den Daten des Radware-Sicherheitsberichts<\/a><\/noindex>). Organisationen investieren in die Erh\u00f6hung der Netzwerkbandbreite, indem sie im Wesentlichen eine Scheinbelastung bedienen. Eine genaue Trennung zwischen echtem Nutzerverkehr und Bot-Verkehr sowie zwischen \u201eguten\u201c Bots (z.B. Suchmaschinen-Robots und Preisvergleichsdiensten) und \u201eschlechten\u201c Bots kann zu erheblichen Kosteneinsparungen und einer Verbesserung der Servicequalit\u00e4t f\u00fcr die Nutzer f\u00fchren. <\/p>\n

Bots haben nicht vor, diese Aufgabe zu erleichtern und k\u00f6nnen das Verhalten echter Nutzer imitieren, CAPTCHA und andere Hindernisse umgehen. Dar\u00fcber hinaus wird der Schutz auf der Grundlage der IP-Adressfilterung bei Angriffen mit dynamischen IP-Adressen ineffektiv. Oftmals werden Open-Source-Entwicklungswerkzeuge (zum Beispiel Phantom JS), die Client-JavaScript ausf\u00fchren k\u00f6nnen, f\u00fcr Brute-Force-Angriffe, Credential-Stuffing-Angriffe, DDoS-Angriffe und automatisierte Bot-Angriffe verwendet. <\/p>\n

F\u00fcr eine effektive Verwaltung des Bot-Verkehrs ist eine einzigartige Identifizierung seiner Quelle (wie ein Fingerabdruck) erforderlich. Da bei einem Bot-Angriff viele Eintr\u00e4ge entstehen, erm\u00f6glicht sein Fingerabdruck die Identifizierung verd\u00e4chtiger Aktivit\u00e4ten und die Vergabe von Punkten, auf deren Basis das Anwendungsschutzsystem eine informierte Entscheidung trifft \u2013 blockieren\/erlauben \u2013 mit minimalen Fehlalarmraten. <\/p>\n

\"Die<\/a><\/noindex><\/p>\n

Aufgabe Nr. 2: API-Schutz<\/h4>\n

\nViele Anwendungen sammeln Informationen und Daten von Diensten, mit denen sie \u00fcber APIs interagieren. Bei der \u00dcbertragung vertraulicher Daten \u00fcber APIs f\u00fchren \u00fcber 50 % der Organisationen weder eine \u00dcberpr\u00fcfung noch einen Schutz der APIs zur Erkennung von Cyberangriffen durch. <\/p>\n

Beispiele f\u00fcr die Nutzung von APIs:<\/p>\n