Webanwendungen härten Web Apps in drei Schritten besser absichern

Schwachstellen in Web-Anwendungen dienen als Einfallstor in IT-Systeme und sind Ausgangspunkt für viele Datenabflüsse. Drei Tipps, um Fehler in Web Apps zu vermeiden, hat der Anwendungssicherheits-Spezialist Veracode zusammengefasst.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Pathlock Deutschland | akquinet enterprise solutions GmbH

TXOne Networks

Veracode Limited

Sicherheitslücken in Web-Anwendungen gibt es zuhauf. Laut dem Data Breach Investigations Report 2015 von Verizon sind sie der meistgenutzte Angriffsvektor für Datendiebstähle. In drei Schritten allerdings lassen sich Web Apps grundlegend besser absichern, meint Julian Totzek-Hallhuber, Solution Architect bei Veracode

Schritt 1: Risiken erfassen und Antworten finden

Um ihre verfügbaren Ressourcen besser einzusetzen, müssten Sicherheitsverantwortliche ihre Strategie konkrete Risiken ausrichten. Geschützt werden sollten vor allem solche Anwendungen und Teile der Infrastruktur, die von sicherheitskritischer Bedeutung sind. Um diese zu identifizieren, sei eine Bestandsaufnahme von Nöten.

Welche Anwendungen gibt es im Unternehmen – und auf welchem Entwicklungsstand befindet sich die Anwendungssicherheit? Sobald diese Fragen geklärt sind, könne der Admin anhand von Richtlinien definieren, mit welchen Risiken das Unternehmen umgehen kann und welche es auf jeden Fall zu vermeiden gilt.

Dies bilde die Basis für das weitere Vorgehen und bestimme etwa, in welchen Bereichen die Entwickler besondere Trainings erhalten müssten. Im Zentrum aller Bemühungen stehe jedoch die Integration etablierter Tools, die dabei helfen, kritische Schwachstellen effizienter aufzuspüren und zu beseitigen.

Schritt 2: Risiken durch Code von Dritten beachten

Grundsätzlich besteht ein Risiko, dass man sich mit dem fremden Code auch Sicherheitslücken ins Haus holt. Dies gilt sowohl für Drittanbieter-Software als auch für interne Anwendungen, die auf Komponenten von externen Dienstleistern oder Open-Source-Projekten zurückgreifen. Unternehmen bzw. deren Entwickler sollten zumindest die wichtigsten Schwachstellen-Datenbanken im Auge behalten. Totzek-Hallhuber wiederum verweist auf Vercodes Befähigung, Informationen über die Komponenten von Drittanbietern und entdeckte Sicherheitslücken bereitzustellen und betroffene Anwendungen zu markieren.

Schritt 3: Die richtigen Erfolgsmaßstäbe etablieren

Analysen, Statistiken und KPIs helfen dabei, den Erfolg zu messen. Auf einige Metriken sollte laut Totzek-Hallhuber ein besonderes Augenmerk gelegt werden:

Richtlinienkonformität: Richtlinien reflektieren, welche Risiken ein Unternehmen unbedingt vermeiden will. Veracode empfiehlt, innerhalb des Anwendungsportfolios konsistente Richtlinien durchzusetzen. Eine mögliche Richtlinie wäre etwa, dass alle Web-Anwendungen frei von den in der OWASP-Top-10-Liste genannten Schwachstellen sein müssen.

Zahl der gefundenen Mängel: Diese Metrik erfasst die Zahl der gefundenen Schwachstellen, die in Applikationen gefunden werden – SQL-Injections, Cross-Site-Scripting (XSS) oder kryptographische Unzulänglichkeiten. Sie lässt vor allem Rückschlüsse darauf zu, in welchen Bereichen Entwickler Nachholbedarf haben und durch gezielte Trainings gefördert werden können.

Erfolgsquote: Wie viele der gefundenen Schwachstellen können am Ende auch beseitigt werden? Die Erfolgsquote ist ein Gradmesser für die Qualität der etablierten Mechanismen und erlaubt es, die Ressourcenallokation besser zu steuern.

Unternehmensspezifische Erfolgsmaßstäbe: Nicht alle sinnvollen Metriken besitzen universelle Gültigkeit, manche gelten lediglich in speziellen Zusammenhängen. IT-Verantwortliche sollten deshalb nach Erfolgsmaßstäben suchen, die die innerhalb ihres Unternehmens geltenden Prioritäten optimal abbilden – etwa die Zahl der automatisiert getesteten Anwendungen oder durchgeführten Trainings.

(ID:44258852)