Größte Gefahr sind Angriffe auf Web-Apps Steigendes Risiko für Web-Anwendungen

Anbieter zum Thema

Specops Software GmbH

Arctic Wolf Networks Germany GmbH

Outpost24 GmbH

F5 Networks GmbH

Zwar spricht alle Welt über Ransomware, aber noch gefährlicher sind Attacken auf Web-Applikationen. Laut einer Studie hingen 56 Prozent der größten Vorfälle in den letzten fünf Jahren mit Web-Apps zusammen. Sie führten mit mehr als 7,6 Milliarden US-Dollar zu 42 Prozent des gesamten finanziellen Verlustes.

Für Unternehmen besitzt Cybersecurity die höchste Priorität. IT-Sicherheitsexperten können mit Hilfe zahlreicher Studien auf dem aktuellen Stand bleiben. Doch Vorsicht: Sie zeigen meistens nur einen Teil der allgemeinen Bedrohungslage. Daher können nur Studien, die Ergebnisse von verschiedenen Quellen zusammenfassen, einen zuverlässigen Überblick über die wirklich größten und wichtigsten Bedrohungen geben.

Eine solche Multi-Source-Analyse haben F5 und das Cyentia Institute unter dem Titel „The State of the State of Application Exploits in Security Incidents“ herausgebracht. Demnach gingen in den letzten fünf Jahren über die Hälfte (56 Prozent) der 100 größten Vorfälle auf eine Form von Sicherheitsproblemen bei Webanwendungen zurück. Sie kosteten die betroffenen Unternehmen mehr als 7,6 Milliarden US-Dollar und machten 42 Prozent aller finanziellen Verluste in dieser Kategorie aus.

Noch bedenklicher ist die Tatsache, dass bei Exploits von Web-Anwendungen im Schnitt mehr als 8 Monate (254 Tage) vergehen, bis ein Vorfall erkannt wird. Das ist deutlich länger als der Durchschnitt von 71 Tagen bei allen großen Ereignissen. Dieser Unterschied weist darauf hin, dass Unternehmen weiterhin die Gefahr von Angriffen auf Web-Apps unterschätzen. So sind ihre Sicherheitsmechanismen häufig auf andere Gefahren wie Ransomware oder Datendiebstahl ausgelegt, die zur Sicherung von E-Mail-Systemen und Servern führen. Die webbasierten Anwendungen werden dagegen oft übersehen.

Indirekte Angriffe

Dies mag daran liegen, dass Web-Apps selten direkt angegriffen werden. Tatsächlich ist nur von 12 Prozent der Cyberkriminellen bekannt, dass sie auf öffentlich zugängliche Anwendungen abzielen. Dagegen setzen 42 Prozent gestohlene, aber nach wie vor gültige Einwahldaten für Benutzerkonten häufig über Web-Apps ein, um einen ersten Zugang zum angegriffenen Unternehmen zu erhalten. Dies führt dazu, dass Web Application Attacks das am häufigsten genutzte Angriffsmuster bei Datenvorfällen in sechs der letzten acht Jahre war.

Die Analyse zeigt aber auch, dass die Quellen sehr unterschiedliche Ergebnisse dazu liefern, welches die häufigsten Arten von Schwachstellen und Angriffen auf Webanwendungen sind. Es gibt jedoch eine gewisse Übereinstimmung zum häufigen Einsatz von Injection-Angriffen und Cross-Site Scripting. Zudem sind sich alle Original-Quellen darüber einig, dass die Anzahl dieser Angriffe steigt. Von den 100 größten Sicherheitsvorfällen nutzten 30 veröffentlichte Schwachstellen (CVEs) von Web-Apps oder Angriffstechniken auf Anwendungsebene wie SQL Injection oder Cross-Site Scripting. Hinzu kommen Attacken mit Hilfe gestohlener Passwörter und Brute Force sowie Konfigurationsfehler bei Web-Anwendungen.

