Die komplette MONITOR-Ausgabe 11/2008 können Sie hier ...

20
Thema | Security
probates Mittel darstellen. Bei der Absicherung
gegen Spam-Relays auf Serverseite
geht es darum, den oder die Rechner möglichst
umfassend abzusichern. Zuallererst
sind die vorhandenen SMTP-Services durch
sichere Konfiguration und Firewalls gegen
missbräuchliche Verwendung zu schützen.
Grundsätzlich muss laut Roman Weinberger
aber der gesamte Server gegen Angriffe
gesichert sein, da etwa eine Lücke in
einem CMS wie Joomla dazu dient, schädliche
Software zu installieren, welche zum
Versenden von Spam-Mails verwendet werden
kann.Auf Seite der Server,die Mails von
Spam-Relays entgegen nehmen, sollten alle
bekannten Anti-Spam-Maßnahmen wie
Blacklisting, Greylisting, Bayessche Filter
und andere erprobte Methoden verwendet
werden,um eine Zustellung der Spam-Mails
weitestgehend zu verhindern.
Um der Bedrohung durch Bot-Netzwerke
Herr zu werden gilt es sich zunächst einmal
mit der verteilten Struktur von Bot-
Netzwerken auseinanderzusetzen. „Diese
macht ein Vorgehen schwierig, vor allem, da
bei jüngeren Bot-Netzen auch deren Steuerung
dezentral erfolgt“,gibt Weinberger zu
bedenken.
Bestehende Methoden zur automatischen
Erkennung von Angreifern bzw.Mitgliedern
eines Bot-Netzwerks basieren meist auf Fingerprinting-Methoden
und sind vor allem
in modernen IPS-Appliances integriert.Auch
gibt es Ansätze, die an Bot-Netzen beteiligten
Rechner durch die Herkunftsanalyse von
Spam-Mails zu identifizieren.
Integration bereitet die größten Hürden
Auch das Mittun der Hersteller ist gefragt,
und zwar in der kompletten Wertschöpfungskette
von Customizing über Implementierung
bis hin zu Wartung und Service
und dem Zusammenspiel mit anderen
proprietären Systemen. „Natürlich sollte eine
CMS-Applikation so sicher wie möglich
sein und Security muss einen hohen Stellenwert
beim Hersteller haben“,sagt der Experte.
In der Praxis erscheint es vor allem wichtig,
den Security Record der CMS-Applikation
und die Response Time der Entwickler
zu analysieren.Beim Customizing sollte laut
Roman Weinberger darauf Wert gelegt werden,
dass Anpassungen ohne Veränderung
der eigentlichen Anwendung (phpBB-
Hacks) über eine Plugin-Architektur mög-
„Wenn eine Anwendung
gegen XSS geschützt
ist, lassen sich
CSRFs vergleichsweise
einfach mit in
Formularen eingebetteten
Shared-Secrets
vermeiden.“ - Günther
Lackner von
Studio78.at
lich sind, um spätere Security-Updates nicht
zu verzögern oder gar zu verhindern.
Das Zusammenspiel mit anderen Systemen
sollte - wenn möglich - nur über definierte
Schnittstellen erfolgen, da es zu erheblichen
Sicherheitsproblemen kommen
kann, wenn sich etwa zwei Anwendungen
den Zugriff auf bestimme Datenbanktabellen
teilen. Denn letztlich gilt es auch zu verhindern,
dass unsichere Komponenten und
Module von Drittanbietern die Sicherheit
des Gesamtsystems torpedieren. „Der Installation
von Komponenten von Drittanbietern
sollte natürlich immer ein Security
Audit vorangehen“, betont Weinberger.
Der Vorteil: Bei zahlreichen open-sourcebasierten
CMS kann das Unternehmen seitens
der Community auf wertvolle Anhaltspunkte
zur Bewertung der jeweiligen Komponenten
zurückgreifen.Ergänzt mit den Informationen
der einschlägigen Security Trakker
sollte sich dadurch ein recht eindeutiges
Gesamtbild ergeben, ob man dem Modul
vertrauen kann. „Bei Unsicherheiten empfiehlt
sich auch eine Analyse des Quellcodes“,
so der Experte weiter.
