Gegenwart und Zukunft des Anwendungsschutzes

Überblick

In der heutigen anwendungszentrierten Welt gibt es tatsächlich für alles eine App. Unternehmen stellen Mitarbeitern und Kunden Anwendungen mit Datenzugriff zur Verfügung, um die Produktivität zu steigern, geschäftliche Anforderungen zu erfüllen und letztlich einen Wettbewerbsvorteil zu erzielen. Doch je mehr sensible Daten Unternehmen über Anwendungen bereitstellen, desto größer wird auch das damit verbundene Risiko. Denn die Nutzer von heute befinden sich überall – häufig außerhalb des Unternehmensnetzwerks – und die von ihnen verwendeten Apps können überall gehostet sein, von privaten Rechenzentren bis hin zur Public Cloud. Dadurch haben Unternehmen weniger Transparenz und Kontrolle. Es überrascht daher nicht, dass Cyberkriminelle diese Angriffsfläche ausnutzen und gezielt Anwendungen ins Visier nehmen, die sich weitgehend außerhalb des Schutzbereichs herkömmlicher Sicherheitsmaßnahmen wie Firewalls, Antivirensoftware und TLS/SSL-Verschlüsselung befinden.

Ob volumetrischer Denial-of-Service-Angriff (DoS), browserbasierte Malware oder Advanced Persistent Threat – heutige Angriffe auf Anwendungen zielen letztlich darauf ab, Unternehmensdaten zu erlangen oder zu kompromittieren. Da immer mehr Daten verschlüsselt übertragen werden, agieren die meisten heutigen Sicherheitstools im Blindflug: Sie können diese Daten nicht entschlüsseln und somit nicht überprüfen, ob sie schädlich sind.

Traditionell konzentrierte sich der Ansatz zur Anwendungssicherheit auf den Softwareentwicklungslebenszyklus (SDLC), wobei sichergestellt werden sollte, dass Entwickler bewährte Verfahren für eine sichere Programmierung befolgen. Sicherer Code ist zwar nach wie vor ein zentraler Bestandteil des gesamten Sicherheitskonzepts, bildet jedoch nicht das Gesamtbild ab. Der bisherige Sicherheitsperimeter löst sich zunehmend auf, da immer mehr Endgeräte und Netzwerke außerhalb herkömmlicher Unternehmensnetzwerke liegen, während sich die Risiken für Anwendungen und sensible Unternehmensdaten stetig weiterentwickeln.

Die Sicherheitsmaßnahmen müssen verstärkt werden, damit Anwendungen überall geschützt sind. Die überwiegende Mehrheit der heutigen Angriffe zielt auf die Anwendungsebene ab – doch Unternehmen investieren auf dieser Ebene nicht entsprechend in die Sicherheit. Es ist an der Zeit, dass sich Organisationen einer neuen Realität stellen: Sicherheit muss stärker auf die Anwendungsebene ausgerichtet werden.

Ein risikobasierter Ansatz für die Anwendungssicherheit

Die Betrachtung der Anwendungssicherheit aus dieser risikobasierten Perspektive ermöglicht es Unternehmen, sich auf Ausfälle einzelner Komponenten zu konzentrieren und die Daten, die letztlich das Ziel der meisten Angriffe sind, bestmöglich zu schützen. Durch die Analyse aller Komponenten einer Anwendung können Unternehmen eine Strategie entwickeln, die der gesamten Anwendung den stärksten und angemessensten Schutz bietet. Denn wird eine Komponente einer Anwendung oder des Netzwerks, über das sie bereitgestellt wird, kompromittiert – sei es durch eine Schwachstelle im Code, eine eingeschränkte Netzwerkverfügbarkeit oder das DNS –, sind die gesamte Anwendung und die darin enthaltenen Daten gefährdet.

