zurück zur Übersicht

5 Wege, um Web-Apps sicherer zu machen

Wer hat die Sichersten Web-Apps?

Wer sich mit dem Thema beschäftigt merkt schnell: die herkömmlichen Maßnahmen der Netzwerkabsicherung greifen nicht beim Thema Web-Applikationen.

Die Next Generation Firewall (NGFW) kann zwar den Datentransfer innerhalb des Netzwerks für Applikationen und Server absichern, aber nicht das wilde Internet außerhalb des Perimeters. Sicherheitsfunktionen wie „Threat Prevention“ oder „Antivirus“ helfen nicht Angriffe auf Ihre Web Applikation zu verhindern. Dabei hängen wichtige Geschäftsprozesse von der verlässlichen Verfügbarkeit dieser Applikationen ab. Interaktion mit Kunden. Zusammenarbeit von Mitarbeitern. Bereitstellung wichtiger Informationen.

Durch SQL Injektionen können z.B. Datenbankeinträge ausgelesen, manipuliert oder zerstört werden. Dieser Angriff ist immer noch unter den 10 häufigsten Angriffen auf Web-Apps. Sind Ihre Kundendaten sicher davor geschützt? Auch Verschlüsselung heißt nicht automatisch gleich Sicherheit. Viele Verschlüsselungsmethoden wie z.B. SSLv2 TLS 1.0 sind bereits verwundbar.

Wer hier mit innovativen Methoden wie einer Advanced Web Application Firewall für Sicherheit sorgt, hat einen echten Wettbewerbsvorteil.

Fünf kritische Verbesserungen für die Sicherheit Ihrer Web-Apps:

1. Bots zuverlässig erkennen und unterscheiden

In der Welt von Google, Siri & Alexa schwirren im Netz Unmengen an unabhängig agierenden Programmen (Bots) herum. Und nicht alle haben Gutes im Sinn. Längst kaufen und verkaufen Bots auf dem Schwarzmarkt und versuchen Web-Apps und Services durch Denial-of-Service-Angriffe (DDOS) zu blockieren. DDOS Angriffe überlasten Anwendungen und verhindern legitime Verbindungen.

Aber wie kann ich gutartige Bots von bösartigen Bots unterscheiden und wie können die bösartigen Zugriffe verhindert werden?

Um böswilligen Datenverkehr von legitimem Userverhalten zu unterscheiden, bedarf es ausgereifter Algorithmen und Strategien. Folgende drei Strategien helfen dabei:

Verhaltensanalyse und maschinelles Lernen können helfen DDOS-Angriffe abzuwehren. So können Anomalien, die vom normalen Datenverkehr abweichen, erkannt werden.

Cloud Scrubbing hält Ihr Unternehmen während eines Angriffs online. Ein Angriff, der Ihre Internet Bandbreite übersteigt, kann Lokal nicht mehr verhindert werden. Dazu gibt es Cloud Scrubbing, um bereits im Internet den „Sauberen Datenverkehr“ zu erkennen und an den Web Server weiter zu leiten.

Signalisierung und On-Demand Hybrid Protection. Durch Monitoren der Ressourcen Ihrer Web Applikation kann jederzeit ein Angriff erkannt und on-demand, auf den Cloud Scrubbing Service umgeleitet werden. Somit sparen Sie sich Kosten können sich aber jederzeit vor einem Ausfall Ihres Services schützen.

Schützen Sie Ihre Kunden und Ihre Anwendungen vor bösartigen Zugriffen!

2. Malware draußen halten

Sie denken sich vielleicht, warum Ransomware und Malware im Bereich der Web Anwendungen eine Rolle spielt?

Durch sogenannte Cross-Site-Scripting-Angriffe kann Schadcode in Ihrer Web Applikation installiert werden. Sobald es den Angreifern gelungen ist, können Besucher der Anwendung infiziert werden. So können z.B. Anmeldeinformationen der Besucher ausspioniert werden. Das wiederum führt zu einem finanziellen Schaden durch z.B. Imageverlust oder Schadensersatzansprüche.

Sie glauben nicht, dass so ein Angriff funktioniert? Fragen Sie uns, wir demonstrieren Ihnen dieses Szenario und zeigen Ihnen die Auswirkungen.

Schützen Sie Ihre Anwendung mithilfe einer Advanced WAF. Durch die Full-Proxy-Architektur in Verbindung mit maschinellem Lernen können Angriffe zuverlässig und schnell erkannt und unterbunden werden.

3. Schutz vor Phishing / Credential Stuffing

Durch Phishing E-Mails können Benutzer auf eine gefälschte Webseite weitergeleitet werden, die wie eine legitime Webseite aussieht. Mit einfachen Tools können Webseiten innerhalb weniger Minuten dupliziert werden. Die irregeführten Benutzer geben dann arglos ihre (Login-) Daten ein – direkt an die Angreifer.

