{"id":52993,"date":"2019-11-21T00:00:00","date_gmt":"2019-11-20T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10"},"modified":"2020-02-18T14:00:49","modified_gmt":"2020-02-18T11:00:49","slug":"funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/funktsional-sovremennyh-sistem-zashhity-prilozhenij-waf-dolzhen-byt-gorazdo-shire-spiska-uyazvimostej-iz-owasp-top-10","title":{"rendered":"Die Funktionalit\u00e4t moderner Anwendungssicherheitssysteme (WAF) sollte viel umfangreicher sein als die Liste der Schwachstellen aus dem OWASP Top 10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

R\u00fcckblick<\/h4>\n

\nDas Ma\u00df, die Zusammensetzung und die Struktur von Cyberbedrohungen f\u00fcr Anwendungen entwickeln sich schnell weiter. \u00dcber viele Jahre hatten Benutzer Zugang zu Webanwendungen \u00fcber das Internet mithilfe beliebter Webbrowser. Zu jedem Zeitpunkt war es notwendig, 2-5 Webbrowser zu unterst\u00fctzen, und der Satz von Standards f\u00fcr die Entwicklung und das Testen von Webanwendungen war ziemlich eingeschr\u00e4nkt. Beispielsweise wurden fast alle Datenbanken mit SQL erstellt. Leider lernten Hacker bald, Webanwendungen zu nutzen, um Daten zu stehlen, zu l\u00f6schen oder zu ver\u00e4ndern. Sie erhielten unbefugten Zugriff und missbrauchten die Funktionen von Anwendungen durch verschiedene Methoden, einschlie\u00dflich des Betrugs von Anwendungsbenutzern, der Injektion und der Remote-Ausf\u00fchrung von Code. Bald kamen kommerzielle Schutzma\u00dfnahmen f\u00fcr Webanwendungen auf den Markt, die Web Application Firewalls (WAF) genannt wurden, und die Gesellschaft reagierte mit der Gr\u00fcndung eines Open-Source-Projekts zur Sicherung von Webanwendungen, dem Open Web Application Security Project (OWASP), mit dem Ziel, Standards und Methoden zur Entwicklung sicherer Anwendungen zu definieren und aufrechtzuerhalten.<\/a><\/noindex><\/p>\n

Basisanwendungsschutz<\/h4>\n

\nOWASP Top 10 Liste<\/a><\/noindex> ist der Ausgangspunkt f\u00fcr den Schutz von Anwendungen und listet die gef\u00e4hrlichsten Bedrohungen und falschen Konfigurationen auf, die zu Anf\u00e4lligkeiten in Anwendungen f\u00fchren k\u00f6nnen, sowie Taktiken zur Erkennung und Abwehr von Angriffen. Die OWASP Top 10 gilt weltweit als anerkanntes Ma\u00df f\u00fcr die Cybersicherheitsindustrie und definiert eine Grundliste von Funktionen, die ein Web Application Firewall (WAF) System haben sollte. <\/p>\n

Dar\u00fcber hinaus muss die Funktionalit\u00e4t der WAF auch andere h\u00e4ufige Angriffe auf Webanwendungen ber\u00fccksichtigen, einschlie\u00dflich Cross-Site Request Forgery (CSRF), Clickjacking, Web Scraping und Remote File Inclusion (RFI)\/Local File Inclusion (LFI).<\/p>\n

Bedrohungen und Sicherheitsanforderungen moderner Anwendungen<\/h4>\n

\nBislang sind noch nicht alle Anwendungen in einer Netzwerkversion verf\u00fcgbar. Es gibt Cloud-Anwendungen, mobile Anwendungen, APIs und in den neuesten Architekturen sogar individuelle Software-Funktionen. All diese Arten von Anwendungen m\u00fcssen synchronisiert und kontrolliert werden, da sie unsere Daten erzeugen, \u00e4ndern und verarbeiten. Mit dem Auftreten neuer Technologien und Paradigmen ergeben sich neue Herausforderungen und Aufgaben in allen Phasen des Lebenszyklus von Anwendungen. Dazu geh\u00f6rt die Integration von Entwicklung und Betrieb (DevOps), Container, das Internet der Dinge (IoT), Open-Source-Tools, APIs und mehr. <\/p>\n

