Webanwendungen härten

Web Apps in drei Schritten besser absichern

| Redakteur: Stephan Augsten

Um einem Datenabfluss zuvorzukommen, soltle man Web Apps von Grund auf sicherer gestalten und den Erfolg nach Möglichkeit auch messen.
Um einem Datenabfluss zuvorzukommen, soltle man Web Apps von Grund auf sicherer gestalten und den Erfolg nach Möglichkeit auch messen. (Bild: Archiv)

Schwachstellen in Web-Anwendungen dienen als Einfallstor in IT-Systeme und sind Ausgangspunkt für viele Datenabflüsse. Drei Tipps, um Fehler in Web Apps zu vermeiden, hat der Anwendungssicherheits-Spezialist Veracode zusammengefasst.

Sicherheitslücken in Web-Anwendungen gibt es zuhauf. Laut dem Data Breach Investigations Report 2015 von Verizon sind sie der meistgenutzte Angriffsvektor für Datendiebstähle. In drei Schritten allerdings lassen sich Web Apps grundlegend besser absichern, meint Julian Totzek-Hallhuber, Solution Architect bei Veracode

Schritt 1: Risiken erfassen und Antworten finden

Um ihre verfügbaren Ressourcen besser einzusetzen, müssten Sicherheitsverantwortliche ihre Strategie konkrete Risiken ausrichten. Geschützt werden sollten vor allem solche Anwendungen und Teile der Infrastruktur, die von sicherheitskritischer Bedeutung sind. Um diese zu identifizieren, sei eine Bestandsaufnahme von Nöten.

Welche Anwendungen gibt es im Unternehmen – und auf welchem Entwicklungsstand befindet sich die Anwendungssicherheit? Sobald diese Fragen geklärt sind, könne der Admin anhand von Richtlinien definieren, mit welchen Risiken das Unternehmen umgehen kann und welche es auf jeden Fall zu vermeiden gilt.

Dies bilde die Basis für das weitere Vorgehen und bestimme etwa, in welchen Bereichen die Entwickler besondere Trainings erhalten müssten. Im Zentrum aller Bemühungen stehe jedoch die Integration etablierter Tools, die dabei helfen, kritische Schwachstellen effizienter aufzuspüren und zu beseitigen.

Schritt 2: Risiken durch Code von Dritten beachten

Grundsätzlich besteht ein Risiko, dass man sich mit dem fremden Code auch Sicherheitslücken ins Haus holt. Dies gilt sowohl für Drittanbieter-Software als auch für interne Anwendungen, die auf Komponenten von externen Dienstleistern oder Open-Source-Projekten zurückgreifen. Unternehmen bzw. deren Entwickler sollten zumindest die wichtigsten Schwachstellen-Datenbanken im Auge behalten. Totzek-Hallhuber wiederum verweist auf Vercodes Befähigung, Informationen über die Komponenten von Drittanbietern und entdeckte Sicherheitslücken bereitzustellen und betroffene Anwendungen zu markieren.

Schritt 3: Die richtigen Erfolgsmaßstäbe etablieren

Analysen, Statistiken und KPIs helfen dabei, den Erfolg zu messen. Auf einige Metriken sollte laut Totzek-Hallhuber ein besonderes Augenmerk gelegt werden:

Richtlinienkonformität: Richtlinien reflektieren, welche Risiken ein Unternehmen unbedingt vermeiden will. Veracode empfiehlt, innerhalb des Anwendungsportfolios konsistente Richtlinien durchzusetzen. Eine mögliche Richtlinie wäre etwa, dass alle Web-Anwendungen frei von den in der OWASP-Top-10-Liste genannten Schwachstellen sein müssen.

Zahl der gefundenen Mängel: Diese Metrik erfasst die Zahl der gefundenen Schwachstellen, die in Applikationen gefunden werden – SQL-Injections, Cross-Site-Scripting (XSS) oder kryptographische Unzulänglichkeiten. Sie lässt vor allem Rückschlüsse darauf zu, in welchen Bereichen Entwickler Nachholbedarf haben und durch gezielte Trainings gefördert werden können.

Erfolgsquote: Wie viele der gefundenen Schwachstellen können am Ende auch beseitigt werden? Die Erfolgsquote ist ein Gradmesser für die Qualität der etablierten Mechanismen und erlaubt es, die Ressourcenallokation besser zu steuern.

Unternehmensspezifische Erfolgsmaßstäbe: Nicht alle sinnvollen Metriken besitzen universelle Gültigkeit, manche gelten lediglich in speziellen Zusammenhängen. IT-Verantwortliche sollten deshalb nach Erfolgsmaßstäben suchen, die die innerhalb ihres Unternehmens geltenden Prioritäten optimal abbilden – etwa die Zahl der automatisiert getesteten Anwendungen oder durchgeführten Trainings.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44258852 / Mobile- und Web-Apps)