Wenn es um Enterprise-Stack-Sicherheit geht, sind Softwareanwendungen das schwächste Glied. In Der Stand der Anwendungssicherheit, 2020, sagt Forrester, dass die meisten externen Angriffe entweder durch das Ausnutzen einer Software-Schwachstelle (42%) oder durch eine Webanwendung (35 %) erfolgen.
Entwickler stehen unter dem Druck, Funktionen so schnell wie möglich zu veröffentlichen, da Anwendungen komplexer werden und Entwicklungszeiten kürzer werden. Um differenzierte und überzeugende Anwendungsfunktionen zu erzielen, verlassen sich Entwickler zunehmend auf Bibliotheken von Drittanbietern.
Diese Verschiebung hin zu Open-Source-Komponenten macht Sicherheitdienst für Unternehmen komplexer. Neue Frameworks wie Container und APIs erschweren die Anwendungssicherheit zusätzlich.
Da Entwickler ständig unter Druck gesetzt werden, neue Funktionen zu veröffentlichen, sind Unternehmen einem sehr realen Risiko ausgesetzt, dass die Sicherheit nicht Schritt halten kann. Sicherheit kann erreicht werden, indem Best Practices für die Anwendungssicherheit in den Softwareentwicklungslebenszyklus integriert und implementiert werden.
Warum sind Web-Sicherheitstests wichtig?
Das Testen von Webanwendungen und deren Konfigurationen auf Sicherheitsschwachstellen ist das Ziel von Websicherheitstests. Angriffe auf Anwendungsschicht (dh auf HTTP-basierte Anwendungen abzielen) sind die primären Ziele.
Es ist üblich, verschiedene Arten von Eingaben an eine Webanwendung zu senden, um Fehler zu provozieren und ein unerwartetes Verhalten zu bewirken. Bei diesen sogenannten „Negativtests“ wird das System auf nicht beabsichtigtes Verhalten untersucht.
Es ist auch wichtig, dies zu beachten Web-Sicherheitstests geht es nicht nur um das Testen der Sicherheitsfunktionen, die in der Anwendung implementiert sind (zB Authentifizierung und Autorisierung).
Es muss auch getestet werden, ob andere Funktionen (zB Geschäftslogik und Eingabe- und Ausgabevalidierung) auf sichere Weise implementiert werden. Der sichere Zugriff auf die Funktionen der Webanwendung ist das Ziel.
Was sind die verschiedenen Arten von Sicherheitstests?
- Dynamischer Anwendungssicherheitstest (DAST). Zur Einhaltung behördlicher Sicherheitsbewertungen ist dieser automatisierte Anwendungssicherheitstest ideal für intern gerichtete, risikoarme Anwendungen. Eine Kombination aus manuellen Web-Sicherheitstests und DAST ist der beste Ansatz für Anwendungen mit mittlerem Risiko und kritische Anwendungen, die geringfügigen Änderungen unterliegen.
- Statischer Anwendungssicherheitstest (SAST). Dieser Ansatz für Anwendungssicherheitstests sowohl manuell als auch automatisch. Auf diese Weise kann eine Anwendung getestet werden, ohne sie in einer Produktionsumgebung ausführen zu müssen. Darüber hinaus ermöglicht es Entwicklern, Sicherheitslücken in Software systematisch zu erkennen und zu beseitigen, indem sie den Quellcode scannen.
- Penetrationstest. Gerade für Anwendungen, die sich stark verändern, ist dieser manuelle Anwendungssicherheitstest ideal. Die Bewertungen umfassen Geschäftslogik und gegnerische Tests, um fortgeschrittene Angriffsszenarien zu identifizieren.
- Runtime Application Self Protection (RASP). Bei diesem sich entwickelnden Ansatz zur Anwendungssicherheit werden eine Reihe von technologischen Techniken verwendet, um eine Anwendung so zu instrumentieren, dass Angriffe während ihrer Ausführung überwacht und idealerweise in Echtzeit blockiert werden können.
Wie reduzieren Anwendungssicherheitstests das Risiko Ihres Unternehmens?
Mehrheit der Angriffe auf Webanwendungen
- Die SQL-Injection-Technik
- Cross-Site Scripting (XSS)
- Ausführen von Befehlen aus der Ferne
- Pfadüberquerung
Angriffsergebnisse
- Inhalte, die eingeschränkt sind
- Konten, die kompromittiert wurden
- Installation bösartiger Software
- Umsatzverlust
- Kunden verlieren Vertrauen
- Reputationsschäden
- Und vieles mehr
Die heutige Webumgebung ist anfällig für eine Vielzahl von Problemen. Wenn Sie wissen, wie eine Anwendung ausgenutzt werden kann, hilft Ihnen die Kenntnis der potenziellen Ergebnisse des Angriffs Ihrem Unternehmen, die Schwachstellen präventiv zu beheben und genau darauf zu testen.
