Mobile Malware und andere bösartige Aktivitäten stellen weiterhin eine Bedrohung für Mobilgerätenutzer dar, wenn sie über ihr Smartphone einkaufen, Bankgeschäfte erledigen, Gesundheitsdaten abrufen und vieles mehr. Zwar müssen auch die Endnutzer ihren Beitrag leisten, um nicht Opfer eines Angriffs zu werden, doch letztlich liegt es in der Verantwortung der App-Anbieter – also der Produkt-, Betriebs-, Datenschutz- und Sicherheitsteams –, für eine sichere mobile Umgebung zu sorgen. Auch die sensiblen Daten, die durch diese mobilen Apps fließen, müssen vor unbefugten, neugierigen Blicken geschützt werden.
Mobile Risiken sind etwas anders
Obwohl Unternehmen ihre Investitionen in den Schutz von Cloud-, Netzwerk- und Webanwendungen erhöht haben, behandeln viele mobile Anwendungen noch immer genauso wie herkömmliche Endgeräte, etwa Desktop-PCs und Laptops – unabhängig davon, ob es sich um firmeneigene Geräte oder um BYOD-Geräte handelt.
Die mobile Umgebung kann jedoch besondere Herausforderungen mit sich bringen und diese Systeme dadurch Angriffen aussetzen. Angreifer greifen beispielsweise häufig auf die folgenden Methoden zurück, um ein Gerät zu kompromittieren, Daten zu stehlen, privilegierten Zugriff zu erlangen und die Anwendung zu missbrauchen:
- Neuverpacken mobiler Apps
- Einschleusen von Schadsoftware
- Kapern von Hooking-Frameworks
- Durchführen von Overlay-Angriffen
Sobald ein Angreifer die Kontrolle über eine mobile App erlangt hat, kann er von der mobilen Anwendung aus mithilfe automatisierter Angriffe eine Attacke auf die serverseitigen Anwendungen starten. Dabei kann er verschiedene Angriffe mit schädlichen Bots durchführen, etwa Credential Stuffing, Kontoübernahmen, Scraping und mehr.
Das Hauptziel jedes Sicherheitsprogramms besteht darin, die Umgebung vor einer Kompromittierung zu schützen. Häufig wird dieses Ziel jedoch zunächst durch die Notwendigkeit bestimmt, Compliance-Standards wie die folgenden zu erfüllen:
- Datenschutz: DSGVO, CCPA
- Zahlungen: EMVCo SBMP, PCI-DSS und PSD2
- Gesundheitsdaten: HIPAA
Angesichts dieser Realität haben sich Experten von Google Cloud und F5 zusammengetan, um in einem Webinar diese Herausforderungen zu erörtern und einen Weg aufzuzeigen, wie Cloud-Engineering, App-Entwickler, Betriebsteams und Sicherheitsexperten gemeinsam dafür sorgen können, dass die Sicherheit mobiler Apps in ihren DevSecOps-Programmen angemessen berücksichtigt wird.
Zum Gesamtbild gehört auch die Wahl der richtigen Infrastruktur, die den Anforderungen moderner, adaptiver mobiler Apps gerecht wird und gleichzeitig Sicherheit und Datenschutz nahtlos auf die Endnutzer ausweitet, ohne die Benutzerfreundlichkeit zu beeinträchtigen. Ebenso wichtig ist es, den Bereitstellungsprozess der CI/CD-Pipeline vor Störungen und Verzögerungen zu schützen.
Unterschiedliche Perspektiven sind wichtig
Während des Webinars spielte Jess Steinbach, Moderatorin bei ActualTech Media, gemeinsam mit Joshua Haslett, Strategic Technology Partner Manager bei Google Cloud, und Peter Zavlaris, Cybersecurity Evangelist bei F5, mehrere Szenarien durch.