Kritische Komponenten der Anwendungssicherheit

Für Unternehmen ist es unerlässlich, möglichst umfassende Sicherheitskontrollen für Anwendungen einzusetzen, um das Risiko zu verringern, dass sensible Daten durch einen Angriff auf Anwendungsebene kompromittiert werden. Zu den zentralen Komponenten eines proaktiven, mehrschichtigen Sicherheitskonzepts für den Anwendungsperimeter gehören Anwendungssicherheitstests, Firewall-Dienste, Zugriffskontrollen und gezielte Schutzmaßnahmen gegen verschiedene Arten von Bedrohungen.

Anwendungssicherheitstests

Softwaresicherheit ist nach wie vor ein Eckpfeiler einer umfassenden Strategie zum Schutz von Anwendungen. Unternehmen müssen sicherstellen, dass neue Websites und Software sicher programmiert werden. Gleichzeitig müssen sie jedoch auch die unzähligen Schwachstellen beheben, die bereits in bestehenden Websites vorhanden sind, die ohne einen sicheren Softwareentwicklungszyklus erstellt wurden. Dabei darf nicht vergessen werden, dass das Auffinden und Beheben von Schwachstellen keine akademische Übung ist. Vielmehr geht es darum, intelligente Angreifer von Unternehmenssystemen und den darin geschützten Daten fernzuhalten. Ohne ein klares Bild von den Angreifern und ihren Taktiken wird es Sicherheitsexperten jedoch schwerfallen, wirksame Strategien zu ihrer Abwehr zu entwickeln. Künftig wird es unerlässlich sein, dass mehr Menschen in der Sicherheitsbranche ein besseres Verständnis von Software – und Softwaresicherheit – entwickeln.

Schwachstellenscanner helfen dabei, Softwareprobleme zu erkennen und zu beheben – unabhängig davon, ob sie vor oder nach der Onlineschaltung neuer Websites und Webanwendungen gefunden werden. Den bestmöglichen Schutz erzielen Unternehmen jedoch, indem sie einen leistungsfähigen Schwachstellenscanner mit einer Full-Proxy-Web-Application-Firewall kombinieren.

Web Application Firewall

Eine robuste und flexible Web Application Firewall ist heute kein Luxus, sondern eine Notwendigkeit. Mit der zunehmenden Verbreitung cloudbasierter Webanwendungen gehen immer ausgefeiltere Sicherheitsangriffe und -risiken einher, die Unternehmensdaten bedrohen.

Eine hybride Web Application Firewall kann Unternehmen dabei unterstützen, sich gegen die OWASP Top 10, Anwendungsschwachstellen und Zero-Day-Angriffe zu schützen – unabhängig davon, wo sich die Anwendungen befinden. Leistungsstarke Abwehrmechanismen gegen Distributed-Denial-of-Service-Angriffe (DDoS) auf Layer 7, Erkennungs- und Abwehrtechniken, virtuelles Patching sowie eine detaillierte Angriffstransparenz können selbst hochentwickelte Bedrohungen abwehren, bevor sie die Netzwerkserver erreichen. Darüber hinaus bietet die Möglichkeit, Angreifer zu erkennen und zu blockieren, bevor sie auf das Rechenzentrum eines Unternehmens zugreifen, einen entscheidenden Vorteil. Eine leistungsstarke Web Application Firewall, die bösartige Aktivitäten bereits in der frühesten Phase eines potenziellen Angriffs stoppen kann, ermöglicht es Unternehmen, Risiken erheblich zu reduzieren und zugleich die Effizienz des Rechenzentrums zu steigern, da keine Ressourcen für die Verarbeitung unerwünschten Datenverkehrs aufgewendet werden müssen.

Unternehmen sollten auf eine Web Application Firewall achten, die:

• Bietet proaktiven Schutz vor automatisierten Angriffsnetzwerken.
• Lässt sich in führende Scanner für dynamische Anwendungssicherheitstests (DAST) integrieren, um Schwachstellen umgehend zu beheben.
• Identifiziert verdächtige Ereignisse, indem bösartige Aktivitäten mit Verstößen korreliert werden.
• Liefert übersichtliche Berichte, die die Einhaltung wichtiger regulatorischer Standards wie des Payment Card Industry Data Security Standard (PCI DSS), HIPAA und Sarbanes-Oxley vereinfachen.