Abschwächende Kontrollen können in den frühen Stadien des SDLC angewendet werden, nachdem die Ursache der Schwachstellen identifiziert wurde. Darüber hinaus kann ein Sicherheitstest für Webanwendungen das Wissen über die Funktionsweise dieser Angriffe nutzen, um bekannte Points of Interest anzugreifen.
Um das Risiko Ihres Unternehmens zu managen, müssen Sie die Auswirkungen eines Angriffs verstehen, da er verwendet werden kann, um den Gesamtschweregrad der Schwachstelle abzuschätzen.
Als Ergebnis eines Sicherheitstests kann Ihnen die Ermittlung des Schweregrads der erkannten Probleme dabei helfen, Behebungsbemühungen effizient und effektiv zu priorisieren. Minimieren Sie das Risiko Ihres Unternehmens, indem Sie mit Problemen von kritischem Schweregrad beginnen und zu Problemen mit geringerer Auswirkung übergehen.
Eine potenzielle Folgenabschätzung jeder Anwendung in der Anwendungsbibliothek Ihres Unternehmens vor der Identifizierung eines Problems kann bei der Priorisierung von Anwendungssicherheitstests hilfreich sein.
Wenn Web-Sicherheitstests eine etablierte Liste von hochkarätigen Anwendungen haben, können wir die Tests so planen, dass sie zuerst auf die kritischen Anwendungen Ihres Unternehmens abzielen, damit das Risiko für Ihr Unternehmen verringert werden kann.
Welche Funktionen sollten während eines Sicherheitstests für Webanwendungen überprüft werden?
Während des Sicherheitstests von Webanwendungen sollten mehrere Funktionen untersucht werden, die Liste ist jedoch nicht vollständig. Ihre Organisation könnte durch eine unsachgemäße Implementierung jedes einzelnen ernsthaften Risikos ausgesetzt sein.
- Anwendungs- und Serverkonfiguration- Fehler können mit der Verschlüsselungskonfiguration, Webserverkonfigurationen usw. zusammenhängen.
- Eingabevalidierung und Fehlerbehandlung- Die häufigsten Injection-Schwachstellen, einschließlich SQL-Injection und Cross-Site-Scripting (XSS), sind das Ergebnis einer schlechten Eingabe- und Ausgabeverarbeitung.
- Authentifizierung und Sitzungsverwaltung- Sicherheitslücken können zum Identitätswechsel von Benutzern führen. Eine starke Anmeldeinformationspolitik ist ebenfalls unerlässlich.
- Genehmigung- Überprüfung der Fähigkeit der Anwendung, vertikale und horizontale Rechteausweitung zu verhindern.
- Geschäftslogik- Diese Art von Logik ist für die meisten Geschäftsanwendungen unerlässlich.
- Clientseitige Logik- Diese Art von Funktion wird immer häufiger auf modernen, JavaScript-lastigen Websites sowie auf Websites verwendet, die andere clientseitige Technologien verwenden (z. B. Silverlight, Flash, Java-Applets).
Die 10 besten Best Practices für die Sicherheit von Webanwendungen
Im Folgenden sind die zehn besten Best Practices für die Anwendungssicherheit aufgeführt, die Ihr Unternehmen bereits implementieren sollte.
#1 Verfolgen Sie Ihre Vermögenswerte
Wenn Sie nicht wissen, was Sie haben, können Sie es nicht schützen.
Für welche Funktionen oder Apps nutzen Sie bestimmte Server? In welchen Web-Apps verwenden Sie Open-Source-Komponenten?
Denken Sie, dass es nicht wichtig ist, Ihr Vermögen zu verfolgen? Es ist sehr wichtig, sich daran zu erinnern, welche Software in jeder Anwendung ausgeführt wird – fragen Sie einfach Equifax, das mit einer Geldstrafe von 700 Millionen US-Dollar belegt wurde, weil es die Daten von über 145 Millionen Kunden nicht schützte.
Eines der Kunden-Webportale der Ratingagentur wurde kompromittiert, nachdem eine Open-Source-Komponente, Apache Struts, nicht gepatcht wurde. Das Unternehmen sagt, es sei sich nicht bewusst gewesen, dass das Kundenportal die anfällige Open-Source-Komponente verwendet.
