IT-Management.today IT-Management.today
  • Top Themen
  • Cloud
  • Security
  • Rechenzentrum
  • Kommunikation
  • Arbeitsplatz
  • Whitepaper
  • Veranstaltungen
  • Vorträge
Go to...

    Aktuelle OWASP Top 10 – neue Sicherheitslage für Webanwendungen

    Laura LangerLaura Langer
    27. November, 2017

    – Die zehn größten Risiken für Web-Applikationen
    – OWASP Top 10 erstmals seit 2013 aktualisiert
    – Airlock schützt vor aktuellen Risiken
    – Whitepaper kann hier heruntergeladen werden: https://www.airlock.com/owasp/

    Aktuelle OWASP Top 10 - neue Sicherheitslage für Webanwendungen

    Airlock: Whitepaper zu den aktuellen OWASP Top 10

    Erstmals seit vier Jahren hat die Non-Profit Organisation Open Web Application Security Project (OWASP) die größten Risiken für Webanwendungen, die sogenannten OWASP Top 10, aktualisiert. Die OWASP Top 10 richten sich an Entwickler, Sicherheitsberater, Projektmanager, Sicherheitsbeauftragte von Unternehmen und Organisationen und klären über die Konsequenzen der wichtigsten Sicherheitslücken bei Web-Anwendungen auf. Die Daten beruhen auf 50.000 Anwendungen und Schnittstellen von mehreren hundert Unternehmen.

    Die aktuellen ernstzunehmenden Bedrohungen lauten:

    1. Injection (Injection-Schwachstellen, wie z.B. SQL-, OS- oder LDAP-Injection)
    2. Umgehung der Benutzerauthentifizierung
    3. Zugriff auf sensible Daten
    4. XML Externe Entities (XXE)
    5. Umgehung der Zugriffskontrolle
    6. Sicherheitsrelevante Fehlkonfiguration
    7. Cross-Site Scripting (XSS-Schwachstellen)
    8. Unsichere Deserialisierung
    9. Benutzen von Komponenten mit bekannten Schwachstellen
    10. Unzureichendes Logging & Monitoring

    „OWASP hat nach vier Jahren eine neue Version ihrer Top 10 Schwachstellen für Web Applikationen veröffentlicht. Das Verblüffende ist, dass sich auf den ersten Blick gar nicht viel geändert hat. Injection-Angriffe sind immer noch auf Position eins, gefolgt von fehlerhafter Authentisierung. Jahrelange Awareness-Förderung bei Entwicklern und sichere Entwicklungsprozesse scheinen nicht den erhofften durchschlagenden Erfolg zu haben“, schätzt Dr. Martin Burkhart, Head of Product Management bei Airlock, die Lage ein.

    Auf Platz vier sind XML External Entities (XXE) zu finden. Diese neue Kategorie wurde aufgrund der Daten aus den Quellcode-Analysen des Sicherheitstest-Tools (SAST) mit aufgenommen.

    Auch die Community hat zwei neue Punkte miteingebracht: Auf Platz acht findet sich nun die „Unsichere Deserialisierung“, die das Ausführen von Remote Code sowie die Manipulation von sensiblen Objekten auf betroffenen Plattformen erlaubt. Platz zehn „Unzureichendes Logging & Monitoring“ erhöht das Risiko, dass böswillige Aktivitäten und Sicherheitsverletzungen nicht rechtzeitig erkannt werden. Andere Punkte, wie unsichere direkte Object References (ehemals Platz vier) und Missing Function Level Access Control (ehemals Punkt sieben) wurden nun in Punkt fünf „Umgehung der Zugriffskontrolle“ zusammengefasst.

    Interessant ist der Neuzugang auf Position zehn: „Unzureichendes Logging & Monitoring“. OWASP spricht dabei das Problem an, dass nach einem erfolgreichen Angriff meist 200 Tage vergehen, bis der Einbruch bemerkt wird. In dieser Zeit können sich die Angreifer permanent einnisten, weiter ausbreiten und großen Schaden anrichten. Ein effizientes Logging von Angriffen und ein Monitoring dieser Events muss mit dem Incident Handling integriert sein, um diese Latenzzeit signifikant zu reduzieren.