Unternehmensführung
Nur weil ein Unternehmen eine oder mehrere Vorschriften oder Normen einhält, bedeutet das nicht, dass die Risiken und rechtlichen Auswirkungen seiner mobilen Apps verschwinden. Ebenso muss das Risikoprofil mobiler Apps anders betrachtet werden als das herkömmlicher Web-Apps, aber dennoch in das übergeordnete Risikobild einbezogen werden.
Das Panel erörterte außerdem, wie Führungskräfte stärker dazu beitragen könnten, die Veränderung des Geschäftsrisikos zu bestimmen und zu berechnen, wenn die Gefahr besteht, dass eine mobile App von böswilligen Akteuren übernommen wird.
IT- und Sicherheitsbetrieb
IT- und Sicherheitsteams können gemeinsam die notwendigen Infrastrukturänderungen besser vorbereiten, um die Sicherheit mobiler Apps erfolgreich in ihren Entwicklungs- und Bereitstellungszyklus zu integrieren.
Natürlich besteht das Ziel darin, dies umzusetzen, ohne die eingesetzten Tools, die Bereitstellung, die Teamstruktur oder den Betrieb wesentlich zu beeinträchtigen. Das Panel erörterte den Einsatz von Low-Code-Technologie zur Implementierung und Konfiguration der Sicherheit mobiler Apps sowie die Frage, wie Erkenntnisse aus früheren Penetrationstests oder Audits dazu beitragen können, die Strategie, Planung und Kommunikation für ein robusteres AppSec-Programm zu gestalten, das auch mobile Apps einbezieht.
Engineering und Entwicklerbetrieb
Damit diese Gruppe besser versteht, wie die von ihr entwickelten mobilen Apps kompromittiert werden können, erläuterte die Diskussionsrunde die Funktionsweise von App-Repackaging- und Hooking-Angriffen und gab praxisnahe Einblicke, wie Entwicklungs- und Betriebsteams ihre Maßnahmen koordinieren können, um ihre Apps besser vor diesen Bedrohungen zu schützen.
Erfreulicherweise zeigte die Diskussionsrunde auch, wie Entwicklungsteams verborgene Vorteile in ihrer CI/CD-Pipeline erschließen können, wenn sie sich ein klares Bild von den Sicherheitsrisiken ihrer mobilen Apps machen und einen Plan zu deren Bewältigung entwickeln. Sicherheit kann manchmal mehr leisten als nur Risiken zu mindern – in diesem Fall kann sie auch Prozesse und Ergebnisse verbessern.
Praxisbeispiele verdeutlichen den Wert konkreten Handelns
Die Gruppe erörterte außerdem einige Beispiele aus der Praxis, um zu verdeutlichen, warum mobile Anwendungen in den übergreifenden CI/CD- und DevSecOps-Prozess integriert werden müssen:
- Compliance gewährleisten: Die Teams können regulatorische Anforderungen wie die DSGVO und HIPAA erfüllen, ohne dass sich dies nennenswert auf die Bereitstellung und Wartung mobiler Apps auswirkt.
- Optimierte Abläufe: Der IT-Betrieb kann die Zunahme mobiler Bedrohungen besser bewältigen, ohne das Team zu überlasten, und dabei bewährte Kommunikationsmethoden sowohl innerhalb des Teams als auch mit der Geschäftsleitung nutzen.
- Bedrohungsabwehr innerhalb der App: Ein DevOps-Team kann die AppSec-Sicherheitslage kontinuierlich überwachen und bewerten, um Bedrohungen, die zur Laufzeit auf die App abzielen, erfolgreich abzuwehren. Dabei tauscht es wichtige Informationen mit dem SecOps-Team aus, um die bestmögliche Reaktion zu erzielen.
Stoppen Sie den mobilen Angriffswahnsinn
Wenn Sie wissen möchten, wie gut Ihr Sicherheitsprogramm für mobile Apps gegen Echtzeitbedrohungen zur Laufzeit gewappnet ist, sehen Sie sich das On-Demand-Webinar „Stoppen Sie Angreifer, bevor sie Ihre mobilen Apps attackieren“ an.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...