Fuzzing entlarvt Schwachstellen in Standard- und Individual-Software

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Einsatz von Fuzzing

Die Erkennung von Sicherheitslücken ist die Voraussetzung, um Patches entwickeln zu können (Software-Hersteller) oder Workarounds zu schaffen, wie z.B. Firewall-Regeln anzupassen (Anwender), um einen wirksamen Schutz vor Angriffen zu gewährleisten. Mit Fuzzing werden Angriffe auf die lauffähige Anwendung simuliert.

Beim Fuzzing schickt der Penetration-Tester willkürliche oder gezielte Testdaten an die Eingabeschnittstellen der Anwendung geschickt. Dadurch werden Anomalien provoziert – so können z.B. SQL-Injections, Buffer Overflows oder auch Cross-Site-Scripting-Lücken erkannt werden, ohne den Quellcode zu kennen.

Seit vielen Jahren fuzzen Angreifer – und zwar erfolgreich! Sicherheitsbewusste Unternehmen haben dies erkannt und kommen ihnen zuvor. Sie fahren selbst Angriffe gegen die eigenen Systeme und Anwendungen und treffen Gegenmaßnahmen. Außerhalb von Europa werden die Verfahren intensiver genutzt. So erkennt z.B. Microsoft Sicherheitslücken mittels Fuzzing und patcht diese im Rahmen des Security Development Lifecycle (SDL).

Die Vorteile der frühzeitigen Erkennung von Sicherheitslücken, vor der Veröffentlichung bzw. Betrieb der Software, sind offensichtlich. Massive Kosteneinsparungen sind möglich, da die nachträglichen Fehlerbehebungskosten deutlich gesenkt werden können. Studien des National Institute of Standards and Technology (NIST) bestätigen das enorme Einsparpotenzial.

Fuzzing pragmatisch

Fuzzing kann auch bei einer bereits vorliegenden Software-Version eingesetzt werden. Dies ist besonders interessant für Software-Anbieter und Endverbraucher, die z.B. Anpassungen an Standardsoftware vorgenommen haben (Customizing) oder selbst Anwendungen entwickeln.

Betreibt ein Unternehmen Web-Anwendungen, dann ist der Einsatz von Fuzzing unverzichtbar. Solche Applikationen sind häufige Angriffspunkte, da sie oft nur ein sehr geringes Sicherheitsniveau bieten. Mittels Fuzzing können bislang unerkannter Zero-Day-Sicherheitslücken ressourcenschonend erkannt werden.

Inhalt

• Seite 1: Systematische Penetrationstests
• Seite 2: Einsatz von Fuzzing
• Seite 3: Fuzzing-Techniken
• Seite 4: Chancen und Risiken

(ID:2050900)