Anwendungssicherheit: Der Elefant im wolkigen Raum

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Okay, Kinder. Es ist Zeit, dass wir „dieses Gespräch“ führen. Ihr wisst schon, welches – das, über das ihr mit euren Freunden getuschelt habt, euch aber bisher nicht getraut habt, tatsächlich danach zu fragen, weil natürlich alle anderen darüber Bescheid wissen und ihr nicht uncool wirken wolltet, indem ihr zugebt, dass ihr es nicht wirklich wisst.

Aber das tun sie nicht – oder zumindest reden sie, falls sie es doch wissen, ebenfalls nicht darüber. Und es ist wirklich höchste Zeit, dass wir darüber sprechen, welche Vorsichtsmaßnahmen bei der Nutzung der Cloud zu treffen sind. Ihr wisst schon: wie ihr eure Apps in der Cloud vor Infektionen und Angriffen schützt.

Ja, heute sprechen wir endlich über Anwendungssicherheit in der Cloud.

Nicht über Verschlüsselung. Nicht über Identitäts- und Zugriffsmanagement. Und auch nicht über Netzwerksicherheit.

Anwendungssicherheit.

Obwohl im riesigen Internet von heute unzählige Dokumente, Studien, Ratschläge und allgemeine Diskussionen zum Thema „Cloud-Sicherheit“ verfügbar sind, erwähnen nur sehr wenige* davon den Begriff „App-Sicherheit“. Ich finde Studien und Statistiken zum Einsatz von Verschlüsselung, dazu, wer Daten in der Cloud schützen sollte (und wer es nicht tut), und dazu, wer welche Art von Identitäts- und Zugriffsmanagement nutzt, um den Zugriff auf Apps überall und jederzeit zu kontrollieren. Aber zum Thema Anwendungssicherheit? Fehlanzeige. Nichts. Rein gar nichts. Null.

Das ist wirklich ziemlich überraschend (und beunruhigend), wenn man bedenkt, dass Webanwendungen laut dem neuesten Verizon Data Breach Investigations Report (DBIR) bei Finanzdienstleistern die zweithäufigste Ursache für Sicherheitsvorfälle sind – direkt hinter der bedrohlich klingenden Crimeware. Ebenso überraschend ist, dass eine kurze Analyse der 25 größten Datenschutzverletzungen dieses Jahrhunderts ergeben hat, dass fast die Hälfte (44 %) über eine Webanwendung verübt wurde. Entmutigend ist außerdem, dass offenbar eine Korrelation zwischen einem sinkenden Sicherheitsniveau und der Migration von Anwendungen in die Cloud besteht.

Tatsache ist, dass Verschlüsselung kein Allheilmittel ist.

Lassen Sie mich das wiederholen, diesmal in Großbuchstaben, um zu unterstreichen, wie ernst die Lage ist: VERSCHLÜSSELUNG IST KEIN ALLHEILMITTEL.

Netzwerksicherheit sowie Identitäts- und Zugriffsmanagement sind ebenfalls kein Allheilmittel.

All diese Maßnahmen sind sinnvoll, doch jede für sich ist nur ein Teil eines weitaus umfassenderen Schutzkonzepts. Eines Schutzkonzepts, das auch Anwendungssicherheit einbeziehen sollte – was jedoch häufig nicht der Fall ist.

Network security kann einen HTTP-DDoS-Angriff nicht verhindern. Identitäts- und Zugriffsmanagement kann die Ausnutzung einer Schwachstelle in einer Webplattform wie Heartbleed oder Apache Killer nicht verhindern.

Verschlüsselung kann eine SQL-Injection nicht verhindern. Durch die Verschlüsselung von Schadcode wird dieser lediglich vor den zahlreichen Diensten im Netzwerk verborgen, die ihn erkennen sollen.

Eine Anwendung ist ihrem Zweck nach eine öffentlich zugängliche Ressource. Wir stellen sie bereit und erwarten – nein, wir ermutigen, verlocken und bitten die Nutzer geradezu –, mit ihr zu interagieren. Sie zu verwenden. Sie zu installieren. Sie häufig zu besuchen. Wir leben in einer Welt der Anwendungen, und das bedeutet, dass Anwendungen für jeden Geschäftsbereich von entscheidender Bedeutung sind – ganz gleich, ob sie sich an Kunden oder Mitarbeiter richten oder interne Systeme betreiben. Heutzutage sind wir bei fast allem, was wir tun, auf Anwendungen angewiesen, und doch scheinen wir sie immer zu vergessen, wenn es um Sicherheit geht.

Es ist wirklich höchste Zeit, dass wir der Anwendungssicherheit mehr Aufmerksamkeit schenken und nicht nur der Datensicherheit, Netzwerksicherheit oder verschlüsselten Kommunikation. Daten sind am anfälligsten, wenn sie in der Anwendung verarbeitet werden. Denn zu diesem Zeitpunkt liegen sie im Klartext vor und unterliegen vollständig der Kontrolle dieser Anwendung. Die Anwendung kann sie anzeigen, verändern und an jeden (oder angesichts der zunehmenden Verbreitung von Bots, Spidern und Malware immer häufiger an alles) weitergeben, der beziehungsweise das sie ihr entlocken kann.