    „Gleichzeitig haben sich allerdings die grundlegenden Architekturen und der verwendete Technologie-Stack stark verändert. Der Siegeszug von Javascript auf dem Client hält an und fördert die Entstehung von Services und APIs im Backend. In der Finanzbranche werden sogar europaweite Regulierungen erlassen, die explizit die Veröffentlichung von APIs fordern (PSD2). Insofern erstaunt es nicht, dass auf Position vier mit „XML External Entities (XXE)“ neu eine Webservice Schwachstelle auf der Hitliste erscheint. In der Praxis sehen wir allerdings eine Abnahme von SOAP Webservices und eine zunehmende Verbreitung von REST APIs. Die Möglichkeit, Security Policies auch auf JSON Objekte und REST Calls anwenden zu können wird damit für Security Gateways essentiell. Mit Airlock WAF 7 haben wir diesem Umstand Rechnung getragen und ein neues Whitelist Learning gebaut, das den einfachen Schutz von REST API Calls mit wenigen Klicks erlaubt. Außerdem haben wir mit Airlock WAF 7 haben wir das komplette Logging und Reporting erneuert. Neu stehen themenspezifische Dashboards zur Verfügung, die in Echtzeit aus Logdaten Informationen aufbereiten. Eine Integration mit SIEM-Systemen erlaubt zudem die effiziente Weiterverarbeitung und Korrelation dieser Informationen mit Umsystemen“, fährt Dr. Martin Burkhart, Head of Product Management bei Airlock fort.

    Neue Sicherheitslücken können jederzeit entstehen:
    Unternehmen sollten sich bewusst sein, dass es nicht nur diese zehn Bedrohungen gibt, sondern dass es im Web unzählige weitere gibt. Hinzu kommt, dass diese sich stets ändern und weiterentwickeln. Selbst wenn sich der Code einer Anwendung selbst nicht ändert, kann so eine Sicherheitslücke entstehen, da Cyberkriminelle neue Angriffsmethoden entwickeln.

    Sicherheitslücken sind meist sehr komplex und nicht leicht aufzuspüren, da sie sich im Code verstecken. Menschliche Expertise gepaart mit einer guten Sicherheitslösung ist daher in vielen Fällen die kosteneffizienteste Lösung.

    Obwohl Applikationssicherheit seit bereits fast 20 Jahren ein vorherrschendes Thema ist, braucht es heute mehr denn je einen zentralen Schutz auf der Anwendungsebene. Dieser zentrale Schutz sollte Inhalte analysieren, Benutzer authentisieren und Zugriffe autorisieren können. Ein Whitepaper zu den OWASP Top 10 2017 können Sie hier herunterladen.

    Airlock, das Security-Produkt des Schweizer Softwareentwicklers Ergon Informatik AG, schützt nicht nur gegen alle OWASP Top 10 Bedrohungen. In Kombination mit einer Web Application Firewall wie Airlock WAF wird der Firmenzugang über den kompletten Lebenszyklus eines Benutzerzugangs gesichert. Airlock WAF übernimmt als vorgelagerter HTTP Reverse Proxy das sichere Session Management und den Schutz vor Webattacken. Airlock IAM authentisiert und autorisiert die Benutzer und leitet die Identitätsinformationen in geeigneter Form an die geschützten Applikationen weiter, auch über Unternehmensgrenzen hinweg.

    Die 1984 gegründete Ergon Informatik AG ist führend in der Herstellung von individuellen Softwarelösungen und Softwareprodukten. Die Basis für den Erfolg: 240 hoch qualifizierte IT-Spezialisten, die dank herausragendem Know-how neue Technologietrends antizipieren und mit innovativen Lösungen Wettbewerbsvorteile sicherstellen. Ergon realisiert hauptsächlich Großprojekte im B2B-Bereich.

    Die Airlock Suite kombiniert die Themen Filterung und Authentisierung in einer abgestimmten Gesamtlösung, die in punkto Usability und Services Maßstäbe setzt. Das Security-Produkt Airlock schützt mehr als 15 Millionen digitale Identitäten und 30.000 Back-Ends bei über 400 Kunden weltweit. Der überragende Net Promoter Score-Wert von 53 unterstreicht die hohe Kundenzufriedenheit. Weitere Informationen unter www.airlock.de .

    Firmenkontakt
    Ergon Informatik AG (PR-Agentur)
    Sven Kersten-Reichherzer
    Sendlinger Straße 42 A
    80331 München
    +49 (0) 89 211 871 36
    [email protected]
    https://www.airlock.com/de/home/

    Pressekontakt
    Schwartz Public Relations
    Sven Kersten-Reichherzer
    Sendlinger Straße 42 A
    80331 München
    +49 (0) 89 211 871 36
    [email protected]
    http://www.schwartzpr.de

    Tags : Airlock, Anwendungen, Cybersecurity, Ergon, IT-Sicherheit, OWASP, security, WAF, Web Application
    Laura Langer

    Laura Langer

    Laura ist seit Mitte 2015 als Redakteurin und Marketing Manager bei dem Business.today Network tätig. Zuvor machte Sie Ihren Master-Abschluss in BWL mit Schwerpunkt Marketing.

