So gewährleisten Sie die Verfügbarkeit, Integrität und Vertraulichkeit Ihrer Apps

F5

7 MIN. LESEZEIT

In den vergangenen vier Jahrzehnten hat sich Software weiterentwickelt. Zu Zeiten der Großrechner griffen Benutzer auf zentral gespeicherte Programme auf großen Mehrbenutzersystemen zu. In den 1990er-Jahren hingegen wurde die typische Anwendung auf einem in einer Pappschachtel eingeschweißten Kunststoffdatenträger ausgeliefert, lokal installiert und nur selten aktualisiert.

In gewisser Weise hat sich der Kreis geschlossen: Anwendungen werden wieder zunehmend über ein Netzwerk bereitgestellt, und Anwendungsentwickler übernehmen immer häufiger operative Aufgaben und kümmern sich selbst um die Absicherung der von ihnen entwickelten Apps. In dieser ständig verfügbaren Welt, in der Anwendungen als Dienst bereitgestellt werden, können Software-Schwachstellen schnell ausgenutzt und Dienste durch einfache DDoS-Angriffe unterbrochen werden.

Unternehmen, die eigene Anwendungen entwickeln, müssen sicherstellen, dass ihre Programmierer Software im Rahmen eines durchgängig sicheren Softwareentwicklungslebenszyklus (SDLC) erstellen. Dabei gilt es, die Angriffsfläche der Software zu reduzieren, Schwachstellen zu beseitigen und Entwickler darin zu schulen, Software sicherer zu konzipieren und zu programmieren.

Anwendung von Zugriffskontrollen und grundlegenden Sicherheitsprinzipien

Gleichzeitig müssen Unternehmen Cloud-Anwendungen als operative Technologie behandeln, die sicher verwaltet werden muss. Da Cloud-Anwendungen ständig mit dem Internet verbunden sind, können sie leicht zum Ziel von Angriffen werden. Daher ist es entscheidend, Schwachstellen rechtzeitig zu erkennen und zu beseitigen. Um Bedrohungen immer einen Schritt voraus zu sein, sollten Unternehmen einen Schwachstellenmanagementprozess einführen, der Schwachstellen identifiziert und priorisiert und Gegenmaßnahmen mithilfe einer Web Application Firewall (WAF) schnell automatisieren kann. Eine WAF ist eine wichtige Sicherheitsmaßnahme für Webanwendungen, die einem Unternehmen Zeit verschaffen kann, indem sie einen Angriff blockiert, während das Entwicklungsteam an der Behebung des Codes arbeitet.

Was sollten Sie über die typische Diskussion zum Schwachstellenmanagement bei der Anwendungssicherheit hinaus noch berücksichtigen? Ein guter Ausgangspunkt ist die Einrichtung geeigneter Zugriffskontrollen. Das AAA-Framework für Authentifizierung, Autorisierung und Protokollierung ist ein wichtiger Leitfaden, um standardmäßig eine starke Authentifizierung mithilfe von Funktionen wie SSO und Multi-Faktor-Authentifizierung vorzuschreiben. Darüber hinaus trägt die Autorisierung von Benutzern anhand einer robusten rollenbasierten Zugriffskontrolle (RBAC) mit mindestens drei Rollen (z. B. Benutzer ohne besondere Berechtigungen, privilegierter Benutzer und Administrator) dazu bei, unbeabsichtigte Vorfälle zu vermeiden. Sollte es dennoch zu einem Vorfall kommen, hilft Ihnen eine angemessene Ereignisprotokollierung dabei, wichtige Details zur Behebung zu ermitteln, etwa welches Konto verwendet wurde und von welchem System der Zugriff erfolgte.

Ergänzend zum AAA-Framework kann die Betrachtung der Anwendungssicherheit anhand der CIA-Sicherheitsprinzipien – Vertraulichkeit, Integrität und Verfügbarkeit – weitere Maßnahmen aufzeigen, die Unternehmen ergreifen sollten, um ihre Anwendungen zu schützen und den Betrieb ihrer Dienste aufrechtzuerhalten.

1. Verfügbarkeit – den Anwendungsbetrieb aufrechterhalten

Da Beschäftigte zunehmend auf Cloud-Anwendungen angewiesen sind, ist die Verfügbarkeit von Cloud-Diensten für den Geschäftsbetrieb von entscheidender Bedeutung. DDoS-Angriffe, die früher lediglich lästig waren, können den Geschäftsbetrieb heute weitaus stärker beeinträchtigen.

