E-Interview zum Thema Applikationssicherheit mit Stefan Strobel

Virtual Roundtable zum Thema Applikationssicherheit Name: Stefan Strobel Funktion/Bereich: Geschäftsführer Organisation: cirosec GmbH Im folgenden Beitrag nimmt Herr Strobel Stellung zu den Fragen: • Begriffsverständnis bzgl. Applikationssicherheit • Relevanz der Applikationssicherheit heute und in Zukunft • Applikationssicherheit bei Kooperationen • Fehlersuche, Prävention und nachhaltige Verbesserung • Applikationssicherheit in Unternehmen und Branchen • Sicherheit bisheriger Ansätze • Zusatzkosten für Applikationssicherheit Viel Spaß beim Lesen wünscht Ihnen Ihr NetSkill-Team www.competence-site.de Seite 1 Sehr geehrter Herr Strobel, Frage 1: Begriffsverständnis bzgl. Applikationssicherheit Was ist grundsätzlich unter dem Begriff ‚Applikationssicherheit’ zu verstehen und wie kann das Thema von anderen Bereichen der IT-Sicherheit abgegrenzt werden? Antwort: Applikationssicherheit bezeichnet Sicherheitsaspekte auf der Anwen­ dungsebene. Eine Applikation soll vor Missbrauch oder Eindringen eines Hack­ ers geschützt werden. Im Vordergrund steht dabei nicht der Transport von Dat­ en über das Netz oder Angriffsmöglichkeiten auf das verwendete Betriebssys­ tem und auch nicht mögliche Schwachstellen in den verwendeten Diensten, sondern die darauf aufbauende Applikation. Die derzeit wohl wichtigste Ausprägung von Applikationssicherheit ist die Web- Applikationssicherheit. Dabei geht es um den Schutz von Web-Shops, Online- Banking-Systemen, Foren usw. www.competence-site.de Seite 2 Frage 2: Relevanz der Applikationssicherheit heute und in Zukunft Welche Bedeutung hat das Thema in den Unternehmen derzeit? Wird ihm da­ bei Ihrer Meinung nach ausreichende Bedeutung beigemessen? Antwort: Sobald ein Unternehmen eine eigene Web-Applikation betreibt, ist die Frage der Applikationssicherheit sehr bedeutend, denn Defizite in der Applikation­ ssicherheit können nicht nur die Applikation selbst, sondern oft auch die in­ volvierten Backend-Systeme oder die gesamte interne IT gefährden. Leider wird diese Bedeutung noch nicht überall verstanden. In den letzten Jahren ist dieses Verständnis zwar auf breiter Basis gestiegen, es gibt aber immer noch viele Un­ ternehmen, die sich fälschlicherweise auf Firewalls verlassen. www.competence-site.de Seite 3 Frage 3: Applikationssicherheit bei Kooperationen Wie wichtig ist Applikationssicherheit insbesondere für die Zusammenarbeit zwischen Unternehmen? Antwort: Wenn man bedenkt dass bei der Zusammenarbeit zwischen Unternehmen oft interne IT-Systeme gemeinsam genutzt werden, die auch in wichtigen internen Business-Prozesse verwendet werden, dann steigt damit natürlich auch die Verwundbarkeit. Schwachstellen in der Applikationssicherheit können hier oft dramatische Folgen haben. Andererseits muss man natürlich auch die Beziehung zwischen den Firmen berücksichtigen. Ein Kooperationsvertrag, ein bestehendes Vertrauensverhält­ nis, die mögliche Zuordnung von Aktionen zu bekannten Personen lassen einen Missbrauch vielleicht weniger wahrscheinlich erscheinen. Entscheidend sind hier die Art der Kooperation, die Art der gemeinsam genutzten Applikationen und die Kommunikation. www.competence-site.de Seite 4 Frage 4: Fehlersuche, Prävention und nachhaltige Verbesserung Wie kann man Schwachstellen in Web-Applikationen auffinden und deren Si­ cherheit verbessern? Sind Standards wie z.B. ‘Common Criteria’ dabei hilf­ reich? Antwort: Ähnlich wie man Defizite in der Netzwerksicherheit mit Hilfe von Audits oder Pe­ netrationstests ermitteln kann, kann man natürlich auch Applikationen von ex­ ternen Spezialisten testen lassen. Es ist dabei nur wichtig zu beachten, dass hier andere Methoden und Werkzeuge notwendig sind. Wenn man eine Web- Applikation mit einem Netzwerk-Scanner wie Nessus oder mit kommerziellen Produkten von Qualys, Foundstone oder eEye scannt, dann wird man nur be­ kannte Schwachstellen in Standard-Komponenten finden, aber die eigentliche individuelle Applikation wird dabei