OWASPs Listenwechsel 2021: Ein neuer Schlachtplan und ein neuer Hauptfeind

In dieser zunehmend chaotischen Welt gab es schon immer ein paar Konstanten, auf die sich die Menschen zuverlässig verlassen konnten: Die Sonne geht morgens auf und abends wieder unter, Mario wird immer cooler sein als Sonic the Hedgehog, und Injektionsangriffe werden immer den ersten Platz auf der Liste des Open Web Application Security Project (OWASP) der Top Ten am häufigsten und gefährliche Sicherheitslücken, die Angreifer aktiv ausnutzen.

Nun, morgen geht die Sonne auf und Mario hat immer noch einen „Eins-Up“ auf Sonic, aber Injection-Angriffe sind von der Nummer eins auf der berüchtigten OWASP-Liste gefallen, die 2021 aktualisiert wurde. Eine der ältesten Formen von Angriffen, Sicherheitslücken durch Injektion gibt es fast so lange wie Computernetzwerke. Diese generelle Sicherheitslücke ist für eine Vielzahl von Angriffen verantwortlich, darunter auch alle herkömmlichen Angriffe SQL-Injektionen zu Exploits, die gegen Object Graph Navigation Libraries (OGNL) gestartet wurden. Es beinhaltet sogar direkte Angriffe auf Server, die Betriebssystem-Befehlsinjektionstechniken. Die Vielseitigkeit von Injection-Schwachstellen für Angreifer — ganz zu schweigen von der Anzahl der Stellen, die potenziell angegriffen werden könnten — hat diese Kategorie viele Jahre lang an der Spitze gehalten.

Aber der Injektionskönig ist gefallen. Lang lebe der König.

Bedeutet das, dass wir das Injection-Schwachstellenproblem endlich gelöst haben? Keine Chance. Es fiel nicht weit von seiner Position als Sicherheitsfeind Nummer eins ab, nur auf Nummer drei der OWASP-Liste. Es wäre ein Fehler, die anhaltenden Gefahren von Injection-Angriffen zu unterschätzen, aber die Tatsache, dass eine andere Schwachstellenkategorie sie übertreffen konnte, ist bedeutsam, denn sie zeigt, wie weit verbreitet der neue OWASP-Topdog tatsächlich ist und warum Entwickler ihm in Zukunft besondere Aufmerksamkeit schenken müssen.

Das vielleicht Interessanteste ist jedoch, dass die OWASP Top 10 2021 eine grundlegende Überarbeitung widerspiegeln. Brandneue Kategorien feiern ihr Debüt: Unsicheres Design, Software- und Datenintegritätsfehler, und ein Eintrag, der auf den Ergebnissen einer Community-Umfrage basiert: Serverside Request Forgery. Diese deuten darauf hin, dass der Schwerpunkt zunehmend auf architektonischen Sicherheitslücken liegt und nicht nur oberflächliche Fehler als Maßstab für Softwaresicherheit gelten.

Eine kaputte Zutrittskontrolle setzt sich durch (und zeigt einen Trend auf)

Broken Access Control stieg vom fünften Platz auf der Liste der zehn häufigsten Sicherheitslücken von OWASP rasant auf den aktuellen Platz Nummer eins. Wie bei Injection und neuen Einträgen wie Unsecure Design umfasst auch die Sicherheitslücke bei Broken Access eine Vielzahl von Codierungsfehlern, was zu ihrer zweifelhaften Beliebtheit beiträgt, da sie gemeinsam Schäden an mehreren Fronten verursachen. Diese Kategorie umfasst alle Fälle, in denen gegen Richtlinien zur Zugriffskontrolle verstoßen werden kann, sodass Benutzer außerhalb ihrer beabsichtigten Rechte handeln können.

Einige Beispiele für fehlerhafte Zugriffskontrollen, die von OWASP angeführt wurden, um die Familie der Sicherheitslücken an die Spitze zu heben, umfassen solche, die es Angreifern ermöglichen, eine URL, den internen Anwendungsstatus oder einen Teil einer HTML-Seite zu ändern. Sie können Benutzern auch ermöglichen, ihren primären Zugriffsschlüssel so zu ändern, dass eine Anwendung, Site oder API glaubt, dass sie jemand anderes sind, z. B. ein Administrator mit höheren Rechten. Es beinhaltet sogar Sicherheitslücken, bei denen Angreifer nicht daran gehindert werden, Metadaten zu ändern, sodass sie Dinge wie JSON-Web-Tokens, Cookies oder Zugriffskontroll-Token ändern können.

