Sicherheitslücken in Anwendungen: Codefehler und Sicherheitsrisiken vermeiden

Was ist eine Sicherheitslücke in einer Anwendung?

Die durchschnittlichen Kosten einer Datenschutzverletzung beliefen sich 2020 auf 3,86 Millionen US-Dollar. Erschreckende 82 % der bekannten Schwachstellen befanden sich im Anwendungscode. Best Practices für sicheres Programmieren können in Verbindung mit Application-Security-Lösungen dazu beitragen, das Risiko von Code-Schwachstellen in Ihrer Anwendung zu verringern.

Software-Sicherheit und Application Security im Vergleich

Bei der Software-Sicherheit geht es darum, die grundlegende Programmlogik der zugrunde liegenden Software zu schützen. Im Gegensatz zur Application Security konzentriert sie sich auf die frühen Phasen des Software Development Lifecycle (SDLC) und den zugrunde liegenden Code einer Anwendung.

Sobald die Software als bereitstellbares Artefakt vorliegt, etwa als JAR-Datei oder Container-Image, fällt sie in den Bereich der Application Security. In diesen Phasen des SDLC geht es um mehr als nur die Software. Im Fokus stehen verschiedene miteinander verknüpfte Systeme, Infrastrukturen und Netzwerkpfade, die erforderlich sind, um Software in die Produktion zu überführen. Meist übernehmen operativ ausgerichtete Mitarbeitende wie DevOps-Engineers eine aktivere Rolle beim Absichern der Anwendung.

Investitionen in die frühen Phasen des SDLC zahlen sich für die Application Security aus. Eine Anwendung mit weniger Fehlern und Schwachstellen lässt sich deutlich einfacher absichern. Code-Schwachstellen zwingen Operations-Teams und Security-Engineers in die Defensive, anstatt die Probleme von Anfang an proaktiv anzugehen.

Die Bedeutung von Application Security

Application Security erfordert einen proaktiven Ansatz bei jedem Build- und Release-Zyklus und beruht häufig auf Automatisierung, um Bedrohungen zu erkennen. DevOps-Engineers nutzen in jeder Phase des Build-, Test- und Release-Zyklus häufig verschiedene Tools und Methoden, um Best Practices für Application Security umzusetzen.

Mit der zunehmenden Verbreitung von CI/CD-Prozessen in Unternehmen steigt auch die Nachfrage nach Application-Security-Lösungen. Der Bericht State of Cloud Native Application Security aus dem Jahr 2021 zeigt, wie die Einführung cloudnativer Technologien die Abwehr von Schwachstellen in Anwendungen verändert. Fehlkonfigurationen und bekannte, nicht behobene Sicherheitslücken waren für die meisten Sicherheitsvorfälle verantwortlich. Mit der richtigen Application-Security-Strategie lassen sich all diese Probleme vermeiden.

Zum Glück können Application-Security-Tools bekannte Schwachstellen aufspüren und Ergebnisse klassifizieren. So müssen Entwicklerinnen und Entwickler weniger manuelle Arbeit leisten. Die Tools erkennen Trends und Muster und helfen dabei, den Code während der Build- und Release-Phasen des SDLC auf Fehler zu testen.

Da ständig neue Schwachstellen auftreten und manuelle Code-Reviews sowie andere herkömmliche Testmethoden viel Zeit in Anspruch nehmen, bieten automatisierte Sicherheitstools zahlreiche Vorteile.

Die 10 häufigsten Schwachstellen in Anwendungen

Wenn Entwicklungsteams die Liste der OWASP Top 10 kennen, können sie das Risiko von Sicherheitslücken in Anwendungen verringern. Die aktuelle OWASP-Top-10-Liste wurde 2021 veröffentlicht.

Die 10 häufigsten Schwachstellen in Anwendungen gemäß der Liste von 2017:

1. Injection: Injection-Schwachstellen können entstehen, wenn nicht vertrauenswürdige Daten über eine SQL-, Betriebssystem-, NoSQL- oder LDAP-Injection in einen Interpreter eingeschleust werden. Die über diesen Angriffsvektor eingeschleusten schädlichen Daten bringen den Interpreter dazu, die Anwendung etwas tun zu lassen, wofür sie nicht vorgesehen ist.

2. Fehlerhafte Authentifizierung: Wenn Anwendungen Funktionen zur Sitzungsverwaltung oder Benutzerauthentifizierung nicht korrekt ausführen, können Angreifer Passwörter, Sicherheitsschlüssel oder Sitzungstoken kompromittieren und vorübergehend oder dauerhaft die Identität und Berechtigungen anderer Benutzer übernehmen.

3. Offenlegung sensibler Daten: Ohne grundlegende Datenschutzmaßnahmen, einschließlich der Verschlüsselung von Daten während der Übertragung und im Ruhezustand, können Angreifer sensible Daten oder personenbezogene Informationen (PII) einsehen, stehlen oder verändern. Dazu zählen Zugangsdaten, Kreditkarten- oder Sozialversicherungsnummern und medizinische Informationen. Unverschlüsselte Daten sind ein bevorzugtes Ziel für schädliche Angriffe, etwa Identitätsdiebstahl, Betrug und Industriespionage – um nur einige Beispiele für Sicherheitslücken zu nennen.

4. XML External Entities (XXE): Bei Webanwendungen, die XML-Eingaben verarbeiten, kann ein schlecht konfigurierter XML-Parser dazu gebracht werden, sensible Daten an eine nicht autorisierte externe Entität zu senden, beispielsweise an ein Speichermedium wie eine Festplatte. Hacker nutzen XXE-Angriffe, um kritische Informationen einzusehen, interne Dateien und Dateifreigaben offenzulegen, interne Ports zu scannen, Code aus der Ferne auszuführen und Denial-of-Service-Angriffe (DoS) durchzuführen.

