Sie sind hier: Home » Markt » Hintergrund

Sicherung einer Webanwendung


eBay, Amazon & Co sollten Web-Anwendungen umfassender absichern: Netzwerk-Firewalls und SSL-Verschlüsselung reichen nicht aus
Web Application Firewalls schieben Online-Datendieben einen Riegel vor


(26.03.08) - Internetauktionen und Webshops sind in, bergen aber auch viele Gefahren. So sorgte jetzt eine Schlagzeile für Panik bei der eBay-Fangemeinde: Die Verbraucherinitiative "Falle Internet" fand heraus, dass das Online-Auktionshaus eBay nur unzureichend gegen Hacker-Attacken wie Cross-Site-Scripting (XSS) abgesichert ist.

"Doch dies ist leider kein Einzelfall. Nach Angaben von Gartner sind vier von fünf Webapplikationen angreifbar", warnt Daniel Estermann, Geschäftsführer Deutschland beim Schweizer Sicherheitsexperten Visonys. "Bei Webanwendungen reichen herkömmliche Firewalls oder Intrusion Detection-Systeme zur Absicherung einfach nicht aus. Da müssen viele Internetunternehmen nachrüsten."

Da es die Hacker und Datendiebe vermehrt auf unsichere Onlineanwendungen abgesehen haben, hat die Zahl der Angriffe mittlerweile bedrohliche Ausmaße angenommen. Estermann erläutert: "Eine leistungsstarke Web Application Firewall (WAF) kann hier Abhilfe schaffen, da sie zahlreiche Sicherheitsprobleme von Webanwendungen sowohl gezielter als auch effizienter und sicherer löst."

Die Sicherung einer Webanwendung beginnt - so Visonys - bei der gezielten Auswahl von Standardkomponenten wie Web Server, Betriebssystem, Bibliotheken und Anwendungsherstellern sowie bei der guten Programmierung der Webanwendung. Das Open Web Application Security Project (OWASP: www.owasp.org) gibt hilfreiche Tipps für die Verantwortlichen von Webanwendungen und zeigt, worauf es bei der Programmierung ankommt.

Für einen proaktiven Schutz mit einem positiven Sicherheitsmodell reicht aber die vermeintlich sichere Programmierung aus zwei Gründen nicht aus: Erstens kommt der Programmcode der Web-Anwendung viel zu spät zum Einsatz. Sobald ein Angreifer eine Schwachstelle in einer anderen Schicht ausnutzen kann, ist der Programmierer der Webanwendung machtlos. Im Gegensatz zum Unternehmen, das die Webanwendung anbietet und alle Ebenen sichern muss, reicht dem Angreifer eine Schwachstelle auf einer Ebene, um das System zu durchbrechen. Um aktuellen Bedrohungen gerecht zu werden, müsste die Webanwendung demnach pausenlos und immer wieder überarbeitet werden. Das ist aber weder effizient noch finanzierbar.

Vorgelagerte Sicherheitsmaßnahmen wie Web Application Firewalls kümmern sich dagegen fokussiert und dediziert um die Minimierung der Risikobedrohung für Webanwendungen. Nur so bleiben diese generell und effizient über längere Zeit vor unerwünschten und bösartigen Angriffen verschont. Regelmäßige Security Assessments mit Penetration Tests und Prüfungen aller Patch-Levels sowie Konfigurationen sind trotz WAF sinnvoll und können beim Einsatz einer WAF wesentlich effizienter durchgeführt werden. Dabei sollte darauf geachtet werden, dass nicht nur automatische Scanner, sondern auch ausgefeilte manuelle Angriffstechniken mögliche Schwachstellen aufspüren.

Auf Grund der Resultate lassen sich die Vorkehrungen zur Sicherung der Webanwendung dann gezielt optimieren. So entsteht der gewünschte ganzheitliche Security-Prozess - vom Schutzbedarf über die Implementierung bis zur Verifikation.

"Durch die Kombination von vorgelagerten Sicherheitsfunktionen in einer Web Application Firewall und die ständige Applikationsentwicklung werden die Risiken für Angriffe also gering gehalten. Dies ist nicht nur für den Anbieter der jeweiligen Website, sondern auch für die vielen Millionen Internetuser extrem wichtig. Denn nur mit einem umfassenden Sicherheitsschild behält das Internet als vertrauliches und verlässliche Kommunikations-, Geschäfts- und Handelswerkzeug seine Glaubwürdigkeit", fügt Estermann hinzu.