Das bedeutet, dass wir der Absicherung von Anwendungen gegen Ausnutzung und Angriffe mehr Aufmerksamkeit schenken müssen. Von der Plattform (dem Web- oder Anwendungsserver) über die Protokolle (TCP und HTTP) bis hin zum eigentlichen Code. Wir müssen die unzähligen Methoden, mit denen Angreifer versuchen, Schwachstellen im gesamten Anwendungs-Stack auszunutzen, durch Scannen, Bereinigen und Erkennen aufspüren und abwehren.

Laut F-Secure Labs verdoppelte sich die Häufigkeit von Angriffen auf Webanwendungen von unter 20 % im Jahr 2012 auf 40 % im Jahr 2013. Neustar stellte 2014 zudem fest, dass 55 % der DDoS-Ziele von Ablenkungsangriffen betroffen waren (volumetrische DDoS-Angriffe als Deckmantel für die eigentlichen Angriffe auf Anwendungsebene). Bei fast 50 % wurde Malware bzw. ein Virus installiert, und 26 % verloren Kundendaten.

Angriffe auf Anwendungen stellen eine reale und erhebliche Bedrohung dar, insbesondere wenn diese in die Cloud verlagert werden, wo möglicherweise weniger Schutzmöglichkeiten zur Verfügung stehen.

Bei den nativen, sicherheitsorientierten Diensten in der Cloud dreht sich alles um Zugriff und Verschlüsselung. Keiner von ihnen bietet Sicherheit auf der „Anwendungsebene“, und keiner bietet die erforderliche Abdeckung, um darauf vertrauen zu können, einem Angriff standzuhalten, der durch Ausnutzung der Anwendung selbst darauf abzielt, Daten unzugänglich zu machen, zu beschädigen oder auszuschleusen. Daher benötigen Sie eine weitere Lösung – einen weiteren Dienst, der Anwendungen und die von ihnen verarbeiteten Daten in der Cloud genauso schützt wie im Rechenzentrum. Das kann eine cloudfähige WAF (Web Application Firewall) oder WAF as a Service sein oder zumindest die konsequente Umsetzung der von OWASP empfohlenen Best Practices für jede in der Cloud bereitgestellte Anwendung.

Cloud-Sicherheit kann als gemeinsame Verantwortung betrachtet werden, bei der Anbieter und Kunde unterschiedliche Aspekte der Absicherung der „Cloud“ übernehmen. Die Anwendungssicherheit liegt jedoch zu 110 % in der Verantwortung desjenigen, der die Anwendung überhaupt erst in der Cloud bereitstellt. Betrachten Sie dazu dieses Interview (via The Register) mit Bill Murray, dem Leiter der globalen Sicherheitsprogramme bei AWS (Hervorhebung von mir):

„Die Sicherheit bei AWS liegt in der gemeinsamen Verantwortung von AWS und seinen Kunden“, sagte Murray kürzlich in einem Interview. Er ist für die Sicherheit bei AWS zuständig, einschließlich der physischen Sicherheit der Amazon-Rechenzentren, und bearbeitet zugleich Durchsuchungsbeschlüsse und Vorladungen von Strafverfolgungsbehörden.

„Die Kunden sind dafür verantwortlich, alles zu schützen – vom Gastbetriebssystem, das sie auf AWS ausführen, bis hin zu den Anwendungen, die sie betreiben“, sagte er gegenüber El Reg. „Wir sind für das Hostbetriebssystem und die VM sowie für alles bis hinunter zum Betonboden des Rechenzentrums verantwortlich.“

„Diese Frage wird uns oft gestellt: ‚Was raubt Ihnen den Schlaf?‘ Was uns im Bereich AWS-Sicherheit den Schlaf raubt, ist, dass Kunden ihre Anwendungen nicht richtig konfigurieren, um ihre eigene Sicherheit zu gewährleisten“, sagte Murray.

Damit sind Sie gemeint, und das bedeutet, dass Sie sorgfältig abwägen müssen, welche Dienste und Lösungen Sie einsetzen, um diese Anwendung vor dem Angriff zu schützen, der unweigerlich auf Sie zukommen wird.

Anwendungssicherheit ist nicht wie ein teurer Leibwächter. Sie ist nichts, was nur VIP-Anwendungen vorbehalten ist. Sie ähnelt vielmehr dem persönlichen Schutz, den jede öffentlich zugängliche Anwendung haben sollte. Und das gilt unabhängig davon, ob sich diese Anwendungen im Rechenzentrum oder in der Cloud befinden.

* Ich sage zwar „sehr wenige“, aber ehrlich gesagt konnte ich nicht einmal einen einzigen finden. Vielleicht haben mich meine Google-Künste im Stich gelassen, aber wahrscheinlicher ist, dass offenbar niemand darüber sprechen möchte.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie