Verfügbarkeit ist ein Ablenkungsmanöver – und wir fallen darauf herein

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

In einer vollkommen ausgewogenen Welt wären Verfügbarkeit und Sicherheit gleichwertig. Sicherlich liegt den Nutzern von Anwendungen die Sicherheit ihrer Daten ebenso am Herzen wie der Zugriff darauf.

Wie wir nur allzu gut wissen, leben wir nicht in einer vollkommen ausgewogenen Welt. Aufgrund von Verfügbarkeits- und Leistungsproblemen löschen Nutzer eine App und wenden sich von einer Marke ab – genauso wahrscheinlich, wenn nicht sogar eher, wie nach einer Datenschutzverletzung.

Oh, sie machen bei einer Datenschutzverletzung immer noch ordentlich Wirbel. Doch in der Regel kostet sie das Unternehmen eher Geld als treue Nutzer.

Diese Diskrepanz spiegelt sich in den Prioritäten wider, die uns Sicherheitsexperten im F5 Labs' Bericht zum Anwendungsschutz 2018 nannten. Für CISOs ist das wichtigste Anliegen nicht – wie man aufgrund ihrer Berufsbezeichnung vermuten könnte – die Sicherheit. In einer früheren Studie mit Schwerpunkt auf CISOs, „Die sich wandelnde Rolle von CISOs und ihre Bedeutung für das Unternehmen“, gab die Mehrheit der CISOs an, dass die Verfügbarkeit ihr wichtigstes Anliegen und die Vermeidung von Anwendungsausfällen die Hauptaufgabe ihrer Organisationen sei.

Dies spiegelte sich auch in unserem demnächst erscheinenden Bericht zum Stand der Netzwerkautomatisierung wider. Auf die Frage, anhand welcher Kennzahlen der Erfolg auf individueller und Teamebene gemessen wird, nannten 59 % der Sicherheitsexperten die „Netzwerkverfügbarkeit“ an erster Stelle, dicht gefolgt von der „Anwendungsverfügbarkeit“, die von fast der Hälfte (49 %) der Befragten aus dem Sicherheitsbereich genannt wurde.

Der Begriff Verfügbarkeit schließt auch die Performance ein. Geschwindigkeit gilt als Bestandteil der Verfügbarkeit, und bei der Erkennung tatsächlich erfolgreicher Angriffe wird die Sicherheit oft zum Sündenbock gemacht. Da die für die Erkennung von Schadcode und schädlichen Daten unerlässliche Datenprüfung kostspielig ist und Latenzen verursacht, wird ihr Einsatz häufig als kontraproduktiv angesehen.

Die Fokussierung auf Verfügbarkeit kommt Angreifern zugute. Im Wissen darum, dass ihre Ziele der Verfügbarkeit Priorität einräumen, heißt es im Bericht von F5 Labs: „Angreifer setzen DDoS-Angriffe zudem gezielt als Ablenkungsmanöver ein, um gleichzeitig stattfindende Datendiebstähle und Betrugsangriffe zu verschleiern, während die Administratoren abgelenkt sind.“ Diese als „Nebelkerze“ bekannte Technik ist keineswegs neu. Wie wir bereits 2017 feststellten, werden Unternehmen zunehmend mit volumetrischen DDoS-Angriffen attackiert, um die wahren Absichten der Angreifer zu verschleiern.

Und die Verbraucher zahlen dafür.

Verfügbarkeit als Ablenkungsmanöver

Angreifer nutzen unseren Fokus auf Verfügbarkeit zunehmend als Ablenkungsmanöver. Das ist besorgniserregend, denn sie verschärfen ihre Taktiken und setzen sämtliche ihnen zur Verfügung stehenden Mittel ein, um sich durch Netzwerke, Infrastrukturen und Anwendungen einen Weg zu dem Schatz zu bahnen, der hinter deren Toren liegt: den Daten. Dabei nutzen Angreifer nicht nur Benutzer und Systeme aus, die zwischen ihnen und ihrem Ziel stehen. Heute setzen sie auch die Daten selbst ein.

Im Application Protection Report 2018 von F5 Labs analysierten Forscher Sicherheitsverletzungen und Angriffsdaten aus verschiedenen Quellen. Die Ergebnisse waren nicht unerwartet, sind aber beunruhigend.

Im ersten Quartal 2018 waren bei 70 % der analysierten Datensicherheitsverletzungen Web-Injection-Angriffe die Hauptursache. Wenn Sie die Entwicklung verfolgt haben, dürfte Sie das nicht überraschen. Im vergangenen Jahrzehnt war bei 23 % aller Datensicherheitsverletzungen SQL-Injection der ursprüngliche Angriffsvektor. Diese Angriffsmethode ist so weit verbreitet, dass sie 2017 auf Platz eins der OWASP Top 10 stand.

Tatsächlich basierte fast die Hälfte (46 %) der Angriffe auf PHP-basierte Webanwendungen auf Injections. Sicherheitsexperten sollten beachten, dass PHP allgegenwärtig ist. Builtwith.com, das die Technologien erfasst, mit denen die Anwendungen im Internet entwickelt werden, gibt an, dass 43 % der eine Million meistbesuchten Websites mit PHP erstellt wurden. In den USA werden fast 18 Millionen solcher Websites gehostet, wobei fast die Hälfte (47 %) der 10.000 meistbesuchten Websites diese Sprache verwendet.

