Coders Conquer Security OWASP Top 10 API-Serie — Ungenügende Protokollierung und Überwachung

Der unzureichende Protokollierungs- und Überwachungsfehler ist hauptsächlich auf einen gescheiterten Cybersicherheitsplan zurückzuführen, der alle fehlgeschlagenen Authentifizierungsversuche, Zugriffsverweigerungen und Eingabevalidierungsfehler protokolliert. Sie kann auch an anderen Stellen in der Produktionsumgebung auftreten, ist aber meistens darauf zurückzuführen, dass ungültige Anmeldeversuche nicht gestoppt werden konnten.

Es handelt sich um eine gefährliche Sicherheitslücke, da sie bedeutet, dass Cybersicherheitsteams nicht auf Angriffe reagieren, weil sie nichts über sie wissen. Dies verschafft Angreifern einen großen Vorteil, da sie unbemerkt bleiben, während sie versuchen, weiter in ein System einzudringen oder ihre Anmeldeinformationen zu aktualisieren. Tatsächlich wird es ohne angemessene Protokollierung und Überwachung sehr schwierig oder sogar unmöglich, Angriffe zu erkennen und zu stoppen, bevor sie erheblichen Schaden anrichten können.

Bist du bereit, deine Fähigkeiten jetzt mit einer Herausforderung zu testen? Schau dir das an:

Wie nutzen Angreifer unzureichende Protokollierung und Überwachung aus?

Jede API ist anfällig für unzureichende Protokollierung und Überwachung, wenn die Protokollierungsstufe nicht richtig eingestellt ist, wenn sie zu niedrig eingestellt ist, wenn Fehlermeldungen nicht genügend Details enthalten oder wenn überhaupt keine Protokollierungsfunktion vorhanden ist.

Ein interessantes Beispiel wäre, wenn ein Hacker eine große Liste kompromittierter Benutzernamen für eine Website oder einen Dienst erhalten würde. Durch Experimente könnten sie herausfinden, dass drei fehlgeschlagene Anmeldeversuche erforderlich sind, bis sie vom System ausgeschlossen werden und bevor das Cybersicherheitspersonal benachrichtigt wird.

Mit diesen Informationen bewaffnet, könnten sie, anstatt zu versuchen, einzelne Konten mit Brute-Force-Angriffen zu bekämpfen, stattdessen ein Skript schreiben, das versucht, sich mit jedem Namen auf ihrer kompromittierten Liste mit gängigen Passwörtern wie „123456“ oder „Passwort“ anzumelden. Der Trick dabei ist, dass sie jeden Benutzernamen nur einmal oder vielleicht zweimal ausprobieren und dabei den Schwellenwert für Sperren und Warnmeldungen nicht überschreiten. Wenn sie Glück haben, werden sie auf Anhieb mindestens ein paar Passwörter kompromittieren. Danach warten sie einfach einen Tag, bis der Anmeldezähler zurückgesetzt ist, und führen den Vorgang erneut mit verschiedenen Passwörtern wie „qwerty“ oder „god“ aus. Wenn Administratoren nie herausfinden, was sie tun, können Angreifer die Liste viele Male durchgehen und schließlich die meisten Konten mit schwachen Passwörtern kompromittieren.

Dies geschah in dem von OWASP bereitgestellten Beispiel, bei dem eine Video-Sharing-Plattform mithilfe eines Credential-Stuffing-Angriffs angegriffen wurde, der die Sicherheitslücke in Bezug auf unzureichende Protokollierung und Überwachung ausnutzte. Bis das Unternehmen Beschwerden von Nutzern erhielt, hatte es keine Ahnung, dass der Angriff stattfand. Schließlich fanden sie Beweise in den API-Protokollen und mussten alle ihre Benutzer über eine erzwungene Passwortänderung informieren und den Angriff den Aufsichtsbehörden melden.

Beseitigung der Sicherheitslücke in Bezug auf unzureichende Protokollierung und Überwachung

Automatisierung und ständige Überwachung können dazu beitragen, dieser Sicherheitslücke ein Ende zu setzen. Zunächst sollten alle fehlgeschlagenen Authentifizierungsversuche protokolliert werden. Und dieses Protokoll sollte in ein maschinenlesbares Format wie STIX und TAXII gebracht werden, sodass es in ein SIEM-System (Security Information and Event Management) aufgenommen werden kann, das darauf trainiert ist, unabhängig von den verwendeten Schwellenwerten nach Angriffen zu suchen.

Sie sollten auch Ihre Logdateien schützen. Behandeln Sie sie als vertrauliche Informationen und schützen Sie sie vor dem Löschen oder Ändern durch Angreifer. Eine gute Richtlinie besteht darin, die Protokolldateien sowohl zu sichern als auch zu verschlüsseln.

Erstellen Sie schließlich benutzerdefinierte Dashboards und Benachrichtigungen, damit verdächtige Aktivitäten erkannt und so schnell wie möglich beantwortet werden können. Wenn Sie einem Angreifer die Zeit nehmen, die er mit dem System verbringt, nehmen Sie ihm die Möglichkeit, langsame und langsame Angriffstechniken einzusetzen, um unentdeckt zu bleiben.

Schauen Sie sich das an Sicherer Codekrieger Blogseiten mit weiteren Informationen zu dieser Sicherheitslücke und dazu, wie Sie Ihr Unternehmen und Ihre Kunden vor den Folgen anderer Sicherheitslücken schützen können. Sie können auch probiere eine Demo der Secure Code Warrior-Schulungsplattform, um all Ihre Cybersicherheitsfähigkeiten zu verbessern und auf dem neuesten Stand zu halten.