Sicherheit ist keine Funktion, die nachtr\u00e4glich in ein Softwareprodukt eingebaut werden kann. Durch die enge Vernetzung sind Computer heute ein leichtes Angriffsziel und die Verbreitungsgeschwindigkeit von Sch\u00e4dlingen hat enorm zugenommen. Auf der anderen Seite ist es nahezu unm\u00f6glich, 100% sichere Software zu schreiben. Die Kunst besteht darin, Angriffsszenarien zu kennen und deren Bedrohungspotential in Bezug auf die eigenen Anwendungen einzusch\u00e4tzen. Nur dann k\u00f6nnen im Falle eines Angriffs wirksame Ma\u00dfnahmen ergriffen werden. Kurzum: Sicherheit ist ein Prozess!<\/p>\n\n\n\n
Oder anders ausgedr\u00fcckt: Es gewinnt nicht derjenige, der Bedrohungen am besten verhindern kann, sondern derjenige, der am besten mit den Risiken umgeht.<\/p>\n\n\n\n\n\n\n\n
Wenden wir uns zun\u00e4chst der Frage zu, warum Anschl\u00e4ge heute eine solche Bedrohung darstellen. Die Welt hat sich ver\u00e4ndert - auch im Bereich der Sicherheit. Im Zeitalter ohne Internet lief alles in einem geschlossenen lokalen System ab. Heute holen sich Programme Updates dynamisch aus dem Web oder werden komplett \u00fcber das Internet installiert - die Vision vom \u201eInternet aus der Steckdose\u201c ist Realit\u00e4t geworden. Web-Applikationen und Web-Services erh\u00f6hen das Sicherheitsrisiko zus\u00e4tzlich. Damit \u00e4ndern sich die Rahmenbedingungen grundlegend:<\/p>\n\n\n\n
Zusammenfassend kann gesagt werden, dass die Prozesssicht enorm an Bedeutung gewinnt. Nur wenn man die Use Cases kennt, kann man die Schwachstellen analysieren. Es ist nicht damit getan, Use-Cases zu erfassen. Ein Beispiel: Das Abh\u00f6ren der Kommunikation zweier Partner kann durch Verschl\u00fcsselung verhindert werden. Das Problem dabei: Ein Angreifer \u00fcberwacht die Kommunikation nicht passiv!<\/p>\n\n\n\n
Er bricht in eine Firewall ein, er manipuliert ein digitales Netzwerk, er stiehlt mit fremden Zugangsdaten Geld von irgendwelchen Konten. Aber es geht nicht um \u201ealles oder nichts\u201c. Wenn man eine Kommunikation sch\u00fctzen will, funktioniert das so: Entweder ich kann mith\u00f6ren oder nicht. Ein Angreifer hingegen bricht vielleicht in ein Netzwerk ein und stiehlt ein bisschen Geld, aber eben nicht alles. Oder er bricht in ein Netzwerk ein und schaut sich vielleicht f\u00fcnf Minuten um, bevor er entdeckt wird.<\/p>\n\n\n\n
Kurz: Angriffe funktionieren fast nie nach dem Prinzip \u201ealles oder nichts\u201c. Deshalb reicht es nicht aus, nur Anwendungsf\u00e4lle und Ma\u00dfnahmen zu kennen. Oder um auf das Beispiel zur\u00fcckzukommen: Die interessante Frage ist: Wenn es einem Angreifer gelungen ist, in ein Netzwerk einzudringen - wie lange darf er unentdeckt bleiben, bevor er Schaden anrichten kann? F\u00fcnf Minuten oder l\u00e4nger? Ist es vielleicht sogar egal, weil er keinen Zugriff auf wichtige Daten hat?<\/p>\n\n\n\n
Kurz: Sicherheit ist Risikomanagement! Nur wer die Risiken eines Angriffs f\u00fcr seinen speziellen Anwendungsfall kennt, hat eine Chance auf erfolgreiche Abwehr.<\/p>\n\n\n\n