5. Fehlerhafte Zugriffskontrolle: Durch eine fehlerhafte Zugriffskontrolle können Website-Besucher Zugriff auf Admin-Panels, Server, Datenbanken und andere geschäftskritische Anwendungen erhalten. Diese Bedrohung aus den OWASP Top 10 kann dazu genutzt werden, Browser auf andere gezielte URLs umzuleiten.

6. Fehlkonfigurationen der Sicherheit: Laut Gartner gehen bis zu 95 % der Cloud-Sicherheitsverletzungen auf menschliche Fehler zurück. Fehlkonfigurierte Sicherheitseinstellungen sind eine der Hauptursachen dafür. Diese Schwachstelle ist die häufigste in den OWASP Top 10.

7. Cross-Site-Scripting (XSS): Cross-Site-Scripting ist ebenfalls eine weit verbreitete Schwachstelle, von der mehr als die Hälfte aller Webanwendungen betroffen ist. Sie entsteht, wenn schädliche JavaScript- oder HTML-Skripte clientseitig in eine Webseite eingeschleust werden. Die Webanwendung dient dann als Angriffsvektor, über den Angreifer Sitzungstoken kapern, Websites manipulieren oder Opfer auf Websites unter ihrer Kontrolle umleiten.

8. Unsichere Deserialisierung: Unsichere Deserialisierung bietet Hackern einen Angriffsvektor, der meist zur Ausführung von Code aus der Ferne genutzt wird. Er kann aber auch für Injection-, Replay- und Rechteausweitungsangriffe eingesetzt werden.

9. Verwendung von Komponenten mit bekannten Schwachstellen: Moderne verteilte Webanwendungen enthalten Open-Source-Komponenten wie Bibliotheken und Frameworks. Jede Komponente mit einer bekannten Schwachstelle wird zu einem schwachen Glied, das die Sicherheit der gesamten Anwendung beeinträchtigen kann.

10. Unzureichendes Logging und Monitoring: Zwischen einem Angriff und seiner Erkennung können bis zu 200 Tage oder sogar mehr liegen. In dieser Zeit haben Cyberkriminelle reichlich Gelegenheit, Server zu manipulieren, Datenbanken zu beschädigen, vertrauliche Informationen zu stehlen und Schadcode einzuschleusen, wenn kein ausreichendes Logging und Monitoring eingerichtet ist.

Sicherheitstools zum Schutz vor Schwachstellen in Anwendungen

Sicheres Programmieren ist zwar immer das Ziel, doch Code-Schwachstellen können durchrutschen. Hier kommen Tools wie Static Application Security Testing (SAST) und Dynamic Application Security Testing (DAST) ins Spiel. Sie fragen sich vielleicht, worin sich SAST und DAST unterscheiden oder wie Sie beide kombinieren können. Beide Lösungen nutzen automatisierte Tests, um Schwachstellen in Ihrem Quellcode aufzudecken, nach denen böswillige Akteure unweigerlich suchen und die sie auszunutzen versuchen.

• Static Application Security Testing (SAST): SAST ist ein strukturelles Testverfahren, das eine Vielzahl statischer Eingaben untersucht. Dazu können Dokumentation und der Quellcode einer Anwendung gehören. SAST-Tools scannen Ihren Quellcode und dessen Abhängigkeiten. Beim Scan prüft das Tool anhand vordefinierter Regeln auf Probleme und Schwachstellen und markiert deren genaue Position.

• Dynamic Application Security Testing (DAST): DAST ist das Gegenstück zu SAST und ein Blackbox-Testverfahren, das während der Ausführung der Anwendung stattfindet. Dabei wird davon ausgegangen, dass die Testenden keine detaillierten Kenntnisse über die interne Funktionsweise des Systems haben. DAST-Tools analysieren den ausgeführten Code und suchen mithilfe einer Technik namens Fuzzing nach Problemen mit Anfragen, Antworten, Schnittstellen, Skripten, Injection, Authentifizierung und Sitzungen.

Am besten kombinieren Sie SAST und DAST mit weiteren Ansätzen für Application Security, darunter:

• Software Composition Analysis (SCA): Dieses Verfahren, auch als Herkunftsanalyse bezeichnet, hilft dabei, alle Open-Source-Softwarekomponenten und -bibliotheken zu analysieren. Die Tools erkennen Softwarelizenzen, veraltete Abhängigkeiten und bekannte Schwachstellen und informieren Sie über verfügbare Patches und Updates.

Erfahren Sie mehr über SAST und SCA und wie Sie beide einsetzen können, um sichere Software bereitzustellen.

• Interactive Application Security Testing (IAST): Diese Tools kombinieren statische und dynamische Ansätze, indem sie Anwendungen und Datenflüsse anhand vordefinierter Testfälle prüfen. Auf Grundlage der Ergebnisse empfiehlt das Tool manchmal weitere Testfälle.

• Application Security Testing as a Service (ASTaaS): Dabei beauftragen Sie ein externes Unternehmen mit sämtlichen Anwendungstests. ASTaaS kombiniert in der Regel statische und dynamische Sicherheitsmethoden, darunter Penetrationstests und die Bewertung von APIs.

Schwachstellen in Anwendungen vermeiden

Eine erfolgreiche DevSecOps-Strategie kann dazu beitragen, das Risiko von Sicherheitslücken in Anwendungen zu verringern. Idealerweise sollten Entwicklerinnen und Entwickler Sicherheit reibungslos in bestehende Entwicklungs-Workflows integrieren können – mit Unterstützung des Security-Teams. Automatisierte Sicherheitstools können die Arbeit der Entwicklungsteams erleichtern und verhindern, dass Code-Schwachstellen unentdeckt bleiben.