Identifizieren gängiger Anwendungssicherheitsbedrohungen
Lernziele
Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:
- Beschreiben der Bedeutung der Bestandsaufnahme und Priorisierung von Anwendungen und ihren Risiken
- Auflisten wichtiger Account-Zugriffsinformationen, die Anwendungssicherheitsingenieure identifizieren sollten
Anwendungen und ihre Risiken
Die Nutzung von Anwendungen sowohl durch Verbraucher als auch durch Unternehmen hat in den letzten Jahren stetig zugenommen und wird voraussichtlich weiter ansteigen. In den letzten Jahren ist die Anwendungsentwicklung einfacher geworden und erfordert weniger Ressourcen. In großen Unternehmen kann es passieren, dass verteilte Entwicklerteams neuen Code erstellen, ohne dass die IT- und Sicherheitsabteilungen davon wissen. Wenn diese Geschäftseinheiten dann auch noch selbst über den Kauf von Technologie entscheiden, kann es dazu kommen, dass Unternehmensdaten mit verschiedenen Technologielösungen gespeichert werden und dabei wenig auf Standardisierung und Kontrolle geachtet wurde.
Dazu kommt, dass Unternehmen immer kürzere Laufzeiten für ihre Softwareprojekte fordern, so dass Entwickler Funktionen in einem Tempo bereitstellen müssen, das zu einem Risiko für die Sicherheit der Anwendungen und ihrer Daten werden kann. Durch den Druck, Funktionen möglichst schnell bereitzustellen, wird außerdem vermehrt auf automatisierte Prozesse gesetzt, so dass jetzt, wann immer möglich, auch Sicherheitsscans automatisiert werden.
Aufgrund dieser beiden Trends ist es wichtig, dass Anwendungssicherheitsingenieure zunächst eine Bestandsaufnahme der Anwendungen in ihrer Umgebung und die mit ihnen verbundenen Risiken erstellen müssen. Genau wie ein Unternehmen, das mit konkreten Produkten handelt, den Lagerbestand ermittelt, beginnen Anwendungssicherheitsingenieure mit einer Bestandsaufnahme der Anwendungen in ihrer Umgebung. Beim Identifizieren der Risiken in den Anwendungen werden die Bedrohungen, Schwachstellen und geschäftlichen Auswirkungen der einzelnen Anwendungen festgestellt, um anhand dieser Informationen entsprechende Schutzmaßnahmen zu priorisieren. Das OWASP (Open Web Application Security Project) stellt Anwendungssicherheitsingenieuren verschiedenste praktische Informationen zur Verfügung, wie etwa Einzelheiten zur Vorgehensweise bei der Risikoeinstufung, mit der bewertet wird, welche Sicherheitsrisiken für eine bestimmte Unternehmensumgebung die größte Gefahr darstellen.
Berücksichtigen Sie beim Beurteilen von Sicherheitsrisiken die damit verbundenen Bedrohungen, die möglichen Methoden, die Schwachstellen, die ausgenutzt werden können, und die möglichen Auswirkungen auf das Unternehmen. Anwendungssicherheitsingenieure kennen eine Vielzahl von Risiken, von denen einige in OWASP Top 10 beschrieben werden, und ergreifen entsprechende Schutzmaßnahmen. In den folgenden Einheiten lernen Sie einige dieser Risiken genauer kennen, wie etwa Injektion, Cross-Site Scripting (XSS), Sicherheitsfehlkonfiguration, unterbrochene Authentifizierung, unterbrochene Zugriffskontrolle, Offenlegung sensibler Daten und unzureichende Protokollierung und Überwachung.
Verfolgen des Anwendungszugriffs
Durch die Bestandsaufnahme von Anwendungen und den mit ihnen verbundenen Bedrohungen, Schwachstellen, Risiken und Auswirkungen haben Sie sich bereits Gedanken über Bedrohungsakteure und ihre Ziele gemacht. Anwendungssicherheitsingenieure müssen sich zusätzlich überlegen, wie Angreifer auf ein System zugreifen könnten, um sensible Informationen zu stehlen oder andere Schäden anzurichten. Jeder Einstiegspunkt für legitime Benutzer oder Nichtbenutzer kann auch von einem Angreifer ausgenutzt werden. Es ist entscheidend, dass die Anwendungssicherheitsexperten die verschiedenen Arten des Anwendungszugriffs in ihrer Umgebung identifizieren und verstehen.
Ingenieure für Anwendungssicherheit stellen folgende Fragen zum Anwendungszugriff:
- Wer greift auf die Anwendung zu? Ist diese Anwendung für Kunden, Geschäftspartner, Mitarbeiter oder Drittanbieter bestimmt? Welche Arten von Zugriff benötigen die einzelnen Benutzertypen? Welche Berechtigungen oder Funktionen benötigen sie? Wird die Anwendung zum Beispiel für Finanztransaktionen verwendet? Muss sie interoperabel sein, um den Zugriff auf andere Anwendungen oder eine Browser-Sitzung zu ermöglichen?
- Von wo aus greifen Benutzer auf die Anwendung zu? Handelt es sich um eine mobile oder eine Desktop-Anwendung? Steht sie nur internen Benutzern zur Verfügung, z. B. Mitarbeitern im Intranet des Unternehmens, oder ist sie auch extern verfügbar (z. B. über das Internet)? Sind sensible Anwendungen von weniger sensiblen Bereichen des Netzes getrennt?
- Welche privilegierten Administratorfunktionen gibt es? Welche Funktionen kann ein Administrator ausführen und wie werden sie kontrolliert? Wie werden diese Accounts überwacht?
Denken Sie bei all diesen Punkten daran, dass böswillige Akteure verschiedene Wege durch die Anwendung nehmen können, um dem Unternehmen zu schaden. Anwendungssicherheitsingenieure bewerten jeden dieser potenziellen Einstiegspunkte und die zugehörigen Wege und richten entsprechende Schutzmaßnahmen ein. Im nächsten Modul befassen wir uns eingehender mit dem Schutz von Anwendungen, angefangen beim Sichern des Softwareentwicklungszyklus.
Zusammenfassung
In diesem Modul haben Sie erfahren, was eine Anwendung ist, welche Fertigkeiten Anwendungssicherheitsingenieure benötigen und wie sie die Anwendungen, Risiken, Schwachstellen und Bedrohungen in der Umgebung ihres Unternehmens identifizieren. Außerdem haben wir kurz einige gängige Anwendungssicherheitsszenarien angerissen. Im Modul Aufgaben eines Anwendungssicherheitsingenieurs werden die einzelnen Szenarien detaillierter behandelt und erläutert, wie Anwendungssicherheitsingenieure die Umgebung davor schützen können, indem sie dem Softwareentwicklungszyklus folgen. Sind Sie an mehr Informationen zur Cybersicherheit interessiert? Auf der Lernwebsite zur Cybersicherheit in Trailhead werden Sie fündig.