Die verteilte Bereitstellung von Anwendungen und die Vielfalt der Technologien schaffen komplexe und anspruchsvolle Aufgaben nicht nur f\u00fcr Sicherheitsspezialisten, sondern auch f\u00fcr Anbieter von Sicherheitsl\u00f6sungen, die sich nicht mehr auf einen einheitlichen Ansatz verlassen k\u00f6nnen. Die Sicherheitsvorkehrungen f\u00fcr Anwendungen m\u00fcssen deren gesch\u00e4ftsspezifische Anforderungen ber\u00fccksichtigen, um Fehlalarme und Beeintr\u00e4chtigungen der Servicequalit\u00e4t f\u00fcr die Benutzer zu vermeiden. <\/p>\n

Das Hauptziel von Hackern ist in der Regel entweder der Datenraub oder die St\u00f6rung der Verf\u00fcgbarkeit von Diensten. Angreifer profitieren ebenfalls von der technologischen Entwicklung. Erstens schaffen neue Technologien mehr potenzielle L\u00fccken und Schwachstellen. Zweitens stehen ihnen mehr Werkzeuge und Wissen zur Verf\u00fcgung, um traditionelle Sicherheitsma\u00dfnahmen zu umgehen. Dies erh\u00f6ht erheblich die sogenannte \"Angriffsfl\u00e4che\" und die Anf\u00e4lligkeit von Organisationen f\u00fcr neue Risiken. Sicherheitsrichtlinien m\u00fcssen kontinuierlich angepasst werden, um mit den Ver\u00e4nderungen in Technologien und Anwendungen Schritt zu halten. <\/p>\n

Daher m\u00fcssen Anwendungen vor der st\u00e4ndig wachsenden Vielfalt an Angriffsarten und -quellen gesch\u00fctzt werden, und die Abwehr automatisierter Angriffe sollte in Echtzeit auf Basis informierter Entscheidungen erfolgen. Dies f\u00fchrt zu h\u00f6heren Betriebskosten und manuellem Aufwand bei geschw\u00e4chten Sicherheitspositionen. <\/p>\n

Aufgabe Nr. 1: Bot-Management<\/h4>\n

\nMehr als 60 % des Internettraffics werden von Bots generiert, von denen die H\u00e4lfte als \"schlechte\" Traffic bezeichnet wird (laut den Sicherheitsbericht von Radware<\/a><\/noindex>). Organisationen investieren in die Erh\u00f6hung der Netzwerkbandbreite, um im Wesentlichen simulierte Last zu bedienen. Eine pr\u00e4zise Unterscheidung zwischen echtem Benutzertraffic und Bot-Traffic sowie zwischen \u201eguten\u201c Bots (z. B. Crawlers und Preisvergleichs-Diensten) und \u201eschlechten\u201c Bots kann zu erheblichen Einsparungen und einer Verbesserung der Dienstleistungsqualit\u00e4t f\u00fcr die Nutzer f\u00fchren. <\/p>\n

Bots werden diese Aufgabe nicht erleichtern, da sie das Verhalten realer Benutzer simulieren, CAPTCHAs und andere Barrieren umgehen k\u00f6nnen. Au\u00dferdem wird bei Angriffen unter Verwendung dynamischer IP-Adressen der IP-Filterschutz ineffektiv. H\u00e4ufig werden Open-Source-Entwicklungstools (zum Beispiel Phantom JS), die clientseitiges JavaScript ausf\u00fchren k\u00f6nnen, verwendet, um Brute-Force-Angriffe, Credential Stuffing-Angriffe, DDoS-Angriffe und automatisierte Bot-Angriffe durchzuf\u00fchren. <\/p>\n

F\u00fcr eine effektive Verwaltung des Bot-Traffics ist eine eindeutige Identifikation seiner Quelle (\u00e4hnlich einem Fingerabdruck) erforderlich. Bei einem Bot-Angriff entstehen zahlreiche Eintr\u00e4ge, und dieser Fingerabdruck hilft dabei, verd\u00e4chtige Aktivit\u00e4ten zu erkennen und Punkte zuzuweisen, auf deren Grundlage das Anwendungsschutzsystem eine informierte Entscheidung trifft \u2013 blockieren\/erlauben \u2013 und dabei die Rate an falsch-positiven Ergebnissen minimiert. <\/p>\n

\"Die<\/a><\/noindex><\/p>\n

Aufgabe Nr. 2: API-Schutz<\/h4>\n

\nViele Anwendungen sammeln Informationen und Daten von den Diensten, mit denen sie \u00fcber APIs interagieren. Bei der \u00dcbertragung sensibler Daten \u00fcber APIs \u00fcberpr\u00fcfen oder sch\u00fctzen mehr als 50 % der Organisationen ihre APIs nicht, um Cyberangriffe zu erkennen. <\/p>\n

Beispiele f\u00fcr die Nutzung von APIs:<\/p>\n