SSL-Inspektion

SSL ist heute allgegenwärtig. Analysten prognostizieren, dass der Anteil des verschlüsselten Datenverkehrs am gesamten nordamerikanischen Online-Datenverkehr im Jahr 2016 auf fast 64 Prozent steigen wird, gegenüber nur 29 Prozent im Jahr 2015.¹ Unternehmen bemühen sich, den Großteil des Datenverkehrs zu verschlüsseln – von E-Mails und sozialen Medien bis hin zu Streaming-Videos. Das von SSL gebotene Sicherheitsniveau ist zwar verlockend, doch zugleich ist SSL zu einem Angriffsvektor geworden, da Angreifer es nutzen, um Schadsoftware vor Sicherheitsgeräten zu verbergen, die verschlüsselten Datenverkehr nicht einsehen können.

Sicherheitslösungen für Unternehmen müssen Einblick in diesen verschlüsselten Datenverkehr erhalten, um sicherzustellen, dass darüber keine Schadsoftware in das Netzwerk gelangt. Eine Möglichkeit zur Abwehr dieser verschlüsselten Bedrohungen ist der Einsatz einer SSL-„Air-Gap“-Lösung, bei der auf beiden Seiten der Sichtbarkeitskette jeweils ein Application Delivery Controller (ADC) platziert wird. Der den Benutzern am nächsten gelegene ADC entschlüsselt den ausgehenden Datenverkehr und leitet die entschlüsselte Kommunikation durch die Sicherheitsgeräte. Diese Geräte können nun die Inhalte einsehen, Richtlinien und Kontrollen anwenden sowie Schadsoftware erkennen und unschädlich machen. Am anderen Ende der Kette verschlüsselt ein weiterer ADC den Datenverkehr erneut, bevor er das Rechenzentrum verlässt. Diese Lösung bietet die Flexibilität, Sicherheitsgeräte inline zu betreiben und gleichzeitig sicherzustellen, dass sie ihre vorgesehene Aufgabe erfüllen können.

DDoS-Schutz

Heutzutage sind die meisten Anwendungen internetbasiert, sodass ein volumetrischer DDoS-Angriff eine Anwendung stark beeinträchtigen oder sogar vollständig lahmlegen kann. DDoS-Angriffe nehmen an Umfang und Komplexität zu und drohen, die internen Ressourcen von Unternehmen weltweit zu überlasten. Diese Angriffe kombinieren die Überlastung durch ein hohes Datenverkehrsaufkommen mit schwer erkennbaren, gezielt gegen Anwendungen gerichteten Techniken – stets mit dem Ziel, den Dienst für legitime Nutzer zu stören.

Unternehmen müssen eine robuste DDoS-Schutzstrategie implementieren, um die Verfügbarkeit ihrer geschäftskritischen Anwendungen sicherzustellen. Ziehen Sie Lösungen in Betracht, die einen umfassenden, mehrschichtigen Schutz von L3 bis L7 bieten und DDoS-Angriffe bereits in der Cloud abwehren können, bevor sie das Netzwerk und das Rechenzentrum erreichen.

DNS-Sicherheit

Auch wenn die DNS-Strategie eines Unternehmens nicht zum traditionellen, auf sichere Programmierung ausgerichteten Verständnis von Anwendungssicherheit gehört, spielt sie eine entscheidende Rolle für die Sicherheit und Verfügbarkeit seiner Anwendungen. DNS bildet das Rückgrat des Internets und ist zugleich eine der anfälligsten Stellen im Netzwerk eines Unternehmens. Unternehmen müssen sich vor einer stetig wachsenden Vielfalt von DNS-Angriffen schützen, darunter DNS-Amplification-Angriffe durch Abfragefluten, Wörterbuchangriffe und DNS-Poisoning.

