Web Application Security

Bei der Web Application Security geht es um den Schutz von Webanwendungen vor Bedrohungen aus dem Internet. In der Regel wird dies durch eine WAF gewährleistet: eine Web Application Firewall.

Was ist eine Webanwendung?

Eine Webanwendung ist ein Client-Server-System, das über das Internet läuft, wobei der Client ein Webbrowser oder eine native/mobile Software ist.

In einem herkömmlichen Client-Server-System kommuniziert die Client-Software mit der Server-Software, in der Regel auf separaten physischen Geräten. Die beiden Anwendungen sind in ihrem Design eng miteinander verbunden; die Änderung oder Aktualisierung einer der beiden Anwendungen erfordert häufig auch die Änderung der anderen.

In den frühen 1990er Jahren wurden „Web“-Clients und -Server populär. (Der Name stammt von Tim Berners-Lees Vorschlag für ein „WorldWideWeb“-System mit Hyperlinks aus dem Jahr 1990). Die ersten Websites waren statisch; Clients verwendeten Browser-Software, um HTML-Dokumente, die auf Webservern gespeichert waren, zu interpretieren und anzuzeigen.

Mit der Zeit wurden die Websites dynamisch. 1995 wurde JavaScript eingeführt: eine clientseitige Skriptsprache, die es den Seiten ermöglichte, interaktiver mit ihren Benutzern zu sein. Mit der Einführung von Flash, Java, DHTML und anderen Technologien wurden die Möglichkeiten einer „Webseite“ erweitert. Heute sind die anspruchsvollsten Seiten vollwertige Anwendungen.

Eine Webanwendung ist also ein Client-Server-System, das über das Internet läuft und einen Webbrowser als Client verwendet. Mit der zunehmenden Verbreitung mobiler Geräte sind jedoch auch Software-Ökosysteme für diese Plattformen entstanden. Viele dieser mobilen Client-Anwendungen verwenden Webprotokolle für die Kommunikation mit den Servern. Daher werden sie oft auch als Webanwendungen betrachtet, auch wenn kein Browser verwendet wird.

Der Großteil der Internetnutzung erfolgt heute über Webanwendungen. Die Web Application Security ist daher zu einem äußerst wichtigen Bestandteil des heutigen Internets geworden.

Webanwendungen und APIs

Webanwendungen verwenden APIs zur Kommunikation mit anderen Systemen, wie Datenbanken, Dateisystemen und anderen Webanwendungen. APIs ermöglichen es, dass zwei Softwarekomponenten nahtlos miteinander kommunizieren können. Sie können verwendet werden, um Daten auszutauschen, Nachrichten zu senden oder andere Aufgaben auszuführen.

APIs können ein Sicherheitsrisiko darstellen, wenn sie nicht richtig gesichert sind. Sie können z.B. verwendet werden, um auf sensible Daten zuzugreifen oder um Angriffe auf Webanwendungen zu starten (bspw. Injektionsangriffe). Entwickler sollten robuste Sicherheitsmaßnahmen zum Schutz von APIs implementieren. Dazu gehören die Verwendung einer starken Authentifizierung, die Verschlüsselung von Daten, die Validierung und Bereinigung von Eingaben sowie die Überwachung des API-Verkehrs.

Das Verständnis der Beziehung zwischen Webanwendungen und APIs ist für die Aufrechterhaltung eines sicheren digitalen Ökosystems unerlässlich. Dies liegt daran, dass APIs manchmal dazu verwendet werden können, Sicherheitsmaßnahmen zu umgehen, die für Webanwendungen gelten, da Entwickler eingehenden API-Datenverkehr oft nicht so streng behandeln wie andere http/s-Anfragen.

Dies unterstreicht die Notwendigkeit strenger Sicherheitsmaßnahmen und bewährter Verfahren, um nicht nur die Webanwendung selbst, sondern auch die damit verbundenen APIs zu schützen und so eine robuste und widerstandsfähige Architektur angesichts der sich entwickelnden Cyberbedrohungen zu gewährleisten.

Was ist Web Application Security?

Mit der Zunahme der kommerziellen Aktivitäten im Internet sind auch die Anreize für feindliche Aktivitäten und Missbrauch gestiegen.

