Coders Conquer Security Infrastructure as Code Serie: Sicherheitsfehlkonfiguration – Unzureichende Berechtigungen

Cyber-Bedrohungen sind heutzutage allgegenwärtig und unerbittlich. Es ist mittlerweile fast unmöglich, nach der Bereitstellung von Programmen mit der Entwicklung Schritt zu halten. Kluge Unternehmen setzen daher auf Infrastructure as Code: Entwickler tragen bereits während der Erstellung dazu bei, Anwendungen sicher zu gestalten. Diese Serie bereitet Sie darauf vor, als Entwickler sichere Infrastrukturen direkt im Code zu verankern.

Sicherheitsfehlkonfigurationen, insbesondere bei Berechtigungen, treten häufig auf, wenn Entwickler neue Benutzer anlegen oder Anwendungen Zugriffsrechte für eine Aufgabe erteilen. Dies geschieht beispielsweise, um Daten aus einer Datenbank abzurufen. Sind die Berechtigungen jedoch zu weit gefasst oder nicht auf die spezifische Aufgabe beschränkt, entsteht eine ernsthafte Sicherheitslücke im Code.

Bevor wir tiefer einsteigen: Testen Sie doch direkt Ihr Wissen. Versuchen Sie, einige Schwachstellen durch unzureichende Berechtigungen zu finden und zu beheben:

Wie haben Sie sich geschlagen? Gehen wir etwas mehr ins Detail:

Einem Benutzer oder einer Anwendung volle Berechtigungen zu erteilen – oder schlicht zu versäumen, den Funktionsumfang und die Einschränkungen zu definieren – ist der schnellste Weg, um neuen Code bereitzustellen. Läuft alles glatt, erfüllt die Anwendung ihre Aufgabe. Die Gefahr besteht darin, dass ein Angreifer diesen Prozess entdeckt und den Benutzer kompromittiert. Selbst wenn der Benutzer nur für eine spezifische Funktion erstellt wurde, kann ein Angreifer so andere Anwendungen, Daten oder das gesamte Netzwerk gefährden.

Wie werden Sicherheitsfehlkonfigurationen ausgenutzt?

Um die Gefahr zu verdeutlichen, betrachten wir eine typische Aufgabe in einer Docker-Cloud-Umgebung. Angenommen, ein Entwickler nutzt den Prometheus MySQL Exporter, um Daten aus einer Datenbank zu sammeln. Der einfachste Weg ist, dem Exporter Zugriff auf die Datenbank zu gewähren. Der Code könnte dann so aussehen:

FROM mysql:latest
   COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
   USER 999
     CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
       GRANT ALL ON *.* TO exporter@%;
       GRANT SELECT ON performance_schema.* TO exporter@%;

Damit kann der Exporter seine Aufgabe zwar erfüllen, aber da die Berechtigungen nicht definiert sind, kann er praktisch alles. Natürlich würde der Exporter selbst nie außerhalb seiner Programmierung agieren. Doch was passiert, wenn ein Angreifer den Exporter-Dienst kompromittiert? Aufgrund der vollen Berechtigungen könnte der Angreifer dann alle möglichen unbefugten Aktionen mit dem SQL-Dienst durchführen.

Sicherung und Beseitigung unzureichender Berechtigungen

Hier kommt wieder Infrastructure as Code ins Spiel. Wenn Sie Sicherheit bereits während der Entwicklung in Ihre Anwendungen programmieren, ist Ihr Netzwerk in puncto Cybersicherheit von Grund auf deutlich besser aufgestellt.

Im obigen Docker-Beispiel kann ein Entwickler den Prometheus MySQL Exporter sicherer gestalten, indem er genau definiert, was dieser tun darf. Ein gutes Beispiel hierfür wäre:

FROM mysql:latest
COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
USER 999
   CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
   GRANT PROCESS, REPLICATION CLIENT ON *.* TO exporter@%;
   GRANT SELECT ON performance_schema.* TO exporter@%;

In diesem Fall hat der für den Prometheus MySQL Exporter konfigurierte Benutzer nur eingeschränkte Rechte. Konkret sind nur die Berechtigungen PROCESS und REPLICATION CLIENT erlaubt. Dies verhindert, dass ein Angreifer einen kompromittierten Exporter-Dienst missbrauchen kann.

Die Einschränkung von Berechtigungen auf Code-Ebene stellt sicher, dass Benutzer und Anwendungen nur die für ihre Aufgabe notwendigen Rechte besitzen. Dies trägt wesentlich zur Netzwerksicherheit bei.

Weitere Einblicke zu dieser Schwachstelle finden Sie im Secure Code Warrior Blog. Dort erfahren Sie, wie Sie Ihr Unternehmen schützen können. Testen Sie unsere Plattform und halten Sie Ihre Cybersecurity-Skills auf dem neuesten Stand.