Coders Conquer Security: Share & Learn-Reihe – Unzureichende Protokollierung und Überwachung

Während wir uns in diesen Blogbeiträgen mit verschiedenen Themen befasst haben, sind wir auf eine ganze Reihe gefährlicher Schwachstellen und bösartiger Exploits gestoßen, die Hacker nutzen, um Netzwerke anzugreifen und Schutzmaßnahmen zu umgehen. Das Spektrum reicht von der Ausnutzung von Schwächen in Programmiersprachen über die Code-Injektion in verschiedenen Formaten bis hin zum Abfangen von Daten während der Übertragung. Es ist eine beachtliche Bandbreite an Bedrohungen, doch bei fast allen erfolgreichen Angriffen gibt es eine Gemeinsamkeit bei den betroffenen Anwendungen.

Unzureichende Protokollierung und Überwachung gehören zu den gefährlichsten Schwachstellen in der Sicherheitsstruktur einer Anwendung. Wenn diese Sicherheitslücke besteht, ist fast jeder gezielte Angriff auf das System früher oder später erfolgreich. Eine mangelhafte Protokollierung und Überwachung führt dazu, dass Angriffe oder Angriffsversuche erst sehr spät oder gar nicht bemerkt werden. Im Grunde verschafft dies den Angreifern die nötige Zeit, um eine geeignete Schwachstelle zu finden und diese auszunutzen.

In dieser Folge erfahren Sie:

• Wie Angreifer unzureichende Protokollierung und Überwachung ausnutzen
• Warum unzureichende Protokollierung und Überwachung so gefährlich ist
• Methoden zur Behebung dieser Schwachstelle.

Wie nutzen Angreifer unzureichende Protokollierung und Überwachung aus?

Zunächst wissen Angreifer nicht, ob ein System ordnungsgemäß überwacht wird oder ob Protokolldateien auf verdächtige Aktivitäten geprüft werden. Doch das lässt sich leicht herausfinden. Manchmal starten sie eine eher plumpe Brute-Force-Attacke, indem sie beispielsweise eine Benutzerdatenbank nach häufig verwendeten Passwörtern abfragen. Dann warten sie ein paar Tage und wiederholen den Angriff. Wenn sie beim zweiten Mal nicht blockiert werden, ist das ein deutliches Zeichen dafür, dass niemand die Protokolldateien auf verdächtige Aktivitäten hin überwacht.

Auch wenn es relativ einfach ist, die Abwehrmechanismen einer Anwendung zu testen und den Grad der aktiven Überwachung einzuschätzen, ist dies keine Voraussetzung für einen erfolgreichen Angriff. Angreifer können ihre Attacken auch so gestalten, dass sie möglichst wenig Spuren hinterlassen. Meistens führt die Kombination aus einer Flut von Warnmeldungen, „Alert Fatigue“ (Alarmmüdigkeit), schlechten Sicherheitskonfigurationen oder einfach einer Vielzahl ausnutzbarer Schwachstellen dazu, dass sie genügend Zeit haben, ihre Ziele zu erreichen, bevor die Verteidiger überhaupt bemerken, dass sie da sind.

Warum ist unzureichende Protokollierung und Überwachung gefährlich?

Unzureichende Protokollierung und Überwachung ist deshalb so gefährlich, weil sie Angreifern Zeit verschafft – nicht nur für den eigentlichen Angriff, sondern auch, um ihre Ziele lange vor einer Reaktion der Verteidiger zu erreichen. Wie viel Zeit ihnen bleibt, hängt vom jeweiligen Netzwerk ab, aber Organisationen wie das Open Web Application Security Project (OWASP) beziffern die durchschnittliche Reaktionszeit bei kompromittierten Netzwerken auf 191 Tage oder länger.

Denken Sie kurz darüber nach: Was würde passieren, wenn Räuber eine Bank überfallen, die Polizei gerufen wird und diese erst ein halbes Jahr später eintrifft?

Die Räuber wären längst über alle Berge, wenn die Polizei eintrifft. Tatsächlich könnte dieselbe Bank noch viele weitere Male ausgeraubt werden, bevor die Polizei überhaupt auf den ersten Vorfall reagiert.

In der Cybersicherheit ist es ähnlich. Die meisten der großen Sicherheitsvorfälle, von denen man in den Nachrichten hört, waren keine „Hau-drauf“-Aktionen. Oft erfährt die betroffene Organisation erst von einem Einbruch, nachdem die Angreifer bereits seit Monaten oder sogar Jahren mehr oder weniger die volle Kontrolle über die Daten hatten. Das macht unzureichende Protokollierung und Überwachung zu einer der gefährlichsten Situationen, die man bei der Umsetzung guter Cybersicherheit erleben kann.

Beseitigung von unzureichender Protokollierung und Überwachung

Um unzureichende Protokollierung und Überwachung zu verhindern, sind zwei Dinge entscheidend. Erstens müssen alle Anwendungen so konzipiert sein, dass serverseitige Fehler bei der Eingabevalidierung protokolliert und überwacht werden können. Dabei muss genügend Kontext bereitgestellt werden, damit Sicherheitsteams die verwendeten Tools und Techniken – wenn nicht sogar die Benutzerkonten – der Angreifer identifizieren können. Alternativ sollten solche Eingaben in ein Format wie STIX (Structured Threat Information eXpression) gebracht werden, das von Sicherheitstools schnell verarbeitet werden kann, um entsprechende Warnmeldungen zu generieren.

Zweitens reicht es nicht aus, nur gute Warnmeldungen zu generieren – auch wenn das ein Anfang ist. Organisationen müssen zudem Rollen und Verantwortlichkeiten festlegen, damit diese Meldungen zeitnah untersucht werden. Viele erfolgreiche Einbrüche haben in den betroffenen Netzwerken tatsächlich Warnungen ausgelöst, die jedoch aufgrund unklarer Zuständigkeiten ignoriert wurden. Niemand wusste, wer für die Reaktion zuständig war, oder man ging davon aus, dass sich bereits jemand anderes um das Problem kümmert.

Ein guter Ausgangspunkt für die Zuweisung von Verantwortlichkeiten ist die Einführung eines Plans zur Reaktion auf und Wiederherstellung nach Vorfällen, wie er vom National Institute of Standards and Technology (NIST) in der Sonderpublikation 800-61 empfohlen wird. Es gibt weitere Referenzdokumente, auch branchenspezifische, und diese müssen nicht buchstabengetreu befolgt werden. Entscheidend ist jedoch, einen Plan zu erstellen, der festlegt, wer innerhalb einer Organisation auf Warnmeldungen reagiert und wie dies zeitnah geschieht.

Weitere Informationen zu unzureichender Protokollierung und Überwachung

Weitere Informationen finden Sie in den Hinweisen von OWASP zu unzureichender Protokollierung und Überwachung. Sie können Ihr neu erworbenes Wissen zur Verteidigung auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu erstklassigen Cyber-Experten ausbildet. Um mehr über die Abwehr dieser Schwachstelle und einer Vielzahl weiterer Bedrohungen zu erfahren, besuchen Sie den Secure Code Warrior-Blog.

Bereit, unzureichende Protokollierung und Überwachung sofort zu finden, zu beheben und zu eliminieren? Besuchen Sie unsere Trainingsarena: [Hier starten]