Webanwendungen können auf vielfältige Weise angreifbar sein. Im Laufe der Entwicklung des Internets wurden einige dieser Schwachstellen beseitigt. Dank der Einführung von HTTPS als Standardprotokoll für die meisten Websites sind beispielsweise MitM-Angriffe (Man in the Middle) schwieriger geworden.

Webanwendungsserver sind jedoch von Natur aus schwer zu schützen. Es liegt in ihrer Natur, dass sie eingehende Verbindungen von Clients akzeptieren müssen. Daher müssen Server in der Lage sein, legitime Clients von feindlichen Clients zu unterscheiden und denjenigen, die sich als feindlich erweisen, den weiteren Zugriff zu verweigern.

Es gibt eine Vielzahl bösartiger Aktivitäten, die möglich sind (z. B. die OWASP Top 10 Web Application Security Risks). Einige der häufigsten Bedrohungen und Angriffe sind:

• Injection Angriffe beinhalten das Einfügen von bösartigem Code oder Befehlen in Eingabefelder oder Dateneingabepunkte einer Anwendung. SQL-Injection, eine der häufigsten Arten, ermöglicht es Angreifern, eine Datenbank zu manipulieren, indem sie SQL-Befehle über Eingabefelder einfügen.
• Beim Cross-Site Scripting (XSS) werden bösartige Skripte in Webseiten eingeschleust, die zur Ausführung nicht autorisierter Skripte in den Browsern ahnungsloser Benutzer führen. Auf diese Weise können Angreifer sensible Informationen stehlen oder Aktionen im Namen des Benutzers ausführen.
• Sicherheit Fehlkonfigurationen in Webanwendungsservern, Frameworks oder Datenbanken können Schwachstellen für die Ausnutzung offen lassen. Zu diesen Fehlkonfigurationen gehören Standardeinstellungen, offene Ports, ungepatchte Software oder unnötige Dienste auf dem Server, die Angreifern die Möglichkeit bieten, unbefugten Zugriff zu erhalten.
• Unsichere Deserialisierung tritt auf, wenn eine Anwendung nicht vertrauenswürdige Daten ohne ordnungsgemäße Validierung deserialisiert, was zu Remotecodeausführung oder Denial-of-Service-Angriffen führen kann.
• Unzureichende Zugriffskontrollen ermöglichen es unbefugten Benutzern, erhöhte Privilegien zu erlangen oder auf Ressourcen zuzugreifen, auf die sie keinen Zugriff haben sollten. Dazu gehören eine schlecht verwaltete Authentifizierung, zu weitreichende Berechtigungen oder eine unsachgemäße Sitzungsverwaltung.
• Unzureichende Protokollierung und Überwachung behindern die Fähigkeit, Sicherheitsvorfälle effektiv zu erkennen und darauf zu reagieren. Ohne umfassende Protokollierungs- und Überwachungssysteme ist es schwierig, potenzielle Bedrohungen oder unbefugte Zugriffsversuche zu verfolgen und zu analysieren.

Einige Entwickler haben versucht, Sicherheit in ihre Webanwendungen einzubauen, so dass sie die Möglichkeit haben, feindliche Aktivitäten innerhalb der empfangenen Anfragen zu erkennen.

Dieser Ansatz hat jedoch mehrere Probleme. Erstens setzt er voraus, dass die Anwendungsentwickler Sicherheitsexperten sind (was in der heutigen komplexen Bedrohungslandschaft sehr unwahrscheinlich ist). Außerdem ist er unvereinbar mit modernen Entwicklungspraktiken, die eher kleine, unabhängige Dienste als große monolithische Anwendungen bevorzugen.

Daher besteht der effektivste Ansatz für die Sicherheit von Webanwendungen darin, dass Server separate, dedizierte Sicherheitsanwendungen ausführen, um den eingehenden Datenverkehr zu filtern und zu prüfen. Moderne Bedrohungsakteure sind finanziell gut ausgestattet, hartnäckig und ausgeklügelt: Daher ist eine WAF der nächsten Generation heute eine wichtige Komponente jedes Webanwendungssystems.

Share this post