Web Application Security Was kann schon schiefgehen.
Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung
Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung Repräsentation Soziale Netze Suchmaschinen
Risiken
www.holisticsec.com
OWASP Top Ten A1: Injection A2: Broken Authentication and Session Management A3: Cross-Site Scripting (XSS) A4: Insecure Direct Object References A5: Security Misconfiguration A6: Sensitive Data Exposure A7: Missing Function Level Access Control A8: Cross-Site Request Forgery (CSRF) A9: Using Components with Known Vulnerabilities A10: Unvalidated Redirects and Forwards
Dann setze ich eine WAF ein! Damit passiert mir doch eh nichts mehr!
Eine WAF schützt www.holisticsec.com Aber eine WAF sollte nur ein Baustein in einem Sicherheitskonzept sein. Manipulierte Requests Implementierungsfehler Protokollfehler Unbekannte Schwachstellen & Exploits (Zero-Days) Designschwächen & Logikfehler WAF-Schwachstellen
Eine WAF kann nur so gut sein wie sie konfiguriert wurde.
Bedrohungsübersicht www.holisticsec.com Bedrohungen für Betreiber von Webapplikationen Fehlerhafte Eingaben Skript-Kiddies HACKER Applikationsfehler Unvorhergesehenes Verhalten NUTZER DEFEKTE Black-Hats Opfer Gezielte Angriffe Infrastruktur NUTZER HACKER Nutzer sind jene, die die Applikation aktiv nutzen. Häufig wird Es gibt verschiedene Kategorien von Hackern. Die große Masse bilden dabei die Skriptdas zu erwartete Nutzerverhalten im Vorfeld auf Funktionalität Kiddies, welche durch die Verwendung von ihnen unbekannten oder nur teilweise getestet. Jeder Entwickler und Betreiber sollte sich aber fragen, bekannten Tools Angriffe durchführen und somit Sicherheitsprobleme verursachen. was passiert wenn der Nutzer von diesem Verhalten abweicht? Ein Holistic weiterer Security Aspekt Consulting ist Frage, GmbH ob es - sich Holistic bei allen Security Nutzer Confidential um Official Weitere use Bedrohungen only sind gezielte Angriffe aufgrund von Spionage, krimineller Motivation oder Begeisterung an der Thematik. legitime Anwender handelt. DEFEKTE Probleme können auch durch Fehler innerhalb der Applikation entstehen und zu Abstürzen, Information-Disclosure oder Unzufriedenheit bei den Nutzern führen. Die Probleme liegen dabei aber nicht zwingend innerhalb der Applikation sondern können auch auf Infrastruktur-Ebene liegen.
Prävention www.holisticsec.com Was kann getan werden! Secure Development Lifecycle & Secure-Coding Guidelines Penetration-Tests & Analysen Lasttests durchführen Business-Logik testen Infrastruktur
Sicherheit bei Webapplikationen www.holisticsec.com Was sollte getan werden. SCHRITT 1 SCHRITT 2 SCHRITT 3 SECURITY BEI REQUIREMENTS ENGINEERING UND DESIGN- PHASE SOWIE IMPLEMENTIERUNG PENETRATION-TESTS, LASTTESTS UND FUNKTIONALE TESTS DURCHFÜHREN REGELMÄSSIGE UPDATES UND UMSETZEN VON ABGELEITETEN MASSNAHMEN
Tipps www.holisticsec.com Einfache Maßnahmen Benutzereingaben validieren Serverseitige Invalidierung von Authentifizierungsparametern Whitelisting vs. Blacklisting Rechte- und Sessionmanagement Webserverkonfiguration
Warum sollte ich in Sicherheit investieren? Mir passiert doch eh nichts!
Kontakt Erik Rusek Managing Director & Security Consultant Tel. +43 732 997088 Mobil +43 699 1337 0043 Mail erik.rusek@holisticsec.com