Fuzzing entlarvt Schwachstellen in Standard- und Individual-Software

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Chancen und Risiken

Ein Risiko beim Einsatz von Fuzzing-Tools beschränkt sich auf eventuell verlorene Arbeitszeit der Mitarbeiter, falls nur eine unternehmensinterne Beauftragung stattfindet. Von den nahezu 300 im Internet kursierenden Fuzzing-Tools ist über die Hälfte nicht zu empfehlen, wie aktuelle Studien der Hochschule Bonn-Rhein-Sieg zeigen.

Bei der Auswahl eines Test-Tools empfiehlt sich eine Internet-Recherche über erfolgreich eingesetzte Fuzzer für die jeweilige Anwendung. Auch Wissenschaftler stellen Ihre Tools teilweise zur freien Nutzung online. Diese weisen häufig einen höheren Nutzen auf als ad-hoc programmierte Fuzzer, legen aber teils wenig Wert auf eine benutzerfreundliche Oberfläche (GUI).

Hier empfiehlt sich ein Coaching der Mitarbeiter, in dem neben der Technik und dem beispielhaften Einsatz von Fuzzern, konkrete Produkte identifiziert werden können, die sich für das jeweilige Einsatzgebiet und das Skill-Level der Mitarbeiter eignen. Alternativ existieren kommerzielle Produkte wie z.B. beSTORM oder DEFENSICS. Die Preisspannen reichen von mehreren Hundert bis über 10.000 Euro je Tool – für eine Jahreslizenz, die auf ein Einsatzgebiet spezialisiert ist. Dafür verfügen die kommerziellen Produkte meist über eine GUI und weisen eine bessere Usability auf, der Nutzungsaufwand ist geringer.

Die Erkennung und Behebung von Sicherheitslücken mittels Fuzzing lohnt sich – monetär und vor allem für das Firmen-Image. Der Aufwand zur Identifizierung von Sicherheitslücken ist verhältnismäßig gering.

Über den Autor

Peter Sakal (M.Sc.) konnte nunmehr zehn Jahre lang Erfahrungen in den Bereichen IT-Security-Consulting und -Coaching sammeln. Er arbeitet unter anderem als Dozent für IT-Sicherheit und ist ehemaliger Forschungsleiter an der Hochschule Bonn-Rhein-Sieg. Seine Schwerpunkte liegen in den folgenden Bereichen: Penetration Testing, Secure Software Development Lifecycle, ISMS, Disaster Recovery Planning und Business Continuity Management, Intrusion Detection-/Prevention Systems und Honeypots sowie Trust Infrastructures.

Inhalt

• Seite 1: Systematische Penetrationstests
• Seite 2: Einsatz von Fuzzing
• Seite 3: Fuzzing-Techniken
• Seite 4: Chancen und Risiken

(ID:2050900)