Empfehlungen:

• Nutzen Sie DDoS-Abwehrdienste, die Angriffe bereits am Netzwerkrand blockieren. Im Falle eines Angriffs kann ein solches System Ihnen sogar Kosten ersparen, da der Datenverkehr keine zusätzlichen Gebühren durch eine sprunghaft erhöhte Cloud-Nutzung verursacht.
• Implementieren Sie einen Prozess für das Änderungsmanagement. Viele Unternehmen haben durch ein fehlerhaftes Update ihrer Infrastruktur einen Ausfall ihrer eigenen Dienste verursacht.
• Verwenden Sie eine WAF- oder DDoS-Schutz-Appliance, um Angriffe auf Schicht 7 (Anwendungsebene) zu verhindern.

2. Integrität – Sicherstellen, dass die App wie vorgesehen funktioniert

Die digitalen Türen offen zu halten, hat für ein Unternehmen oberste Priorität. Unbefugte fernzuhalten, steht an zweiter Stelle. Entwicklungs- und Betriebsteams müssen sichere Grundlagen für den Zugriff auf all ihre Anwendungen und Daten schaffen, wie oben unter AAA erläutert. Außerdem müssen sie Änderungen kontrolliert verwalten, damit unbeabsichtigte Änderungen nicht dazu führen, dass sich die Anwendung auf eine Weise verhält, die die Integrität der Daten beeinträchtigt.

Empfehlungen:

• Durch den Einsatz von Tools wie WebSafe und einer WAF wird die Möglichkeit böswilliger Akteure eingeschränkt, schädliche Daten in die Anwendung einzuschleusen. Dies schützt vor einer Vielzahl von Bedrohungen und trägt dazu bei, Verluste und Risiken zu reduzieren.
• Anwendungskontrollen, die die Vollständigkeit der Daten überprüfen, eignen sich ebenfalls hervorragend, um festzustellen, ob eine Ihrer vorgelagerten Kontrollen versagt hat.
• Durch automatisierte Tests der Anwendungskonfiguration kann der IT-Betrieb schnell benachrichtigt werden, wenn fehlerhafte Änderungen implementiert werden.

3. Vertraulichkeit – Geheimnisse in der Cloud schützen

Die Vertraulichkeit von Daten muss bei der Erfassung, bei der Übertragung und im Ruhezustand gewährleistet werden – unabhängig davon, ob sich die Daten in der Cloud oder lokal in Ihrem Rechenzentrum befinden. Schwachstellenmanagement, einschließlich einer WAF, gehört zu den wichtigsten Schutzmaßnahmen, die Sie implementieren sollten, um zu verhindern, dass Ihre Anwendung durch das Ausnutzen einer Schwachstelle kompromittiert und die Vertraulichkeit der darin enthaltenen Daten gefährdet wird. Heutzutage gibt es keinen Grund, die Kommunikation zwischen dem Benutzer und dem Webanwendungsserver nicht mithilfe der TLS-Technologie zu verschlüsseln. Daten, die in der Cloud oder lokal gespeichert werden, sollten ebenfalls vollständig verschlüsselt sein, um unbefugten Zugriff zu verhindern.

Empfehlungen:

• TLS/SSL standardmäßig aktivieren. HTTPS überall!
• Verschlüsseln Sie kritische ruhende Daten mit einem starken Verschlüsselungsverfahren, insbesondere Anmeldedaten in Backend-Speichern. Ein einfacher Passwort-Hash ist nicht mehr ausreichend. Es sollte mindestens ein Hash mit Salt oder ein stärkeres Verschlüsselungsverfahren implementiert werden.
• Implementieren Sie ein umfassendes Schwachstellenmanagementprogramm, um Sicherheitslücken zu erkennen und zu priorisieren. Um Schwachstellen zwischen Patch-Bereitstellungen abzudecken, werden die virtuellen Patching-Funktionen einer WAF dringend empfohlen.
• Die Absicherung von Cloud-Anwendungen und -Infrastrukturen ist komplex. Die Betrachtung aus der Perspektive von AAA und CIA ermöglicht es Sicherheitsexperten jedoch, das Thema ganzheitlich anzugehen und Maßnahmen zu ergreifen, die eine übergreifende Sicherheitsstrategie unterstützen.

Preston Hogue ist Senior Director of Security Marketing bei F5 Networks. Preston ist für globale Sicherheitskampagnen, die Vermittlung von Sicherheitsthemen und die Meinungsführerschaft verantwortlich, einschließlich der Leitung des Application-Threat-Intelligence-Teams von F5 Labs. Preston verfügt über mehr als 20 Jahre Erfahrung in der Informationssicherheit, darunter die Entwicklung, Implementierung und Verwaltung komplexer Sicherheitsprogramme, die Konzeption von Risikoanalysen und Risikomanagement sowie die Umsetzung von Programmen zur Erfüllung regulatorischer und Compliance-Anforderungen.

Über den Autor

F5

Weitere Blogbeiträge von F5