Je früher Sie mit der Verfolgung Ihrer Vermögenswerte beginnen, desto weniger Kopfschmerzen und Katastrophen haben Sie später. Wenn Organisationen ihre Entwicklung skalieren, kann sich dieser Prozess wie eine Sisyphusarbeit anfühlen.
Sie sollten auch Ihre Vermögenswerte klassifizieren, wobei Sie auf diejenigen achten, die für die Funktionen Ihres Unternehmens von entscheidender Bedeutung sind, und auf diejenigen, die von geringerer Bedeutung sind. Dann können Sie Bedrohungen bewerten und später beheben.
#2 Führen Sie eine Bedrohungsanalyse durch
Wenn Sie eine Liste dessen erstellen, was Sie schützen müssen, können Sie die Bedrohungen identifizieren, denen Sie ausgesetzt sind, und wie sie gemildert werden können.
Wie könnten Hacker in Ihre Anwendung eindringen? Welche bestehenden Sicherheitsvorkehrungen haben Sie getroffen? Welche zusätzlichen Werkzeuge werden benötigt?
Diese und weitere Fragen müssen Sie im Rahmen Ihrer Gefährdungsbeurteilung beantworten.
Sie müssen jedoch auch realistisch sein, was die Sicherheit angeht, die Sie genießen können. Egal wie sicher Sie Ihr System machen, Sie können es trotzdem hacken. Darüber hinaus müssen Sie ehrlich sein, welche Maßnahmen Ihr Team im Laufe der Zeit beibehalten kann.
Sie können riskieren, dass Ihre Sicherheitsstandards und -praktiken ignoriert werden, indem Sie zu viel drängen. Nehmen Sie die Sicherheit ernst und überstürzen Sie sie nicht.
Verwenden Sie die folgende Formel, um Ihr Risiko zu bewerten:
Risiko = Wahrscheinlichkeit des Angriffs x Auswirkung des Angriffs.
Risiko kann auch als die Wahrscheinlichkeit, dass etwas passiert, im Vergleich zur Schwere der Folgen betrachtet werden.
Auch wenn es katastrophal wäre, wenn ein Wal vom Himmel fallen und Sie zerquetschen würde, ist es unwahrscheinlich, dass dies geschieht.
Ein Mückenstich auf einer Wanderung hingegen ist sehr wahrscheinlich, aber über ein paar juckende Beulen hinaus wahrscheinlich keinen nennenswerten Schaden anrichten.
#3 Behalte den Überblick über dein Patching
Installieren Sie die neuesten Patches auf Ihren Betriebssystemen? Verwenden Sie Software von Drittanbietern? Die Chancen stehen gut, dass Sie im Rückstand sind, was bedeutet, dass Sie exponiert sind.
Einer der wichtigsten Schritte, um die Sicherheit Ihrer Software zu gewährleisten, besteht darin, die Software entweder von einem kommerziellen Anbieter oder von einer Open-Source-Community zu aktualisieren.
Wenn eine Schwachstelle entdeckt und verantwortlich an die Produkt- oder Projektbesitzer gemeldet wird, wird sie auf Sicherheitsberatungsseiten und Datenbanken wie der WhiteSource Vulnerability Database veröffentlicht.
Wenn möglich, sollte vor der Veröffentlichung ein Fix erstellt und freigegeben werden, um Benutzern die Möglichkeit zu geben, ihre Software zu sichern.
Wenn Sie jedoch keinen Patch anwenden, sobald einer verfügbar ist, profitieren Sie nicht von einer verbesserten Sicherheit.
Wenn Sie befürchten, dass die Aktualisierung auf die neueste Version Ihr Produkt beschädigen kann, automatisierte Werkzeuge kann viel helfen. An jedem Wochentag sollten Sie Aktualisierungen und Patches als Teil Ihrer bewährten Vorgehensweisen für die Anwendungssicherheit priorisieren.
#4 Verwalten Sie Ihre Container
In den letzten Jahren haben Container an Popularität gewonnen, da immer mehr Unternehmen die Technologie aufgrund ihrer Flexibilität einsetzen, die den Prozess des Entwickelns, Testens und Bereitstellens von Komponenten in verschiedenen Umgebungen während des Softwareentwicklungslebenszyklus (SDLC) vereinfacht.
Es ist allgemein anerkannt, dass Container Sicherheitsvorteile bieten, die ihnen einen Vorteil verschaffen. Darüber hinaus sind sie aufgrund ihrer in sich geschlossenen Betriebssystemumgebung nach Design segmentiert, wodurch das Risikoniveau gesenkt wird.