nicht geprüft. Bei der Überprüfung von Web-Applikationen geht es um Angriffe wie „SQL-In­ jection“, „Cross-Site-Scripting“ oder ähnliche. Automatisierte Netzwerk-Scanner helfen dabei nichts. Stattdessen ist viel manuelle Arbeit, allenfalls unterstützt von Spezialwerkzeugen wie WebInspect von SPIDynamics oder AppScan von Watchfire nötig. Neben der Identifikation der Schwachstellen und deren Behebung kann man auch durch spezielle Sicherheitsgateways, die man Web-Applikations-Firewalls (kurz WAF) oder auch Web-Shields nennt, die Ausnutzung solcher Schwach­ stellen proaktiv verhindern. So wie eine klassische Firewall unerlaubte Zugriffe auf das ganze interne Netz verhindert, kann eine WAF an zentraler Stelle App­ likations-Angriffe auf eine ganze Farm on Web-Applikationen verhindern. Selbstverständlich wäre es am besten, wenn man die Sicherheitsaspekte bere­ its bei der Applikationsentwicklung berücksichtigen und damit von Anfang an keine Verwundbarkeiten bieten würde. Dieser Wunsch hilft jedoch bei ex­ istierenden oder zugekauften Applikationen nicht weiter. Und selbst wenn man die Anwendungsentwicklung selbst steuern kann, muss man davon ausgehen, dass die Programmierer auch nur Menschen sind und Fehler machen. Damit www.competence-site.de Seite 5 muss man auch hier überprüfen, Schwachstellen nachträglich beheben oder Applikationen mit vorgeschalteten WAFs schützen. www.competence-site.de Seite 6 Frage 5: Applikationssicherheit in Unternehmen und Branchen Gibt es eine besondere Relevanz des Themas für bestimmte Branchen bzw. für den Mittelstand? Antwort: Die Relevanz steigt mit der Bedeutung der Applikationen für das Unternehmen. Je abhängiger das Unternehmen von bestimmten Applikationen ist und je grö­ ßer der denkbare Schaden bei einem Angriff auf die Applikationen und deren Backends ist, umso wichtiger ist natürlich auch die Sicherheit auf der Applikati­ onsebene. Wer beispielsweise sein internes SAP-System mit einem Web-Frontend für sei­ ne Kunden und Partner öffnet, der ist sich hoffentlich bewusst, dass er nicht nur an Firewall-Strukturen, Authentisierung und SSL-Verschlüsselung denken soll­ te, sondern vor allem auch an die Applikationssicherheit. www.competence-site.de Seite 7 Frage 6: Sicherheit bisheriger Ansätze Inwieweit schützen herkömmliche Ansätze wie Firewalls und IDS gegen Angrif­ fe auf Applikationsebene? Antwort: Herkömmliche Ansätze wie Firewalls oder IDS schützen gegen Angriffe auf Ap­ plikationsebene so gut wie gar nicht. Es gibt zwar einzelne Hersteller, die be­ haupten, dass sie das mit ihrer Firewall oder ihrem IDS könnten, in der Praxis zeigt sich jedoch dass dies vor allem Marketing-Aussagen sind, die nur auf ei­ ner eigenwilligen Definition von Applikationssicherheit beruhen, aber keinen wir­ kungsvollen Schutz bieten. Das Hauptproblem für klassische Sicherheitstechni­ ken ist der fehlende Status und Kontext bei der Filterung oder Erkennung von Angriffen. So lässt sich beispielsweise die Manipulation einer versteckten Varia­ ble in einem Web-Shop nur erkennen und verhindern, wenn dem Sicherheits­ produkt der Wert aller versteckten Variablen innerhalb jeder einzelnen laufen­ den Benutzer-Session bekannt ist. Die Firewalls der Marktführer und ebenso die bekannten IDS-Produkte sind dazu nicht in der Lage und versuchen statt dessen Angriffe mit Mustern zu erkennen, was beim genannten Beispiel offen­ sichtlich nicht möglich ist. www.competence-site.de Seite 8 Frage 7: Zusatzkosten für Applikationssicherheit Applikationssicherheit kostet Geld – wie etwa auch Sicherheitsmaßnahmen bei Autos Geld kosten. Beim Auto zahlt der Kunde dies heutzutage – aber ist er auch bereit, dies für sichere Anwendungen zu tun? Welche Wege sollten Her­ steller hier gehen? Antwort: So wie die Kunden gelernt haben, dass ABS nicht vor den Folgen eines Auto­ unfalls schützt und dass ein Airbag sein Geld Wert ist, so müssen die Hersteller von Applikationssicherheits-Produkten den Markt weiter aufklären. Vielen Dank für das Interview! www.competence-site.de Seite 9