Zu dieser Erkenntnis kam Microsoft bei der Entwicklung des Betriebssystems Windows 2000. Im Zuge dieses Projektes wurde festgestellt, dass gravierende Sicherheitsl\u00fccken in Bezug auf Internetszenarien bestehen. Als Hauptproblem hat sich herausgestellt, dass das Bewusstsein f\u00fcr Sicherheit erst noch geschaffen werden muss: Auch hier ein Beispiel: Das World Trade Center wurde unter h\u00f6chsten Sicherheitsvorkehrungen gebaut. Niemand hatte jedoch damit gerechnet, dass es mit vollgetankten Passagierflugzeugen angegriffen werden k\u00f6nnte. Dieses Bedrohungsszenario schien zu abwegig.<\/p>\n\n\n\n
Und genau deshalb wurde die Entwicklung von Windows f\u00fcr einen Monat gestoppt. Um die Entwickler zu schulen, um das Sicherheitsbewusstsein zu sch\u00e4rfen und um die Aufmerksamkeit f\u00fcr Sicherheitsprobleme zu erh\u00f6hen.<\/p>\n\n\n\n
Das erh\u00f6ht zwar langfristig die Qualit\u00e4t des produzierten Codes, geht aber zun\u00e4chst mit einer erh\u00f6hten Anzahl von Bugfixes einher. Die Folge: die eingangs erw\u00e4hnte \u201ePatch-Welle\u201c als Konsequenz der neuen Denkweise in der Praxis.<\/p>\n\n\n\n
Weit weniger \u00f6ffentlichkeitswirksam wurde parallel zu dieser Vorgehensweise ein Prozess zur Identifikation von Sicherheitsl\u00fccken und deren Schadensrisiko implementiert, der f\u00fcr jedes Produktteam innerhalb von Microsoft verbindlich ist. Er erm\u00f6glicht es allen Beteiligten, Sicherheitsl\u00fccken nicht nur zu dokumentieren, sondern auch darzustellen, ob und wie hoch ihr Gef\u00e4hrdungspotenzial ist und welche Gegenma\u00dfnahmen zu ergreifen sind. Die verwendeten Methoden tragen die Bezeichnungen STRIDE und DREAD.<\/p>\n\n\n\n
STRIDE ist eine Abk\u00fcrzung f\u00fcr folgende Begriffe:<\/p>\n\n\n\n
Zum besseren Verst\u00e4ndnis sollen diese Begriffe nun etwas n\u00e4her erl\u00e4utert werden.<\/p>\n\n\n\n
Spoofing Identity<\/strong> Gegenma\u00dfnahmen<\/strong>: Starke Authentisierung, z. B. durch Kryptographie und Multi-Faktor-Authentisierung<\/p>\n\n\n\n Tampering with Data<\/strong> Gegenma\u00dfnahmen:<\/strong> Hash-Codes, digitale Signaturen, Verschl\u00fcsselung, Verwendung geeigneter Netzwerkprotokolle<\/p>\n\n\n\n Repudiation<\/strong> Gegenma\u00dfnahmen:<\/strong> Pr\u00fcfprotokolle, Empfangsbest\u00e4tigungen, digitale Signaturen, Zeitstempel<\/p>\n\n\n\n Information Disclosure<\/strong> Gegenma\u00dfnahmen:<\/strong> Starke Authentifizierung, Zugangskontrolle, Verschl\u00fcsselung, sensibler Umgang mit Informationen<\/p>\n\n\n\n Denial of Service (DoS)<\/strong> Allgemeines Ziel ist der Verbrauch von Bandbreite, Speicher und CPU-Zyklen.<\/p>\n\n\n\n Gegenma\u00dfnahmen:<\/strong> Verf\u00fcgbarkeit und Zuverl\u00e4ssigkeit erh\u00f6hen<\/p>\n\n\n\n Elevation of Privileges<\/strong> Gegenma\u00dfnahmen:<\/strong> Robuster Code, Least Privilege, Eingabevalidierung<\/p>\n\n\n\n Anhand dieser Kriterien wird jede Anwendung auf Sicherheitsl\u00fccken untersucht und die entsprechenden Ma\u00dfnahmen dokumentiert.<\/p>\n\n\n\n In einem zweiten Schritt werden die m\u00f6glichen Gef\u00e4hrdungen mit Hilfe von DREAD bewertet und priorisiert. Konkret bedeutet dies, dass bei der Risikobewertung folgende Fragen ber\u00fccksichtigt werden<\/p>\n\n\n\n Die Bewertung sollte einem einfachen System folgen. Ein einfaches Bewertungsschema wie hoch (1), mittel (2) und gering (3) ist in der Regel ausreichend. Nachdem Sie sich die oben genannten Fragen gestellt haben, addieren Sie die Werte (1 bis 3) f\u00fcr die Gef\u00e4hrdung. Das Ergebnis kann zwischen 5 und 15 liegen. Das Risiko von Bedrohungen mit einem Gesamtwert von 12 bis 15 ist als hoch einzustufen, 8 bis 11 steht f\u00fcr ein mittleres Risiko und ein Wert von 5 bis 7 f\u00fcr ein geringes Risiko. Tabelle 1 zeigt zwei Beispiele.