Container sind jedoch weiterhin anfällig für Exploits wie einen Breakout-Angriff, bei dem die Isolation durchbrochen wurde. Container können auch eine Schwachstelle im darin gespeicherten Code enthalten.
Für die Sicherheit der CI/CD-Pipeline sollten Sie von Anfang bis Ende nach Schwachstellen suchen, auch in Ihren Registrierungen.
Zusätzlich zu diesen Scans umfassen Best Practices für die Anwendungssicherheit bei der Arbeit mit Containern auch wichtige Aufgaben wie das Signieren Ihrer eigenen Images mit Tools wie Docker Content Trust, wenn Sie Docker Hub verwenden, oder Shared Access Signature, wenn Ihr Team verwendet Microsoft Azure.
#5 Priorisieren Sie Ihre Korrekturmaßnahmen
In den letzten Jahren gab es eine zunehmende Anzahl von Sicherheitslücken, und dieser Trend zeigt keine Anzeichen einer Verlangsamung in absehbarer Zeit.
Folglich sind die Entwickler mit der Behebung beschäftigt. Für Teams, die ihre Anwendungen sicher halten und gleichzeitig gesund bleiben möchten, ist die Priorisierung von entscheidender Bedeutung.
Bedrohungsbewertungen werden basierend auf dem Schweregrad einer Schwachstelle (CVSS-Bewertung), der Kritikalität der betroffenen Anwendung und einer Reihe anderer Faktoren durchgeführt.
Sie müssen wissen, ob sich die Open-Source-Schwachstelle tatsächlich auf Ihren proprietären Code auswirkt, wenn es um Open-Source-Schwachstellen geht.
Ineffektiv und kein hohes Risiko, selbst wenn die CVSS-Bewertung der anfälligen Komponente kritisch ist, wenn sie keine Anrufe von Ihrem Produkt erhält.
Intelligente Strategien sind diejenigen, die die dringendsten Bedrohungen basierend auf den vorhandenen Faktoren zuerst priorisieren und die risikoarmen für später aufheben.
#6 Verschlüsseln, verschlüsseln, verschlüsseln
Die OWASP Top 10 umfasst seit Jahren die Verschlüsselung von Daten im Ruhezustand und während der Übertragung, was sie zu einer Voraussetzung für jede Best Practices-Liste für die Anwendungssicherheit macht.
Man-in-the-Middle-Angriffe und andere Formen des Eindringens können sensible Daten preisgeben, wenn Sie Ihren Datenverkehr nicht ordnungsgemäß sperren.
Wenn Sie Passwörter speichern und Benutzerkennungen im Klartext, gefährden Sie Ihre Kunden.
Stellen Sie sicher, dass Sie SSL mit einem aktualisierten Zertifikat als Teil Ihrer grundlegenden Checkliste für die Verschlüsselung verwenden. Lassen Sie sich nicht allein, da HTTPS der Standard ist. Hashing wird ebenfalls empfohlen.
Darüber hinaus sollten Sie niemals „Ihre eigene Krypto rollen“, wie sie sagen. Ziehen Sie Sicherheitsprodukte in Betracht, die von einem engagierten Team mit der Erfahrung unterstützt werden, die Arbeit richtig zu erledigen.
#7 Berechtigungen verwalten
Sie müssen nicht jedem in Ihrer Organisation Zugriff auf alles gewähren. Anwendungen und Daten sind nur für diejenigen zugänglich, die sie benötigen, indem sie Best Practices für die Netzwerksicherheit und Best Practices für die Anwendungssicherheit befolgen.
Dafür gibt es zwei Gründe. Das erste, was Sie tun müssen, ist zu verhindern, dass ein Hacker Marketing-Anmeldeinformationen verwendet, um Zugang zu einem System zu erhalten, das andere sensiblere Daten enthält, wie z. B. Finanz- oder Rechtsdaten.
Insider-Bedrohungen sind ebenfalls ein Problem, sei es unbeabsichtigt – wie der Verlust eines Laptops oder das Senden eines falschen Anhangs an eine E-Mail – oder bösartig.
Das Prinzip der geringsten Rechte, Mitarbeitern nur die Daten zur Verfügung zu stellen, die sie für den Zugriff auf Daten benötigen, könnte Ihre Gefährdung im Vergleich zu fehlenden Kontrollen reduzieren.
#8 Nutzen Sie Automatisierung für Ihr Schwachstellenmanagement
Die Sicherheit ihrer Anwendungen ist für Entwickler in den letzten Jahren immer wichtiger geworden, insbesondere wenn es um Aufgaben wie das Schwachstellenmanagement geht.