Einmal ausgenutzt, kann diese Familie von Sicherheitslücken von Angreifern genutzt werden, um Datei oder Objekt umgehen Autorisierungen ermöglichen es ihnen, Daten zu stehlen oder sogar zerstörerische Funktionen auf Administratorebene wie das Löschen von Datenbanken auszuführen. Das macht kaputte Zugriffskontrollen nicht nur immer häufiger, sondern auch äußerst gefährlich.

Es ist ziemlich überzeugend — aber nicht überraschend —, dass Sicherheitslücken in den Bereichen Authentifizierung und Zugriffskontrolle immer mehr zum fruchtbarsten Nährboden für Angreifer werden. Die neueste Version von Verizon Bericht zur Untersuchung von Datenschutzverletzungen zeigt, dass Probleme mit der Zugangskontrolle in fast allen Branchen, insbesondere in der IT und im Gesundheitswesen, weit verbreitet sind und dass satte 85% aller Verstöße menschliches Element betrafen. Inzwischen umfasst die „menschliche Komponente“ Vorfälle wie Phishing-Angriffe, bei denen es sich nicht um ein technisches Problem handelt, aber 3% der Sicherheitslücken betrafen ausnutzbare Sicherheitslücken. Dem Bericht zufolge handelte es sich dabei überwiegend um ältere Sicherheitslücken, die von Menschen verursacht wurden, wie z. B. eine Fehlkonfiguration der Sicherheit.

Während diese heruntergekommenen Sicherheitslücken wie XSS und SQL Injection Entwickler weiterhin verunsichern, hat sich zunehmend herausgestellt, dass das zentrale Sicherheitsdesign versagt, was architektonischen Sicherheitslücken Platz macht, die für einen Bedrohungsakteur sehr vorteilhaft sein können, insbesondere wenn sie nicht gepatcht werden, nachdem die Sicherheitslücke in einer bestimmten Version einer Anwendung veröffentlicht wurde.

Das Problem ist, dass nur wenige Ingenieure Schulungen und Fähigkeiten erhalten, die über die Grundlagen hinausgehen, und noch weniger erhalten wirklich eine Erweiterung ihres Wissens und ihrer praktischen Anwendung über lokalisierte Bugs auf Codeebene hinaus, die normalerweise von Entwicklern eingeführt werden.

Vermeidung von Bugs, die Roboter selten finden

Die neu gruppierte Familie der Sicherheitslücken bei der defekten Zugriffskontrolle ist ziemlich vielfältig. Einige konkrete Beispiele für defekte Zugriffskontrollen und wie Sie diese verhindern können, finden Sie unter unser YouTube-Kanal und unsere Blog.

Ich denke jedoch, dass es wichtig ist, diese neuen OWASP Top 10 zu feiern. Sie sind in der Tat vielfältiger und umfassen ein breiteres Spektrum an Angriffsvektoren, einschließlich solcher, die Scanner nicht unbedingt erkennen. Bei jeder entdeckten Schwachstelle auf Codeebene werden komplexere architektonische Mängel von den meisten Sicherheitstechnikern unbemerkt bleiben, unabhängig davon, wie viele automatische Schilde und Waffen sich im Arsenal befinden. Zwar basiert der Löwenanteil der OWASP-Top-10-Liste immer noch auf der Grundlage von Scandaten, doch neue Beiträge, die sich unter anderem mit unsicherem Design und Datenintegritätsfehlern befassen, zeigen, dass der Schulungshorizont für Entwickler schnell erweitert werden muss, um das zu erreichen, was Roboter nicht können.

Einfach ausgedrückt: Sicherheitsscanner sind keine großartigen Bedrohungsmodellierer, aber ein Team von sicherheitserfahrenen Entwicklern kann dem AppSec-Team unermesslich helfen, indem es seinen Sicherheits-IQ entsprechend den Best Practices und den Anforderungen des Unternehmens erhöht. Dies muss in einem guten Sicherheitsprogramm berücksichtigt werden, wobei zu berücksichtigen ist, dass die OWASP Top 10 zwar eine hervorragende Ausgangsbasis sind, die Bedrohungslandschaft jedoch so schnelllebig ist (ganz zu schweigen von den Anforderungen der internen Entwicklungsziele), dass ein Plan zur Vertiefung und Spezifizierung der Entwickler im Bereich Sicherheit vorliegen muss. Geschieht dies nicht, werden unweigerlich Gelegenheiten verpasst, frühzeitig Abhilfe zu schaffen, und ein erfolgreiches ganzheitliches Konzept für präventive, von Menschen geleitete Cybersicherheit wird behindert.

‍

Wir sind bereit für OWASP Top 10 2021, und das ist erst der Anfang! Starten Sie Ihre Entwickler auf einem Qualifizierung im Bereich Sicherheit heute.