Videoreihe mit Lightboard-Lektionen zu den OWASP Top 10 von 2021

94 % der getesteten Apps wiesen eine Form von fehlerhafter Zugriffskontrolle auf. Solche Schwachstellen können zur unbefugten Offenlegung, Änderung oder Vernichtung von Daten sowie zur Ausweitung von Berechtigungen führen – und Kontoübernahmen (ATO), Datenschutzverletzungen, Bußgelder und Imageschäden nach sich ziehen.

Kryptografische Fehler, früher als „Offenlegung sensibler Daten“ bezeichnet, führen dazu, dass sensible Daten offengelegt und Benutzersitzungen übernommen werden. Trotz der weitverbreiteten Einführung von TLS 1.3 werden weiterhin alte und anfällige Protokolle aktiviert.

Injection bezeichnet eine breite Klasse von Angriffsvektoren, bei denen nicht vertrauenswürdige Eingaben die Programmausführung einer Anwendung verändern. Dies kann zu Datendiebstahl, zum Verlust der Datenintegrität, zu Dienstverweigerung und zur vollständigen Kompromittierung des Systems führen. Injection ist zwar nicht mehr das größte Risiko, stellt aber nach wie vor eine erhebliche Bedrohung dar.

Sicherheit muss ein integraler Bestandteil von Anwendungen sein. Selbst ein sicheres Design kann Implementierungsfehler aufweisen, die zu Schwachstellen führen. Ein unsicheres Design lässt sich auch durch eine perfekte Implementierung nicht beheben.

Fehlkonfigurationen von Sicherheitseinstellungen sind eine der Hauptursachen für Sicherheitsverletzungen in der Cloud. Erfahren Sie, was Sie tun und vermeiden sollten – denn moderne Anwendungsentwicklung, die Wiederverwendung von Software und immer komplexere, cloudübergreifende Architekturen erhöhen dieses Risiko.

Exploits in Open-Source-Software sind für viele der größten Sicherheitsvorfälle verantwortlich. Die kürzlich entdeckte Log4j2-Schwachstelle stellt möglicherweise das bislang größte Risiko in dieser Kategorie dar.

Die Identität muss unbedingt verifiziert werden. Zudem sind eine starke Authentifizierung und ein sicheres Sitzungsmanagement erforderlich, um Missbrauch der Geschäftslogik zu verhindern. Die meisten Angriffe auf Authentifizierungsmechanismen sind auf die fortgesetzte Verwendung von Passwörtern zurückzuführen. Kompromittierte Zugangsdaten, Botnetze und ausgefeilte Tools machen automatisierte Angriffe wie Credential Stuffing besonders lukrativ.

Diese neue Risikokategorie befasst sich mit Annahmen über Softwareupdates, kritische Daten und CI/CD-Pipelines, ohne deren Integrität zu überprüfen. Der Angriff auf die SolarWinds-Lieferkette zählt zu den verheerendsten Angriffen, die wir bislang erlebt haben.

Ohne eine ordnungsgemäße Protokollierung und Überwachung der App-Aktivitäten können Sicherheitsverletzungen nicht erkannt werden. Dies beeinträchtigt unmittelbar die Transparenz, die Alarmierung bei Sicherheitsvorfällen und die forensische Analyse. Je länger ein Angreifer unentdeckt bleibt, desto wahrscheinlicher ist es, dass das System kompromittiert wird.

SSRF-Schwachstellen entstehen, wenn eine Webanwendung eine Remote-Ressource abruft, ohne die vom Benutzer angegebene URL zu validieren. Angreifer können die Anwendung dazu bringen, eine Anfrage an ein unerwartetes Ziel zu senden – selbst wenn dieses durch eine Firewall, ein VPN oder eine andere Netzwerkzugriffskontrollliste (ACL) geschützt ist.