Um der Linksverschiebung der Sicherheit entgegenzuwirken, testen Entwicklerteams frühzeitig und häufig und führen so viele ihrer Sicherheitsprüfungen zu einem frühen Zeitpunkt im Entwicklungsprozess durch, wenn es einfacher und kostengünstiger ist, Schwachstellen zu beheben.
Um den aufgrund der schieren Menge an Schwachstellen unhandlichen Testprozess zu bewältigen, benötigen Entwickler automatisierte Tools.
Um potenzielle Sicherheitslücken in Ihrem proprietären Code zu finden, können während der Entwicklung statische Anwendungssicherheitstests (SAST) und dynamische Anwendungssicherheitstests (DAST) eingesetzt werden.
Sicherheitslücken werden mit SASTs und DASTs geschlossen, proprietärer Code macht jedoch einen relativ kleinen Teil Ihres Gesamtcodes aus.
In mehr als 92 % aller modernen Anwendungen machen Open-Source-Komponenten 60-80 % Ihrer Codebasis aus. Ihre Checkliste für die Anwendungssicherheit sollte die Sicherung von Open-Source-Komponenten priorisieren.
Mithilfe von Tools zur Analyse der Softwarezusammensetzung können Teams im gesamten SDLC automatisierte Sicherheitsprüfungen und Berichte durchführen, jede Open-Source-Komponente in ihrer Umgebung identifizieren und angeben, welche von ihnen eine bekannte Schwachstelle aufweist, die ein Sicherheitsrisiko für Ihre Anwendungen darstellt.
Sie können Ihre Schwachstellen besser verwalten, indem Sie Ihre automatisierten Tests auf Open-Source-Sicherheitsprobleme nach links verschieben.
#9 Penetrationstests
Eine Liste mit den besten Best Practices für die Anwendungssicherheit wäre ohne die Erwähnung von Pen-Tests unvollständig, obwohl automatisierte Tools dabei helfen, die überwiegende Mehrheit der Sicherheitsprobleme zu beheben.
Das Testen mit Stift und Papier ermöglicht es Ihnen, Ihre App zu stochern und zu stoßen, um Schwachstellen zu finden. Wenn ein entschlossener Hacker versucht, in Ihre Anwendung einzudringen, wissen gute Pen-Tester genau, welche Schritte sie unternehmen müssen.
Hacking-Firmen können angeheuert werden oder Freiberufler können an Bug-Bounty-Programmen wie BugCrowd und HackerOne teilnehmen. Ihr Unternehmen sollte eine Bug-Bounty sponsern, falls Sie dies noch nicht getan haben.
Wenn Sie Pen-Tester einstellen, ist es viel besser, dafür zu bezahlen, als sich mit den Folgen eines echten Verstoßes zu befassen.
#10 Seien Sie vorsichtig mit Token
Obwohl dies leicht zu sichern ist, sichern viele Entwickler ihre Token für Dritte nicht ordnungsgemäß.
Durch die Suche nach beliebten Entwickler-Websites können Sie ungesicherte Token online leicht finden. Anstatt Token-Details an anderer Stelle zu speichern, binden Entwickler sie einfach in ihre Open-Source-Repositorys ein.
Eine grundlegende bewährte Methode für die Anwendungssicherheit besteht darin, Ihre Drittanbieter-Token ordnungsgemäß zu sichern. Sie sollten Token, die Sie gekauft haben, nicht in Ihrem Code herumliegen lassen, damit sie sich jemand nehmen kann.
Best Practices für die Anwendungssicherheit als grundlegende Praktiken
Jede der hier beschriebenen Best Practices sollte in den kontinuierlichen Entwicklungsprozess Ihres Unternehmens integriert werden. Die Anwendungen und Daten Ihres Unternehmens sind gefährdet, wenn Sie das Risiko nicht minimieren. Befolgen Sie diese Schritte, um das Risiko zu minimieren.
Die Fehler zu vermeiden, die andere wahrscheinlich machen, ist eine Möglichkeit, Hackern einen Schritt voraus zu sein, sodass Sie für Angriffe schwerer zu erreichen sind. Es wird niemals eine vollständig hacksichere Perimeter- oder Anwendungssicherheitsmaßnahme geben.
Die Befolgung dieser grundlegenden Best Practices kann jedoch einen großen Beitrag dazu leisten, dass Ihre Anwendung die Mühe für die Hacker nicht wert ist.