Im Darknet gibt es bereits unzählige Anmeldeinformationen zu kaufen, die auf diese Weise gestohlen wurden.

Oft reicht aber auch bereits das Ausprobieren einfacher Passwörter wie z.B. die Nr 1 der meistbenutzen Passwörter: 123456. Häufige standard-Passwörter werden durch sogenannte Dictionary-Attacken systematisch durchprobiert.

Zuverlässigen Schutz bietet hier eine Zwei-Faktor Authentisierung. Dabei wird beim Loginvorgang z.B. durch Sicherheitstokens, die aufs Handy des Nutzers übertragen werden, eine zusätzliche Bestätigung gefordert.

Die Advanced WAF von F5 bietet beispielsweise derartige Möglichkeiten, die Benutzer zu authentifizieren und die Anmeldedaten zu sichern.

Übrigens: Securelink bietet auch die Möglichkeit, für Sie herauszufinden, welche Daten im Darknet über Ihre Firma bekannt sind. Kontaktieren Sie uns gerne.

4. Nur wer die Gefahrenlage kennt, kann sich schützen

Informieren Sie sich regelmäßig über die häufigsten Angriffsarten auf Applikationen. Eine gute Quelle dafür ist das Open Web Application Security Project (OWASP): https://www.owasp.org/

Generell sollten diese Angriffsvektoren mit einbezogen werden:

Die wichtigsten Angriffsvektoren im Überblick
Quelle: F5: Die-Entwicklung-der-Risikolandschaft

5. Angriffe rechtzeitig erkennen und gegensteuern

Wissen Sie, wie viele und welche Angriffe täglich auf Ihre Anwendungen stattfinden? Sollten Sie diese Fragen beantworten können: Wissen Sie auch ob die Angriffe erfolgreich waren?

Durch die Cloud Lösung namens Silverline von F5 können Sie diese Fragen beantworten. Sie bietet Ihnen die Möglichkeit, bösartige Zugriffe wie z.B. durch Bots zu verhindern. Dadurch bleibt Ihre Anwendung auch bei hoher Auslastung erreichbar. Zusätzlich erhalten Sie einen aussagekräftigen Report um die oben genannten Fragen beantworten zu können.

Das ist aber nicht der einzige Nutzen der Cloud. Fehlen Ihnen die Ressourcen um eine WAF administrieren zu können? Oder fehlt Ihnen das Budget eine WAF zu kaufen? Mit Silverline müssen Sie keines von beidem tun. Mithilfe des Silverline Security Operation Center wird die WAF für Sie verwaltet und administriert. Die Abrechnung erfolgt dabei monatlich.

Alternativ können auch Sicherheitsexperten von externen Dienstleistern Ihre WAF administrieren und anpassen. Gönnen Sie sich ein rund um die Uhr erreichbares Managed Services Team, das Ihre WAF verwaltet und dabei hilft, sie weiter zu entwickeln und an Ihre Bedürfnisse anzupassen.

Kostenlose E-Books zum Thema

Zusammen mit unserem Partner F5 bieten wir unseren Lesern ganze sieben Whitepapers und E-Books mit Informationen zu genau den genannten Themen.

Hier finden Sie die kostenlosen Downloads!

 

Schreibe einen Kommentar

Wir nehmen Datenschutz ernst! Deshalb informieren wir Sie, was mit Ihren Daten geschieht:

  • Daten aus Formularen und Webseiten-Tracking können von uns zur Analyse gespeichert werden
  • Die Daten können zur Optimierung der Webseite ausgewertet werden. Das ermöglicht es uns, besser zu verstehen, wo das Interesse unserer Besucher liegt. Wir benutzen primär Hubspot für dieses Tracking (mehr dazu finden Sie in der Erklärung auf unserer Datenschutzseite, siehe unten)
  • Wir geben Ihre Daten nicht an Dritte weiter. Im Rahmen von Veranstaltungen, an denen Sie teilnehmen möchten, kann es nötig sein, dass Ihre Daten an Vertragspartner übermittelt werden.
  • Sie haben jederzeit ein Recht auf die Herausgabe, Berichtigung oder Löschung persönlicher Daten.
  • Sie können Ihre Einwilligung, mit uns in Kontakt zu treten, jederzeit mit sofortiger Wirkung widerrufen.

Weitere Details dazu, was wir mit den Daten tun und nicht tun finden Sie auf unserer Datenschutzseite, oder schreiben Sie mich bei Fragen direkt an!

Felix Möckel
Data Protection Officer