<\/p>\n\n\n\n Tabelle 1: DREAD-Bewertung<\/strong><\/p>\n\n\n\n Die Anwendung dieser Verfahren f\u00fchrt zu einem klaren und f\u00fcr alle Beteiligten nachvollziehbaren Prozess der Identifizierung und Bewertung von Sicherheitsl\u00fccken hinsichtlich des Risikos im laufenden Projekt und erm\u00f6glicht so eine systematische Vorgehensweise bei der Reaktion auf Angriffe bereits im Vorfeld. Mit anderen Worten: Sicherheit muss bereits in der Entwurfsphase eines Softwaresystems integraler Bestandteil sein. Dies bedeutet, dass:<\/p>\n\n\n\n Dies ist jedoch keine statische Angelegenheit. Bei jeder \u00c4nderung der Software m\u00fcssen diese Strategien neu \u00fcberdacht werden..<\/p>\n\n\n\n Die Umsetzung dieses Prozesses f\u00fchrte bei Microsoft zun\u00e4chst dazu, dass immer mehr Sicherheitsl\u00fccken entdeckt und behoben wurden. Die Folge war zun\u00e4chst eine erh\u00f6hte Anzahl von Patches.<\/p>","protected":false},"excerpt":{"rendered":" Sicherheit ist keine Funktion, die nachtr\u00e4glich in ein Softwareprodukt eingebaut werden kann. Durch die enge Vernetzung sind Computer heute ein leichtes Angriffsziel und die Verbreitungsgeschwindigkeit von Sch\u00e4dlingen hat enorm zugenommen. Auf der anderen Seite ist es nahezu unm\u00f6glich, 100% sichere Software zu schreiben. Die Kunst besteht darin, Angriffsszenarien zu kennen und deren Bedrohungspotential in Bezug...<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"_links":{"self":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/1345"}],"collection":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/comments?post=1345"}],"version-history":[{"count":22,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/1345\/revisions"}],"predecessor-version":[{"id":2220,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/1345\/revisions\/2220"}],"wp:attachment":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/media?parent=1345"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/categories?post=1345"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/tags?post=1345"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Ein Angreifer t\u00e4uscht eine falsche Identit\u00e4t vor. Es gibt zwei Varianten:<\/p>\n\n\n\n
Ein Angreifer manipuliert Daten. Auch hier gibt es im Wesentlichen zwei Formen:<\/p>\n\n\n\n
Ein Angreifer f\u00fchrt eine Handlung aus, die das Opfer nicht beweisen kann. Ein Angreifer k\u00f6nnte behaupten:<\/p>\n\n\n\n
Ein Angreifer sieht Daten, die er nicht sehen sollte. Dazu geh\u00f6ren<\/p>\n\n\n\n
Ein Angreifer st\u00f6rt die Verf\u00fcgbarkeit einer Anwendung. Dies kann zum Beispiel geschehen durch:<\/p>\n\n\n\n
Ein Angreifer findet einen Weg, seine Berechtigungen zu erh\u00f6hen.<\/p>\n\n\n\n DREAD<\/h2>\n\n\n\n
Bedrohung<\/th> D<\/th> R<\/th> E<\/th> A<\/th> D<\/th> Gesamt<\/th> Bewertung<\/th><\/tr> Angreifer erh\u00e4lt Anmeldeinformationen durch \u00dcberwachung des Netzwerks.<\/td> 3<\/td> 3<\/td> 2<\/td> 2<\/td> 2<\/td> 12<\/td> Hoch<\/td><\/tr> SQL-Befehle werden in die Anwendung eingeschleust.<\/td> 3<\/td> 3<\/td> 3<\/td> 3<\/td> 2<\/td> 14<\/td> Hoch<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n