Ist meine WebSite noch sicher?

Transkript

1 Ist meine WebSite noch sicher? Massive Angriffe gegen Joomla, Wordpress, Typo Stephan Sachweh Geschäftsführer Pallas GmbH

2 Pallas stellt sich vor Wir sind ein MSSP: Managed Security Service Provider Pallas ist strategischer Solution-Partner der Vodafone Wir erbringen IT-Sicherheits-Dienstleistung Beraten Einrichten Betreiben Überwachen (24x7) Helpdesk-Service (24x7) Lösungsorientiert, wachsend mit Ihren Bedürfnissen Vor Ort und in unseren deutschen RZs als Private Cloud Service

3 CMS: Joomla, Wordpress, Typo3 Joomla, Wordpress und Typo3 sind die beliebtesten, freien Content Management Systeme Alle drei basieren auf PHP Sie stehen Synonym für CMS basierte Websites Andere CMS wie z.b. RedDot, e-spirit, VIP-Gauss etc. sind ähnlich betroffen

4 CMS / Content Management System Verwaltet den Inhalt / Content Steuert die Freigabe Ermöglicht aktiven Content Trennt Inhalt von Layout Bei einfachen CMS wie Joomla, Wordpress, Typo3 geht der administrative Zugang direkt über den publizierenden Web-Server Angriffsziel ist bekannt Nicht leicht schützbar

5 Angriffe finden ständig statt!

6 Verseuchung von Web-Sites Quelle: Microsoft Security Intelligence Report Volume 14

7 Mythos: Mein Web-Auftritt ist uninteressant für Angreifer Jeder Web-Auftritt ist interessant für Angreifer wg. der Daten z.b. Logins, Zahlungsdaten, E Mail Adressen wg. der Ressourcen z.b. illegale Filesharing Dienste, performanter BotNet Client, Auslieferungsplattform für Malware

8 Mythos: Mein Web-Auftritt wird nicht gefunden Durchsuchen des IPv4 Adressraums bzgl. eines Ports (z.b. 80/tcp (http)): innerhalb von 45min! Automatisierte Suche nach verwundbaren Opfern

9 Mythos: Mein Web-Auftritt ist sicher Sicherheit ist ein Running Target Ein sicheres System wird allein durch Altern unsicher Neue Sicherheitslücken in 2013 (insgesamt) Joomla: 10 (772) Wordpress: 47 (549) Typo3: 23 (364) Drupal Lücke in 2014 extrem kritisch

10 Angriffsebenen

11 Schutz auf unterschiedlichen Ebenen Betriebssystem Server härten, Minimalkonfiguration Logging aktivieren Firewall Patchen, aktuell halten Malware Scanner Backup (und Restore) Best Practice Anleitungen beachten Datenbank Firewall (unerreichbar machen) Patchen, aktuell halten Best Practice Anleitungen beachten

12 Schutz auf unterschiedlichen Ebenen Web-Server Minimalisierung Patchen, aktuell halten Best Practice beachten Middleware PHP Minimalisieren Patchen, aktuell halten Best Practice beachten Web-Anwendung (CMS) Admin Zugänge sichern Web-Application Firewall https verwenden (falls sinnvoll) Patchen, aktuell halten

13 Schutz durch Monitoring Überwachung der Verfügbarkeit der Web-Site Überwachung des Inhalts der Web-Site mind. um Defacement zu erkennen Überwachung des Dateisystems auf Schadsoftware / Malware Auswertung der Logs auf Anomalien Externe Dienste nutzen Z.B. Initiative-S des eco Z.B. PASA von Pallas

14 Auswahl eines CMS Die Auswahl eines CMS ist meist nicht durch Sicherheitsstandards getrieben Primäre Merkmale meist Fähigkeit zur Umsetzung des gewünschten Designs / Funktionsumfang Usability für die Nutzer Lauffähigkeit auf der zur Verfügung stehenden Plattform Know-How zum Betrieb des CMS Folge: Security wird als Randthema betrachtet, muss jedoch höhere Bedeutung erlangen!

15 Informationsquellen zur Sicherheitslage CERT-Bund: BSI Sicherheitsstudie Content Management Systeme (CMS) Joomla Wordpress Typo3 Kein Anspruch auf Vollständigkeit, weitere Links z.b. in der BSI Studie

16 Gibt es noch Fragen? Autor: Stephan Sachweh/Geschäftsführer Unternehmen: Pallas GmbH Brühl Web: Vielen Dank für Ihre Aufmerksamkeit!