Coders Conquer Security OWASP Top 10 API-Serie – Unzureichendes Logging und Monitoring

Die Schwachstelle „unzureichendes Logging und Monitoring“ entsteht meist durch ein mangelhaftes Cybersicherheitskonzept, bei dem fehlgeschlagene Anmeldeversuche, Zugriffsverweigerungen und Eingabevalidierungsfehler nicht protokolliert werden. Dies kann auch an anderen Stellen in der Produktionsumgebung auftreten, wird jedoch am häufigsten mit dem Versäumnis in Verbindung gebracht, ungültige Anmeldeversuche zu unterbinden.

Dies ist eine gefährliche Schwachstelle, da Cybersicherheitsteams Angriffe nicht abwehren können, von denen sie nichts wissen. Dies verschafft Angreifern einen großen Vorteil, da sie unbemerkt bleiben, während sie versuchen, tiefer in ein System einzudringen oder ihre Zugangsdaten aufzuwerten. Ohne ordnungsgemäßes Logging und Monitoring ist es tatsächlich sehr schwierig oder sogar unmöglich, Angriffe zu erkennen und zu stoppen, bevor sie erheblichen Schaden anrichten können.

Bereit, Ihre Fähigkeiten sofort mit einer Herausforderung zu testen? Schauen Sie sich das an:

Wie nutzen Angreifer unzureichendes Logging und Monitoring aus?

Jede API ist anfällig für unzureichendes Logging und Monitoring, wenn die Protokollierungsebene nicht korrekt eingestellt ist, zu niedrig gewählt wurde, Fehlermeldungen nicht detailliert genug sind oder gar keine Protokollierungsfunktion vorhanden ist.

Ein interessantes Beispiel wäre, wenn ein Hacker eine große Liste kompromittierter Benutzernamen für eine Website oder einen Dienst erhält. Durch Experimentieren könnte er herausfinden, dass drei fehlgeschlagene Anmeldeversuche erforderlich sind, bevor der Zugriff auf das System gesperrt wird und das Sicherheitspersonal benachrichtigt wird.

Mit diesem Wissen bewaffnet, könnten sie anstatt einzelne Konten per Brute-Force anzugreifen, ein Skript schreiben, um sich mit jedem Namen auf ihrer Liste und gängigen Passwörtern wie „123456“ oder „password“ anzumelden. Der Trick besteht darin, jeden Benutzernamen nur ein- oder zweimal zu versuchen, um unter der Schwelle für Sperren und Warnungen zu bleiben. Wenn sie Glück haben, kompromittieren sie sofort einige Passwörter. Danach warten sie einfach einen Tag, bis der Anmeldezähler zurückgesetzt wird, und führen den Vorgang mit anderen Passwörtern wie „qwerty“ oder „god“ erneut aus. Wenn Administratoren ihr Vorgehen nie bemerken, können Angreifer die Liste viele Male durchgehen und schließlich die meisten Konten mit schwachen Passwörtern kompromittieren.

Dies geschah in dem von OWASP bereitgestellten Beispiel, bei dem eine Video-Sharing-Plattform durch einen Credential-Stuffing-Angriff attackiert wurde, der die Schwachstelle „unzureichendes Logging und Monitoring“ ausnutzte. Bis das Unternehmen Benutzerbeschwerden erhielt, hatte es keine Ahnung, dass der Angriff stattfand. Schließlich fanden sie Beweise in den API-Protokollen und mussten eine erzwungene Passwortänderung für alle Benutzer veranlassen sowie den Angriff den Aufsichtsbehörden melden.

Beseitigung der Schwachstelle „unzureichendes Logging und Monitoring“

Automatisierung und ständige Überwachung können helfen, diese Schwachstelle zu schließen. Zunächst sollten alle fehlgeschlagenen Authentifizierungsversuche protokolliert werden. Dieses Protokoll sollte in einem maschinenlesbaren Format wie STIX und TAXII vorliegen, damit es in ein SIEM-System (Security Information and Event Management) eingespeist werden kann, das darauf trainiert ist, Angriffe unabhängig von den verwendeten Schwellenwerten zu erkennen.

Sie sollten auch Ihre Protokolldateien schützen. Behandeln Sie diese als sensible Informationen und schützen Sie sie vor Löschung oder Manipulation durch Angreifer. Eine gute Richtlinie ist es, die Protokolldateien sowohl zu sichern als auch zu verschlüsseln.

Erstellen Sie schließlich benutzerdefinierte Dashboards und Warnmeldungen, damit verdächtige Aktivitäten so schnell wie möglich erkannt und beantwortet werden können. Wenn Sie die Zeit eines Angreifers im System begrenzen, nehmen Sie ihm die Möglichkeit, „Low and Slow“-Angriffstechniken zu nutzen, um unentdeckt zu bleiben.

Besuchen Sie die Secure Code Warrior Blogseiten für weitere Einblicke in diese Schwachstelle und wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen anderer Sicherheitslücken schützen können. Sie können auch eine Demo der Secure Code Warrior-Schulungsplattform ausprobieren, um Ihre Cybersicherheitsfähigkeiten stets auf dem neuesten Stand zu halten.