    Related Posts

    • Studie belegt: Kubernetes ist die Achillesferse beim Schutz vor Ransomware

      Studie belegt: Kubernetes ist die Achillesferse beim Schutz vor Ransomware

      Netzwerk-Pentest: Wissens-Guide inkl. 3 Fallbeispiele aus der Praxis

      Netzwerk-Pentest: Wissens-Guide inkl. 3 Fallbeispiele aus der Praxis

      Sensible Daten sicher austauschen – wichtig und kinderleicht

      Sensible Daten sicher austauschen – wichtig und kinderleicht

    Security

    • Prävention ist die effektivste Lösung gegen Cyberangriffe
      Prävention ist die effektivste Lösung gegen Cyberangriffe
    • So sieht die IT-Security von morgen aus
      So sieht die IT-Security von morgen aus
    • Studie belegt: Kubernetes ist die Achillesferse beim Schutz vor Ransomware
      Studie belegt: Kubernetes ist die Achillesferse beim Schutz vor Ransomware

    Kommunikation

    • Wie gelingt die Integration von MS Teams  in die bestehende Kommunikationsstruktur
      Wie gelingt die Integration von MS Teams in die bestehende Kommunikationsstruktur
    • Intelligente Assistenten für den Geschäftserfolg
      Intelligente Assistenten für den Geschäftserfolg
    • App-Promo-Erklärvideo: Unterschied Android & iOS
      App-Promo-Erklärvideo: Unterschied Android & iOS

    Cloud

    • Weniger Ausfallzeiten mit der Cloud: So schützen Sie Ihr Unternehmen vor Cloud-Ausfällen
      Weniger Ausfallzeiten mit der Cloud: So schützen Sie Ihr Unternehmen vor Cloud-Ausfällen
    • Transformation in die digitale Zukunft | SAP S/4HANA beschleunigt Cloud-Shift im Handel
      Transformation in die digitale Zukunft | SAP S/4HANA beschleunigt Cloud-Shift im Handel
    • Trotz überwältigender Vorteile arbeiten nur 17 % aller CPaaS-Nutzer weltweit mit einer hochentwickelten CPaaS-Lösung
      Trotz überwältigender Vorteile arbeiten nur 17 % aller CPaaS-Nutzer weltweit mit einer hochentwickelten CPaaS-Lösung

    Newsletter abonnieren

    • Alle wichtigen News aus der Businesswelt
    • Kompakt & aktuell
    • Völlig kostenfrei
    • Abmeldung ist jederzeit möglich.
    • Melden Sie sich jetzt an:

      Vielen Dank für Ihre Registrierung! Bitte prüfen Sie Ihren Posteingang oder Spam-Ordner, um das Abonnement zu bestätigen.

    Rechenzentrum

    • Risikominimierung als Service für das Rechenzentrum
      Risikominimierung als Service für das Rechenzentrum
    • Globaler Markt für Rechenzentren: Wachstum bis 2022 erwartet
      Globaler Markt für Rechenzentren: Wachstum bis 2022 erwartet
    • Flexera 2022 State of ITAM Report: Aufholjagd in Sachen IT-Management
      Flexera 2022 State of ITAM Report: Aufholjagd in Sachen IT-Management

    Arbeitsplatz

    • Homeoffice mit cleveren Lösungen aufwerten
      Homeoffice mit cleveren Lösungen aufwerten
    • Mitarbeiter*innen im Arbeitsalltag unterstützen
      Mitarbeiter*innen im Arbeitsalltag unterstützen
    • CIOs sind der Treiber der Automatisierung in europäischen Unternehmen
      CIOs sind der Treiber der Automatisierung in europäischen Unternehmen

    Whitepaper Downloads

    • Checkliste: Wie DSGVO-konform sind Ihre Videokonferenzen wirklich?
      Checkliste: Wie DSGVO-konform sind Ihre Videokonferenzen wirklich?
    • Die Vorteile von digitalen Purchase-to-Pay Lösungen
      Die Vorteile von digitalen Purchase-to-Pay Lösungen
    • Partnermanagement optimieren durch moderne B2B-Integration
      Partnermanagement optimieren durch moderne B2B-Integration

    Menü

    • Home
    • Cloud
    • Security
    • Rechenzentrum
    • Kommunikation
    • Arbeitsplatz
    • Whitepaper
    • Veranstaltungen

    Service

    • Mediadaten
    • Newsletter abonnieren
    • Newsletter abmelden
    • Impressum
    • Datenschutz
    • AGB

    Weitere BTN-Portale

    • IT-Cloud.today
    • IT-Outsourcing.today
    • ITSicherheit.today
    • Virtualisierung.today
    • Datenmanagement.today
    • Mobile-Computing.today

    Eine Marke von

    BTN Logo
    © 2020 IT-Management.today | All Rights Reserved