Der vergessene Faktor Mensch als Ursache für Sicherheitslücken in Webanwendungen

Der Verizon Data Breach Investigations Report 2018 ist wieder einmal eine hervorragende Lektüre, die uns über Cybersicherheit auf dem Laufenden hält – einschließlich aktueller Trends bei der Cyberkriminalität, Ursachen für Vorfälle sowie Analysen und Erkenntnissen, die Unternehmen bei der Weiterentwicklung ihrer Sicherheitsprogramme helfen können. In diesem Jahr haben die Ermittler von Verizon mehr als 53.000 Vorfälle und rund 2.200 Sicherheitsverletzungen analysiert. Der Bericht bietet viele konkrete Ansätze, worauf man achten sollte, was man vermeiden muss und wo man Sicherheitsbemühungen priorisieren sollte. Der Bericht 2018 wirkt zeitgemäß, ist für ein breiteres geschäftliches Publikum relevant, da die Auswirkungen von Sicherheitsvorfällen zunehmen, und wird zunehmend als ein zentrales geschäftliches Problem anerkannt.

Unter den vielen interessanten Ergebnissen bestätigt der Bericht 2018, dass die meisten Hacks nach wie vor durch Sicherheitsverletzungen bei Webanwendungen erfolgen (es gibt sogar eine coole interaktive Grafik, die dies zeigt).

Angriffe auf Webanwendungen umfassen jeden Vorfall, bei dem eine Webanwendung als Angriffsvektor diente. Dies beinhaltet die Ausnutzung von Schwachstellen auf Code-Ebene in der Anwendung sowie die Umgehung von Authentifizierungsmechanismen. Es ist bemerkenswert, dass die Anzahl der Sicherheitsverletzungen in diesem Bereich zurückgegangen ist, was auf die Filterung von Botnet-Angriffen auf Webanwendungen zurückzuführen ist, bei denen Zugangsdaten von Geräten der Kunden verwendet wurden. Die Verwendung gestohlener Zugangsdaten ist nach wie vor die häufigste Hacking-Methode bei Sicherheitsverletzungen von Webanwendungen, gefolgt von SQLi (mehr zu SQL später...).

Ein Thema, das im diesjährigen Bericht besonders hervorsticht, ist die entscheidende Rolle des „Faktors Mensch“ in der Sicherheitsgleichung – sowohl als Teil des Problems als auch als Teil der Lösung. Der Bericht befasst sich mit externen wie internen Akteuren und stellt fest, dass Fehler bei fast jedem fünften (17 %) Sicherheitsvorfall die Ursache waren. Solche Vorfälle traten auf, wenn Mitarbeiter vertrauliche Informationen nicht ordnungsgemäß vernichteten, E-Mails an die falsche Person sendeten oder Webserver falsch konfiguriert waren. Der Bericht weist darauf hin, dass diese Fehler zwar nicht vorsätzlich begannen, aber dennoch kostspielige Folgen haben können.

Doch es gibt einen oft vergessenen menschlichen Faktor, der viele Sicherheitsverletzungen verursacht: die hohe Frequenz, mit der Entwickler Code mit Sicherheitslücken erstellen. Dies führt zu Schwachstellen in Webanwendungen, die wiederum in diesen Vorfällen und Sicherheitsverletzungen resultieren.

Die Anwendungstests der letzten 5 Jahre zeigen kaum Verbesserungen bei der Anzahl der gefundenen Schwachstellen; immer wieder treten dieselben alten Fehler auf. Ein Veracode-Bericht aus dem Jahr 2017, der auf 400.000 Anwendungsscans basiert, zeigt, dass Anwendungen die OWASP Top 10-Richtlinien nur in 30 % der Fälle bestanden. Erstaunlicherweise traten SQL-Injektionen in den letzten 5 Jahren bei fast jeder dritten neu gescannten Anwendung auf, auch im letzten Jahr. Ich nenne das erstaunlich, weil es SQL-Injektionen schon seit 1999 gibt. Die Tatsache, dass dieselben Fehler, einschließlich SQL-Injektionen, immer wieder gefunden werden, beweist, dass dieses Problem des „Faktors Mensch“ bei Entwicklern nicht ausreichend angegangen wird.

An dieser Stelle muss ich mich klar auf die Seite der Entwickler schlagen. Wie sollen Entwickler sicheren Code schreiben, wenn ihnen niemand vermittelt, warum das wichtig ist, welche Folgen unsicherer Code hat und vor allem, wie sie die Entstehung solcher Schwachstellen in ihren jeweiligen Programmier-Frameworks von vornherein verhindern?

Genau das tun wir bei Secure Code Warrior. Wir sehen deutliche Belege dafür, dass Unternehmen, die praxisnahe Schulungen für sicheren Code in den Arbeitsalltag ihrer Entwickler integrieren, die Anzahl der Schwachstellen in Webanwendungen reduzieren. Damit Entwickler sicheren Code schreiben können, benötigen sie regelmäßigen Zugang zu praktischem Training, das sie aktiv bei der Entwicklung ihrer Fähigkeiten unterstützt. Sie müssen lernen, wie man kürzlich identifizierte Schwachstellen in echtem Code erkennt – und zwar spezifisch in ihren eigenen Sprachen und Frameworks. Diese Lernerfahrung sollte ihnen helfen, bekannte Schwachstellen zu finden, zu identifizieren und zu beheben. Entwickler benötigen zudem ein hochwertiges Toolset, das Sicherheit vereinfacht, sie nicht ausbremst und sie in Echtzeit bei guten und schlechten Codierungsmustern anleitet.

Auf diese Weise können wir einen spürbaren und positiven Unterschied bei der Anzahl der Sicherheitsverletzungen in Webanwendungen bewirken.

Ich stimme Verizon voll und ganz zu, dass das Sicherheitsbewusstsein unternehmensweit gestärkt werden muss. Mein Nachsatz für CIOs und CISOs lautet: „Vergesst eure Entwickler nicht!“. Diese Architekten eurer modernen Unternehmen können entweder ein bedeutender „Faktor Mensch“ sein, der routinemäßig Einfallstore für Hacker schafft, oder sie können eure erste Verteidigungslinie sein – eure Sicherheitshelden.

Eine effektive Weiterbildung von Entwicklern im Bereich Sicherheit könnte einen echten Unterschied bei den Ergebnissen zukünftiger Verizon-Berichte machen. Es wäre schön, wenn der Bericht 2019 Sicherheitsschulungen für Entwickler als eine zentrale Strategie zur Risikominimierung hervorheben würde. Ich bin Optimist, aber ich würde darauf wetten, dass die Anzahl der Schwachstellen in Webanwendungen in diesem Bericht drastisch sinken würde, wenn Unternehmen ihre Entwickler darin schulen würden, Injektionsfehler zu vermeiden.

Erleben Sie unsere Plattform in Aktion und sehen Sie, wie Entwickler ihre Fähigkeiten in einer idealen, spielerischen Trainingsumgebung schnell erweitern können:

Spielen Sie eine Secure-Coding-Challenge

Besuchen Sie unsere kostenlosen Lernressourcen

Wie sollen Entwickler sicheren Code schreiben, wenn ihnen niemand vermittelt, warum das wichtig ist, welche Folgen unsicherer Code hat und vor allem, wie sie die Entstehung solcher Schwachstellen in ihren jeweiligen Programmier-Frameworks von vornherein verhindern?