Mit einer Lösung, die den globalen Datenverkehr intelligent steuert, komplexe Bedrohungen durch das Blockieren des Zugriffs auf schädliche IP-Domains abwehrt und sich für die Implementierung, die zentrale Verwaltung und den sicheren Umgang mit DNSSEC-Schlüsseln nahtlos in Systeme von Drittanbietern integrieren lässt, kann ein Unternehmen sicherstellen, dass Kunden – und Mitarbeiter – jederzeit auf wichtige Web-, Anwendungs- und Datenbankdienste zugreifen können. Einige Lösungen bieten hochleistungsfähiges DNS, das sich schnell skalieren lässt, um DDoS-Angriffe besser abzufangen.

Erkennung von Webbetrug

Vor fünfzig Jahren musste man tatsächlich zu einer Bank gehen, wenn man sie ausrauben wollte. Heute kann man eine Bank aus 8.000 Kilometern Entfernung ausrauben. Aufgrund der globalen Natur des Internets ist für Angreifer alles gleich weit entfernt, und Finanzinstitute gehören zu den lohnendsten Zielen im Internet. Um den Gefahren des Betrugs wirksam zu begegnen, müssen Unternehmen, die Finanzdienstleistungen über das Internet anbieten, ihr Geschäft mit einer Kombination verschiedener Sicherheitstechnologien schützen.

Ziehen Sie eine Lösung in Betracht, die Schutz vor dem gesamten Spektrum an Betrugsvektoren bietet und verhindert, dass Angreifer Sicherheitsprüfungen manipulieren, deaktivieren oder anderweitig umgehen. Unternehmen können dadurch das Risiko finanzieller Verluste und des Verlusts geistigen Eigentums verringern – und sich dank proaktiven Schutzes vor neu auftretenden Bedrohungen aus dem Internet und Betrug sicher fühlen.

Zugriffskontrollen

Einige der jüngsten und schwerwiegendsten Sicherheitsverletzungen waren auf kompromittierte Anmeldedaten von Benutzern und Administratoren zurückzuführen. Diese Sicherheitsverletzungen hätten möglicherweise verhindert werden können, indem sichergestellt wird, dass die richtigen Personen authentifiziert werden und Zugriff auf die richtigen Informationen erhalten, und indem mithilfe von Single-Sign-on- und Multi-Faktor-Authentifizierungstechnologien eine sichere Verbindung zu Anwendungen gewährleistet wird. Darüber hinaus können zentral vom Unternehmen verwaltete Identitäts- und Zugriffskontrollen eine sichere Authentifizierung zwischen dem Unternehmensnetzwerk und cloudbasierten oder als Software as a Service (SaaS) bereitgestellten Anwendungen ermöglichen.

Fazit: Die Zukunft des Anwendungsschutzes

Der Schutz von Anwendungen ist äußerst komplex, und mit dem exponentiellen Wachstum des Internets der Dinge und der damit verbundenen Anwendungen nehmen auch die Herausforderungen weiter zu. Im Jahr 2010 gab es 200 Millionen Webanwendungen; heute sind es fast eine Milliarde.^{2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02)} Im Jahr 2020 könnten es ohne Weiteres fünf Milliarden sein. All diese Anwendungen stellen potenzielle Angriffsvektoren dar – und viele von ihnen enthalten kritische Daten, auf die es Angreifer abgesehen haben könnten.

Durch die Erweiterung bestehender Sicherheitsportfolios um Lösungen und Services, die auf die Anwendungsebene ausgerichtet sind, können Unternehmen Anwendungen, über die sensible Daten offengelegt werden könnten, besser schützen. Es ist von entscheidender Bedeutung, Anwendungen unabhängig von ihrem Speicherort zu schützen – denn es steht viel auf dem Spiel.

Es ist an der Zeit, Anwendungssicherheit umfassender zu betrachten, damit Unternehmen alle Komponenten ihrer geschäftskritischen Anwendungen wirksam absichern, ihre Daten schützen und ihr Geschäft bewahren können.

_{¹ Sandvine, Global Internet Phenomena Spotlight: Verschlüsselung des Internetverkehrs, 2015.}

_{² Internet Live Stats}

VERÖFFENTLICHT AM 24. FEBRUAR 2016