In Bezug auf die Bedrohungsakteure sind organisierte kriminelle Gruppen für die meisten Angriffe auf Web-Apps verantwortlich (52 Prozent). Es folgen Mitarbeitende oder Partner (23 Prozent), staatlich unterstützte Gruppen (20 Prozent), Drittanbieter (4 Prozent) und Aktivisten (2 Prozent). Allerdings scheinen Mitarbeitende, Partner und Drittanbieter meist unabsichtlich Vorfälle auszulösen, da sie nur für insgesamt 2 Prozent der Schäden verantwortlich sind. Aktivisten und kriminelle Gruppen führen zu 39 Prozent der Kosten, während die echten Profis – wie erwartet – bei den staatlich unterstützen Stellen sitzen. Mit nur einem Fünftel der Vorfälle verursachen sie 59 Prozent des Schadens.

So sieht es im Alltag aus

Die größten Vorfälle bilden jedoch nur die Spitze des Eisbergs. Unternehmen müssen sich ebenso auf kleine, alltägliche Angriffe vorbereiten. Diese verursachen zwar oft keinen immensen Schaden, können aber unangenehme Ausfälle und Produktionsverluste zur Folge haben, die zu erheblicher Rufschädigung führen.

Nimmt man als Definition „einfache Angriffe auf Webanwendungen mit einer geringen Anzahl von Schritten/zusätzlichen Aktionen nach der anfänglichen Kompromittierung“, gab es 4.862 solcher Vorfälle laut dem Data Breach Investigations Report (DBIR) 2021. Das entspricht 17 Prozent aller gemeldeten Vorfälle. 1.384 dieser Angriffe auf Web-Anwendungen verletzten tatsächlich den Datenschutz. Das sind 26 Prozent aller Datenschutz-Verletzungen. Damit stehen Webanwendungsangriffe in beiden Kategorien auf Platz 2. In den letzten acht Jahren waren Angriffe auf Web-Apps sogar sechsmal die häufigste Ursache für Datenschutz-Verletzungen. Zudem sind sie in fünf Branchen die häufigste Angriffsart und befinden sich in 14 von 16 Branchen unter den ersten Drei.

Auch alltägliche Atacken auf Webanwendungen gehen fast ausschließlich von externen Akteuren aus. Bei den eingesetzten Methoden stehen schwache oder gestohlene Passwörter an erster Stelle, gefolgt von Schwachstellen-Exploits und Backdoors. Das bedeutet für Unternehmen, dass sie sich vor allem durch grundlegende Sicherheitsmaßnahmen schützen können, welche die Angriffsfläche reduzieren und das Management von Schwachstellen verbessern. Dazu gehören: Codefehler beheben, Systeme patchen, Zugang durch Multifaktor-Authentifizierung doppelt absichern und mögliche Backdoors prüfen.

Die Sicherheitslage in Unternehmen

Diese Tipps sind zwar bekannt, doch nach wie vor besteht eine große Gefahr durch Web Application Attacks, insbesondere Authentifizierungsangriffe und Web-Exploits. Das belegt, dass die größte Hürde für die Absicherung von Unternehmen nicht fehlendes Wissen ist – sondern die mangelnde Umsetzung. Wahrscheinlich sehen alle CISOs Schwachstellenmanagement, Zugriffskontrolle und Kontext als entscheidende Aspekte für die Sicherheit an. Aber diese Punkte sind sehr dynamisch. Daher besteht die eigentliche Herausforderung darin, das vorhandene theoretische Wissen praktisch umzusetzen. Denn was zu tun ist, sagt noch wenig darüber aus, wie es zu tun ist.

Die Multi-Source-Analyse zeigt dabei schon, wie schwierig es sich gestaltet, eine konsistente Sicht über die aktuelle Bedrohungslage zu erhalten. Ein noch größeres Problem stellt die Ableitung sinnvoller Handlungsanweisungen dar, da sich Organisationen in vielerlei Hinsicht unterscheiden – in Geschäfts- und Organisationsmodell, Risikotoleranz oder technologischer Ausstattung. Eine Verschiebung hin zu Sicherheitsrichtlinien, bei dem es mehr um das Wie und weniger um das Was geht, könnte zu einer größeren technologischen und betrieblichen Konformität führen. Dann würden sich Unternehmen auch wieder stärker auf die Angriffe konzentrieren, die wirklich die größte Gefahr darstellen.

Über den Autor: Roman Borovits ist Senior Systems Engineer bei F5.

(ID:47786715)