nach oben
26.11.2018

Cyberangriffe erfolgreich abwehren

Webanwendungen sind Teil der internen und externen Geschäftsprozesse: von der Reisekostenabrechnung bis zum Projekt- und CRM-Management. Doch sie weisen erhebliche Sicherheitslücken auf. Riesige Mengen an Unternehmensdaten liegen dadurch ungeschützt in Datenbanken und auf Webservern. Cyberkriminelle haben leichten Zugang. Mit speziellen Schutzmechanismen lassen sich diese Lücken auffinden und schließen.


Netzwerk-Firewall ist machtlos

Die Bedrohung ist vor allem deshalb so groß, weil herkömmliche Netzwerk-Firewalls nicht in der Lage sind, solche Angriffe zu stoppen. Zwar stellen Firewalls sowie Intrusion-Detection- oder Prevention-Systeme meist die erste Verteidigungslinie im Unternehmen gegen Cyberangriffe aus dem Internet dar. Daher sollten sie beim Sicherheitskonzept auf keinen Fall fehlen. Doch gegen Angriffe, die darauf abzielen, Internetdienste zu blockieren oder zum Ausfall zu bringen, helfen sie kaum.

Bei sogenannten DDoS-Angriffen ist sogar die Netzwerk-Firewall selbst im Visier des Angriffs: Dabei nutzen die Kriminellen gekaperte Rechner, Geräte und Netzwerke, um massive Anfragen an das Netzwerk zu stellen. Die Flut eingehender Nachrichten erzwingt eine Abschaltung des Systems und somit auch aller über dieses System bereitgestellten Dienste.

Spezielle Schutzmechanismen

Mit speziellen Schutzmechanismen lassen sich die Gefahren auf Webebene minimieren:

  • Kern dieses Sicherheitssystems ist eine „Web Application Firewall“ (WAF). Eine WAF analysiert den Datenaus¬tausch zwischen Clients und Webservern. Sie prüft alle eingehenden Anfragen und Antworten an und vom Webserver. Wenn bestimmte Inhalte als verdäch¬tig eingestuft werden, wird der Zugriff über die WAF verhindert. Insbesondere bietet eine WAF Schutz vor Angriffen, die bspw. durch sogenannte Injektionsangriffe („SQL-Injection“), „Cross Site Scripting“ (XSS), „Session-Hijacking“ und andere Arten von Webangriffen ausgeführt werden.
  • Eine WAF kann auch DDoS-Angriffe stoppen. Dazu nutzt sie ein sogenanntes Scoring-Modell. Nimmt man als Schwellenwert z.B. die Anzahl der Anfragen, die eine einzelne IP innerhalb eines festgelegten Zeitraums übermitteln darf, werden Anfragen gestoppt, die über diese Anzahl hinausgehen.
  • Vulnerability Scanning: Da jede Webanwendung Sicherheitslücken aufweisen kann, sollte sie regelmäßig auf Schwachstellen geprüft werden. Vor allem dann, wenn sie eine firmeneigene Entwicklung ist. Dann lässt sich ein Patch entsprechend nachentwickeln. Bei externen Anwendungen von SAP, Microsoft oder Oracle ist man darauf angewiesen, dass ein Patch zur Verfügung gestellt wird. Moderne WAFs haben einen integrierten Vulnerability Scanner. Wichtig: Eine Anwendung ist nur bei selbst entwickelten und gekauften Webanwendungen erlaubt.
  • Für noch mehr Sicherheit sorgt ein „Virtual Patching“: Wird eine Schwachstelle gefunden, sendet der Vulnerability Scanner einen Bericht zur Web Application Firewall. Diese behebt die Schwachstelle mittels eines virtuellen Patch auf Application Firewall-Ebene. Von der Identifika¬tion bis zur Behebung vergehen bei diesem Prozess ledig¬lich wenige Stunden. Der virtuelle Patch dient als Überbrückung bis ein Patch zur Verfügung steht – er kann aber auch dauerhaft genutzt werden.
  • Unternehmen, die eigene Webapplikationen entwickeln, können den Vulnerability Scanner auch während der Entwicklung einsetzen. Auf diese Weise erhalten sie direkt Feedback und können die Ergebnisse entsprechend berücksichtigen, um Sicherheitslücken von vornherein zu umgehen.
  • Es empfiehlt sich, eine Testumgebung für die Webapplikation einzurichten. In dieser Testumgebung sollte auch der Vulnerability Scan laufen und auch neue Patches sollten hier zunächst aufgespielt werden. Auf diese Weise ist sichergestellt, dass die reale Anwendung keinen Schaden nimmt.

Inhaltsverzeichnis
Unternehmensinformation

Rohde & Schwarz GmbH & Co.KG

Mühldorfstr. 15
DE 81671 München
Tel.: 089-4129-0
Fax: -2164

Aktuelle Videos

VDW: Konnektivität für Industrie 4.0


Zu den Videos

Newsletter

Sie wollen immer top-aktuell informiert sein? Dann abonnieren Sie jetzt den kostenlosen Newsletter!

Hier kostenlos anmelden

Aktuellen Newsletter ansehen

Basics
Zur Übersicht aller Basics