Hintergrund: Cross Site Scripting
Beim Cross Site Scripting geht es um die Manipulation von Benutzereingaben, die an eine Webanwendung übergeben werden können. Durch Ausnutzung von Sicherheitslücken in der Applikation kann ein Angreifer unter anderem schädliche Programmcodes in eine für den Anwender normalerweise korrekte Umgebung einbetten. Ziel ist zumeist das Ausspähen und die Manipulation von Benutzerdaten.

Eine XSS-Schwachstelle kann insbesondere in Kombination mit anderen Angriffen sehr wirkungsvoll sein – zum Beispiel lassen sich hierdurch erfolgreiche Phishing-Angriffe über den richtigen Applikationsserver abwickeln. XSS kann sogar zur vollständigen Kontrolle über die Webanwendung führen. Im Fall von eBay demonstrierte "Falle Internet" an einer Beispielauktion, dass Online-Kriminelle durch das Einbinden von Flash-Animationen in eine Artikelbeschreibung Einblick in alle Daten erhalten. Hierzu gehören persönliche Daten, sämtliche Handelsaktivitäten, alle beobachteten Artikel und auch persönliche Nachrichten. (Visonys: ra)


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Vier Fragen rund um ESG

    Deutschland - so will es die Bundesregierung - soll ein führender Sustainable-Finance-Standort werden. Eine Schlüsselrolle bei der Transformation zur nachhaltigen Wirtschaft nimmt dabei der Mittelstand ein. Denn längst haben sich die ESG-Kriterien von der reinen Anlagestrategie der Kapitalmarkt-Elite zum entscheidenden Faktor für Geschäftsentscheidungen und die Unternehmensausrichtung entwickelt.

  • Konjunkturelle Entwicklung im Zeichen des Krieges

    Der russische Angriffskrieg in der Ukraine führt nicht nur zu unvorstellbarem Leid aufseiten der ukrainischen Zivilbevölkerung, er hat auch massive Auswirkungen auf die europäische und deutsche Wirtschaft. Zu Recht hat Bundeskanzler Olaf Scholz bereits wenige Tage nach Kriegsausbruch das Wort Zeitenwende benutzt, um die mit dem Krieg in Europa einhergehenden Konsequenzen zu umschreiben. Stand heute ist weder ein Ende des Krieges absehbar noch erkennbar, welche Szenarien oder Eskalationen noch eintreten können. Diese Unsicherheit belastet die Wirtschaft zusehends.

  • Meldung rechtswidriger Inhalte

    Morddrohungen, Beleidigungen, Volksverhetzung: Hass und Hetze haben im Netz ein erschreckendes Ausmaß angenommen. Sie vergiften das gesellschaftliche Klima, unterdrücken die Meinungsfreiheit und gefährden die Demokratie. Deutschland hat mit dem im Oktober 2017 in Kraft getretenen Netzwerkdurchsetzungsgesetz (NetzDG) reagiert. Hiernach müssen soziale Netzwerke rechtswidrige Inhalte zeitnah löschen (§ 3 NetzDG) und seit 1. Februar 2022 beim Bundeskriminalamt (BKA) melden (§ 3a NetzDG).

  • Wie IT-Forensik die Demokratie schützt

    Eine Demokratie bietet den Menschen, die in ihr leben, viele Rechte und Freiheiten. Diese zu garantieren und zu schützen, ist Aufgabe des Staates. Exterro erläutert, wie digitalforensische Untersuchungen von Datenträgern, IT-Systemen und Kommunikationsverbindungen dabei helfen.

  • Hinter den Kulissen: Was Ransomware kostet

    Die Sicherheitsforscher von Check Point Research (CPR geben neue Einblicke in die Ransomware-Ökonomie, nachdem die Leaks der Conti-Gruppe und verschiedene Datensätze von Ransomware-Opfern weiter analysiert wurden. Das gezahlte Lösegeld ist nur ein kleiner Teil der tatsächlichen Kosten eines Ransomware-Angriffs für das Opfer, denn CPR schätzt die Gesamtkosten auf das Siebenfache. Die Cyberkriminellen verlangen eine Summe, die sich am Jahresumsatz des Opfers orientiert und zwischen 0,7 und fünf Prozent liegt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen