Durchdachtes Informationsmanagement in Unternehmen gefordert

Hintergrundartikel
Webapplikationssicherheit:
Durchdachtes Informationsmanagement in
Unternehmen gefordert
Von Cyrill Osterwalder*
Die Herausforderungen an Sicherheitsverantwortliche in Unternehmen
nehmen im Bereich Webapplikationssicherheit stetig zu.
Webapplikationssicherheit erfolgreich in den Griff zu bekommen bedeutet,
alle relevanten Informationen zum richtigen Zeitpunkt am richtigen Ort zu
haben. Diese Herausforderung ist nicht rein technisch, sondern erfordert
wichtige Entscheide zu Kommunikations- und Informationsfluss im
Management.
Blacklist versus Whitelist
Die meisten verbreiteten Technologien zum Schutz von Webapplikationen
konzentrieren sich sehr stark auf die Erkennung von bekannten Angriffsmustern,
so genannten Blacklist-Signaturen. Schon länger bekannte Intrusion Detectionoder
Intrusion Prevention-Systeme sind die bekanntesten Ausprägungen dieser
Art. Für Webapplikationen und Web Services vermittelt ein reiner Blacklist-
Ansatz jedoch ein falsches Bild von Sicherheit. Die aktuellen Angriffe auf
Webanwendungen sind gezielt und immer auf die betroffene Webumgebung
ausgelegt. Für einen neuen, gezielten Angriff auf das eigene System gibt es
noch keine Signatur, die einen davor schützen kann. Die bisher stark betonte
Blacklist-Filterung von bekannten Attacken reicht deshalb für einen nachhaltigen
und proaktiven Schutz nicht aus.
Grundsätzlich ist das Problem bei Blacklist-Signaturen, dass sie rein reaktiv
funktionieren und nur bekannte Angriffsmuster erkennen können. Ähnlich wie bei
der Antivirus-Problematik lässt sich damit nur ein breit angelegter Angriff, wo die
Hintergrundartikel: Durchdachtes Informationsmanagement in Unternehmen gefordert Seite 1 von 4

Muster an vielen verschiedenen Orten entdeckt werden, für weitere
potenzielle Opfern verhindern.
Proaktiven, effektiven Schutz bietet nur ein dynamisches Whitelisting, welches
durch intelligente Methoden ermöglicht, nur gültige Requests und Daten zur
Webapplikation zuzulassen. Entsprechend gilt heute diesen Methoden von Web
Application Firewall (WAF)-Herstellern grösste Aufmerksamkeit. Mit einem guten
Whitelisting-Schutz wird die Sicherheit von Webapplikationen und Web Services
proaktiv selbst gegen heute noch unbekannte Angriffe signifikant erhöht.
Statisch oder dynamisch
Die meisten WAF-Lösungen bieten bereits Whitelisting-Funktionen, aber nur die
wenigsten stellen wirklich dynamische Methoden zur Verfügung. Verwirrend
können dabei Marketing-Begriffe wie ein „Learning Mode“ oder „automatisch
generierte Filterregeln“ sein, da diese eine Dynamik suggerieren, die in der
Realität nicht vorhanden ist. Auch generierte oder gelernte Filterregeln sind in
der Umsetzung statisch und werden den heutigen Anforderungen an
Webapplikationen nicht gerecht.
Moderne Webapplikationen bieten den Benutzern kontextabhängig
unterschiedliche Informationen und Interaktionsmöglichkeiten an. Damit sind
statische Filterregeln, egal ob automatisch generiert/gelernt oder manuell
konfiguriert, nur sehr beschränkt nützlich.
Neue, wirklich dynamische Filtermethoden können hier den Unternehmen viel
mehr bieten und dabei nicht nur den dynamischen Schutz sondern gleichzeitig
den einfacheren Betrieb garantieren.
Webapplikationssicherheit als Management-Thema
Der Trend geht eindeutig in Richtung dynamischer Whitelist-Funktionen. Für
solche Mechanismen, wie auch generell für den Schutz von Webapplikationen
und Web Services, müssen Informationen über die Applikation in das
Schutzkonzept einbezogen werden. Die Herausforderung, am richtigen Ort (zum
Hintergrundartikel: Durchdachtes Informationsmanagement in Unternehmen gefordert Seite 2 von 4

Beispiel auf einer Web Application Firewall) alle relevanten
Informationen verfügbar zu haben, ist nicht nur technisch.
In vielen Unternehmen sind verschiedene Aspekte von
Webapplikationssicherheit immer noch sehr getrennt organisiert (beispielsweise
Netzwerk-Sicherheit, Topologie, DMZ-Architektur, SSL/Protokoll Terminierung,
Input-Validierung, Authentisierung etc.), obwohl sie für ein effizientes
Schutzkonzept gemeinsam betrachtet werden müssen.
Die Herausforderung für die Management-Ebene ist es, sicherzustellen, dass alle
relevanten Informationen an den richtigen Orten verfügbar sind, ohne dabei
mühsam zu pflegende Redundanzen zu schaffen. Das bedeutet oft, dass neue
Kommunikationskanäle etabliert werden müssen. Auch diese sind nicht in erster
Linie in technischen Funktionen zu suchen, sondern müssen im ersten Schritt
organisatorisch berücksichtigt werden. Im zweiten Schritt können mit den
richtigen Technologien, welche diese Aspekte in den Konzepten berücksichtigen,
effizient betreibbare Lösungen implementiert werden.
Der Betrieb von Sicherheitslösungen zum Schutz von Webapplikationen kann
nur dann effizient und effektiv funktionieren, wenn auch die dafür nötigen
applikatorischen Informationsflüsse etabliert sind und funktionieren. Das
einfachste Beispiel sind Anpassungen in einer Applikation (zum Beispiel über
neuen Applikationsrelease oder Patch), welche immer wieder
Konfigurationsanpassungen in anderen Systemen (beispielsweise einer WAF)
erfordern. Bei einer wirklich dynamischen Lösung sollte dies nicht nötig sein.
* Cyrill Osterwalder ist Experte für Webapplikationssicherheit und Senior Vice President
Web Application Security bei der phion AG. Ausserdem ist er Mitglied des Web
Application Security Consortium (WASC, www.webappsec.org) und erarbeitet dort
Richtlinien und Kriterien für höhere Sicherheit von Webapplikationen.
Hintergrundartikel: Durchdachtes Informationsmanagement in Unternehmen gefordert Seite 3 von 4

Über phion:
Die phion AG ist einer der führenden europäischen Anbieter für Lösungen zum Schutz der
Unternehmenskommunikation. Mit dem netfence-Produktportfolio bietet phion Lösungen für
höchste Ansprüche an Verfügbarkeit, Sicherheit und Management. ‚phion netfence’ adressiert
konsequent sämtliche sicherheitsrelevanten Aspekte: Von der Verteidigung am Perimeter über die
sichere und hochverfügbare Anbindung von Filialen bis hin zur Abwehr gefährlicher Inhalte und
dem Schutz des internen Netzwerks. Webapplikationen wie e-Banking-Plattformen und Web
Services werden von ‚phion Airlock’ vor Angriffen und Missbrauch geschützt.
Alle phion-Produkte verfügen zudem über ein zentrales Management und zeichnen sich durch
besonders günstige TCO aus.
phion ist im mid market Segment der Wiener Börse gelistet (Kürzel: PHIO) und hat seinen
Hauptsitz in Innsbruck, Österreich. Zu den Kunden von phion zählen namhafte, international tätige
Unternehmen aus allen Branchen.
Weitere Informationen stehen unter: http://www.phion.com zur Verfügung.
Hintergrundartikel: Durchdachtes Informationsmanagement in Unternehmen gefordert Seite 4 von 4