Fazit: Virtualisierung erhöht
Sicherheitsniveau
Auf jeden Fall sollte vermieden werden, dass
aufgrund von benötigten Features auf Module
mit zweifelhafter Sicherheit zurückgegriffen
wird.Wie aber lässt sich verhindern,
dass Legacy-Systeme die Stabilität und Sicherheit
bedrohen? Einerseits lässt sich mit
den bereits oben erwähnten Methoden wie
mod_security oder IPS die Sicherheit von
Legacy-Systemen prinzipiell erhöhen.
Wie bei jeder sicherheitsrelevanten Anwendung
sollte das wichtigste Ziel nach dem
EOL das Upgrade auf ein aktuelles System
darstellen. Je nach Größe der Anwendung
und den geschätzten Kosten eines Upgrades
inklusive Einschulung kommt im Open-
Source-Bereich auch eine Weiterentwicklung
monitor | November 2008
bzw.Absicherung des bestehenden Systems
auf eigene Kosten in Betracht. „Hierbei sind
aber Probleme bezüglich der Verfügbarkeit
von Experten wie auch der jeweiligen Lizenzierung
denkbar“, räumt Weinberger ein.
Regelmäßige Updates und Wartung bei
den Herstellern sind dennoch oder gerade
auch angesichts der begrenzten Fachressourcen
ein absolutes Pflichtkriterium. Die Wartung
und die Fehlerbereinigung spielen mittlerweile
bei allen größeren CMS-Anbietern
eine wichtige Rolle. Bei Joomla falle jedoch
negativ auf, dass auch schwerwiegende Sicherheitslücken
nur recht unscheinbar auf
der Herstellerseite erwähnt werden, kritisiert
Weinberger.
Dennoch zieht der Experte insgesamt eine
positive Bilanz, was die Sicherheitsbilanz
bei OSS-basierten CMS-Lösungen angeht.
Das Einspielen von Bugfixes bereite mittlerweile
nur noch selten Probleme, „sei es bei
Typo3, Joomla oder auch Drupal“, bilanziert
Weinberger. Sehr wohl seien aber Upgrades
auf neue Versionen nach wie vor komplexer
und sollten deshalb zunächst nur in einer
Testumgebung durchgeführt werden. „Als
hervorzuhebende Ausnahme hat sich unserer
Erfahrung nach das LMS-Moodle erwiesen“,
glaubt der Experte.
Um unerwarteten Problemen möglichst
aus dem Weg zu gehen, sollten Unternehmen
abschließend generell auf Best-Practice-Methoden
zur Absicherung und auf
alternative Wege im zunehmenden Methodenmix
zwischen proprietären Anwendungen
zurückgreifen, um den Spagat sicherheitstechnisch
besser zu beherrschen.Experten
empfehlen dazu durchgängige Security-
Audits der jeweils verwendeten Applikationen
wie auch der Server-Setups. Zur bestmöglichen
Absicherung der Systeme bieten
sich zudem die mittlerweile ausgereiften Lösungen
zur Virtualisierung an.
In Verbindung mit einer auf standardisierten
Schnittstellen basierenden Kommunikation
der Anwendungen untereinander bietet
die Virtualisierung immerhin den größtmöglichen
Schutz, da das Kompromittieren
einer Anwendung nicht zwangsweise negative
Auswirkungen auf weitere Programme
der individuellen Softwarelandschaft nach
sich zieht. „Leider werden Schnittstellen-
Protokolle, wie etwa SOAP, auf Seite der populären
CMS-Systeme nur teilweise genützt,
und es ist mitunter notwendig, eigene
Module zu entwickeln“, fasst Roman
Weinberger zusammen. ❏