Damit steht Angreifern eine große Auswahl potenzieller Ziele zur Verfügung, aus der sie auch tatsächlich wählen. Laut dem Bericht richteten sich die Angriffe über mehr als 21.000 verschiedene Netzwerke hinweg zu 58 % gegen PHP-basierte Websites.

Daten werden zunehmend zu einem (profitablen) Angriffsziel

Bevor Sie nun der verwendeten Sprache die Schuld geben, sei darauf hingewiesen, dass die Forscher von F5 Labs auch davor warnen, Deserialisierungsangriffe im Auge zu behalten. Solche Angriffe sind nicht sprachspezifisch und richten sich gegen die Daten selbst. Aus dem Bericht:

„Serialisierung findet statt, wenn Anwendungen ihre Daten für die Übertragung in ein Format (in der Regel ein Binärformat) umwandeln, typischerweise vom Server zum Webbrowser, vom Webbrowser zum Server oder über APIs von einem Rechner zum anderen.“

Durch das Einbetten von Befehlen oder die Manipulation von Parametern im Datenstrom gelangen Angriffe häufig ungefiltert direkt in die Anwendung. Anwendungen – oder Anwendungskomponenten –, die die Daten nicht filtern oder bereinigen, können Schwachstellen zum Opfer fallen, wie es bei Apache Struts der Fall war. Deserialisierungsangriffe gelten als so große Bedrohung, dass OWASP sie im vergangenen Jahr in seine Top-10-Liste aufgenommen hat. Angesichts der Tatsache, dass 148 Millionen US-Amerikaner und 15,2 Millionen britische Staatsbürger von einer solchen Schwachstelle betroffen waren, verdienen Deserialisierungsangriffe mehr Aufmerksamkeit, als ihnen aufgrund ihres relativ seltenen Auftretens in der Praxis zuteilwird.

Das Aufschlussreiche an diesen beiden Bedrohungen ist, dass sie einem gemeinsamen Muster folgen: Auch den Daten kann man nicht vertrauen. Unabhängig davon, ob sie absichtlich manipuliert werden oder sich an legitime Anfragen anhängen, verbergen sich Angriffe zunehmend im Datenstrom.

Doch bei aller Konzentration auf die Anwendung und ihre Daten sollten wir nicht außer Acht lassen, dass der Rest des Stacks ebenso anfällig ist und wahrscheinlich zum Angriffsziel wird. Dass weiterhin auf schwache Verschlüsselungsverfahren wie die veralteten Protokolle SSL und TLS 1.0 gesetzt wird, ist frustrierend. Diese Verfahren wurden außer Betrieb genommen, weil sie zahlreiche Sicherheitslücken aufweisen und es Angreifern erleichtern, sich Zugang zu verschaffen.

Wie der Bericht feststellt: „Etwa zweimal jährlich werden neue, namentlich bezeichnete Schwachstellen im TLS-Protokoll bekannt. Mit Ausnahme von Heartbleed sind die meisten dieser Schwachstellen jedoch eher theoretischer Natur und werden nur selten bei einem tatsächlichen Angriff ausgenutzt. Einer der größten Vorfälle betraf 2014 Community Health Systems (CHS). CHS verlor fast fünf Millionen Sozialversicherungsnummern, als ein Angreifer die Heartbleed-Schwachstelle ausnutzte.“

Geringe Bedrohung, hohes Risiko. Niemand möchte dieser seltene Fall sein, doch irgendwann trifft es jemanden.

Sicherheit und Verfügbarkeit sollten gleichermaßen berücksichtigt werden

Tatsache ist, dass wir in ein Zeitalter eintreten, in dem es nicht mehr ausreicht, niemandem zu vertrauen. Wir müssen tiefer in den Stack vordringen, um Angriffe aufzuspüren, die darauf ausgelegt sind, die zum Schutz von Anwendungen und Daten eingerichteten Sicherheitsmaßnahmen zu umgehen und außer Kraft zu setzen. Anwendungsschutz muss als kontinuierlicher Prozess betrachtet werden, bei dem der Zustand des gesamten Anwendungs-Stacks fortlaufend bewertet wird – vom Netzwerk über die Infrastruktur bis hin zu den Diensten. Das bedeutet, dass uns die Sicherheit unserer Daten ebenso wichtig sein muss wie die Geschwindigkeit, mit der wir sie bereitstellen.

Wir müssen uns an die Sicherheitsregel Nummer null erinnern: Benutzereingaben dürfen niemals als vertrauenswürdig gelten. Dabei müssen wir auch bedenken, dass Daten ebenfalls Benutzereingaben sind. Deshalb müssen wir die Sicherheitsmaßnahmen verstärken, eingehende Daten überprüfen und Wege finden, mögliche Auswirkungen auf Leistung und Verfügbarkeit auszugleichen.

Das bedeutet, zu erkennen, dass Verfügbarkeit manchmal nur ein Ablenkungsmanöver ist und wir es uns nicht leisten können, darauf hereinzufallen. Sicherheit verdient – und braucht – den gleichen Stellenwert wie Verfügbarkeit und Leistung. Für einen CISO sollte Sicherheit Vorrang vor Verfügbarkeit haben.

Denn wenn sich der CISO nicht für die Sicherheit starkmacht, wer dann?

Weitere Erkenntnisse und Analysen finden Sie im F5 Labs' Application Protection Report 2018, einschließlich hilfreicher Informationen zu Angriffen und Schutzmaßnahmen über den gesamten Anwendungs-Stack hinweg.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie