Warum SQL-Injections die Kakerlaken der AppSec-Welt sind (und wie CISOs sie ein für alle Mal ausrotten können)

Es gibt die bekannte Theorie, dass Kakerlaken so gut wie alles überleben können – sogar eine nukleare Explosion. Auch wenn diese Theorie nur bis zu einem gewissen Punkt stimmt, macht ihre einfache Körperbeschaffenheit sie für ihre Größe extrem widerstandsfähig und unter den meisten Bedingungen schwer auszurotten.

Ich habe mir überlegt: Wenn Kakerlaken ein digitales Pendant hätten, dann wären es SQL-Injection-Schwachstellen (SQLi) im Code. Diese Sicherheitslücke ist seit über zwanzig Jahren bekannt, und dennoch fallen Unternehmen immer wieder darauf herein. Der weitreichende, kostspielige Angriff auf Target war das Ergebnis einer SQL-Injection, ebenso wie ein Fall von Wahlmanipulation in Illinois, bei dem 200.000 Wählerdatensätze offengelegt wurden, was das FBI dazu veranlasste, allen IT-Administratoren eine schnelle Stärkung ihrer Sicherheitsmaßnahmen zu empfehlen.

Der Hacker Intelligence Initiative Report von Imperva enthüllte, dass zwischen 2005 und 2011 SQLi-Angriffe bei 83 % aller gemeldeten Datenschutzverletzungen eingesetzt wurden. Heute sind Injection-Schwachstellen nach wie vor die Bedrohung Nummer eins in den OWASP Top 10. Sie sind relativ simpel, aber sie lassen sich einfach nicht ausrotten.

Es wirkt absurd, dass dieselbe Schwachstelle immer noch in einer beträchtlichen Anzahl von Anwendungssicherheits-Scans auftaucht. Wir wissen, wie sie funktioniert, und wir wissen, wie man sie stoppt. Wie ist das möglich? Die Wahrheit ist, dass unsere Softwaresicherheit noch enorm viel Verbesserungspotenzial hat.

Der State of Software Security Report von Veracode – basierend auf 400.000 Anwendungsscans im Jahr 2017 – enthüllte eine alarmierende Statistik: Nur 30 % der Anwendungen bestanden die OWASP Top 10-Richtlinien. Dies zieht sich wie ein roter Faden durch die letzten fünf Jahre, wobei SQL-Injections in fast jeder dritten neu gescannten Anwendung auftauchen. Dies ist ein Beweis für ein endemisches Problem; wir lernen nicht aus unseren Fehlern, und CISOs scheinen einen schweren Stand zu haben, wenn es darum geht, genügend Sicherheitsexperten zu gewinnen. Typischerweise liegt das Verhältnis von AppSec-Spezialisten zu Entwicklern bei unzureichenden 1:100.

Warum liegt die Softwaresicherheit auf der Intensivstation?

Es ist kein Geheimnis, dass spezialisierte Sicherheitsexperten rar sind, aber wir müssen auch beachten, dass Entwickler Probleme nicht beheben, sobald sie auftreten, und offensichtlich nicht ausreichend geschult sind, um Schwachstellen gar nicht erst entstehen zu lassen. Im selben Veracode-Bericht wurde enthüllt, dass für nur 14,4 % aller Entwicklungs-Schwachstellen dokumentierte Gegenmaßnahmen vorlagen. Mit anderen Worten: Die meisten Schwachstellen wurden ohne entsprechende Korrekturmaßnahmen eingereicht. Weniger als ein Drittel der Schwachstellen wurde innerhalb der ersten 90 Tage geschlossen, und 42 % der Schwachstellen wurden während des gesamten Entwicklungszeitraums nie behoben.

Ich spreche ständig mit Sicherheitsexperten, CISOs und CEOs, und aus Erfahrung weiß ich, dass viele Unternehmen so frustriert über die Anzahl der gefundenen Schwachstellen sind, die nicht behoben werden können (zusätzlich zu der Plage, die man als Fehlalarme kennt), dass sie das Scannen ganz aufgeben, die Daumen drücken und auf das Beste hoffen.

Warum lassen AppSec-Profis das zu?

Täuschen Sie sich nicht: AppSec-Experten sind sich der Probleme im Code schmerzlich bewusst. Schließlich ist das eine ihrer Kernkompetenzen, die sie zu einer so wertvollen Ressource für das Team macht. Sie werden jedoch oft durch verschiedene Faktoren ausgebremst.

Ein AppSec-Manager findet beispielsweise ein Problem und fragt den Entwickler: „Kannst du den Code reparieren?“. Die Antwort auf diese wichtige Frage unterscheidet sich von Unternehmen zu Unternehmen, aber im Allgemeinen ist der Entwickler so sehr damit beschäftigt, straffe Sprints für die Bereitstellung von Funktionen einzuhalten, dass er schlichtweg keine Zeit hat, diese Probleme zu beheben, und auch keine geeigneten Tools zur Unterstützung besitzt. AppSec-Profis selbst können zwar Schwachstellen identifizieren, verfügen aber oft nicht über die Fähigkeiten und/oder den Zugriff, um sie sofort zu beheben.

Wir müssen uns auch bewusst machen, dass für jedes Problem ein Prozess erforderlich ist, um eine Lösung zu finden, sie zu implementieren und dann zu testen. Selbst für das kleinste im Code gefundene Problem ist der Zeitaufwand für die Behebung, ganz zu schweigen von den erforderlichen Ressourcen, immens. Es gibt über 700 Schwachstellen, die in Software eingeschleust werden können, und es ist für eine einzelne Person schlicht unmöglich, sich gegen alle zu verteidigen. Aus diesem Grund beschränken sich die meisten Unternehmen darauf, nur die OWASP Top 10 zu befolgen. Währenddessen entwickeln die Entwickler ständig neue Funktionen und führen damit immer wieder neue Schwachstellen in den von ihnen geschriebenen Code ein.

Was ist die Lösung?

Die einfache Tatsache ist, dass wir unseren Entwicklern nicht die Werkzeuge und Schulungen an die Hand geben, die für eine erfolgreiche sichere Programmierung erforderlich sind. Es gibt keine Vorschriften, die Unternehmen dazu verpflichten, sicherzustellen, dass Entwickler über angemessene Sicherheitskenntnisse verfügen, und es ist eine traurige Realität, dass die meisten Universitäten und Praktika auch Junior-Entwickler nicht auf sicheres Programmieren vorbereiten.

Wenn jemand ein Flugzeug fliegen will, gibt es einen sehr strengen Prozess, der Schulung, praktische Erfahrung, medizinische Untersuchungen, Sicherheitswissen und Prüfungen sicherstellt, bevor er fliegen darf. Niemand würde auf die Idee kommen, dass jemand ohne diese umfassende Vorbereitung und Validierung der Fähigkeiten in die Luft gelassen wird, doch genau das passiert tagtäglich beim Schreiben von Code.

Wir müssen uns die Zeit nehmen, Entwickler im Schreiben von sicherem Code zu schulen. In der heutigen Welt, in der die Softwareentwicklung schnelllebig ist und es an guten Entwicklern und Sicherheitsexperten mangelt, scheint dies jedoch nie eine Priorität zu sein. Es ist an der Zeit, dass wir das Gespräch ändern.

Eine aktuelle Schlagzeile des World Economic Forum lautete: „Es kann keine digitale Wirtschaft ohne Sicherheit geben“, wobei der begleitende Inhalt argumentiert, dass Sicherheit ein zentraler Bestandteil jeder digitalen Transformationsstrategie sein muss. „Sicherheit ist das, was Unternehmen schützt und es ihnen ermöglicht, Innovationen voranzutreiben sowie neue Produkte und Dienstleistungen zu entwickeln. Über eine defensive Rolle hinaus bietet Sicherheit Unternehmen einen strategischen Wachstumsvorteil.“

Die Verbesserung sicherer Programmierkenntnisse und -ergebnisse bietet Unternehmen einen starken Schutz vor Cyberangriffen und hilft ihnen, besseren Code schneller zu entwickeln. Entwickler müssen keine Sicherheitsexperten werden, aber sie sollten befähigt werden, als erste Verteidigungslinie gegen Cyberangriffe zu fungieren. Entwickler können die Helden der Sicherheit und Innovation von morgen sein. Sie sind kluge, kreative Problemlöser, die ihre Fähigkeiten stetig weiterentwickeln möchten. Setzen Sie auf ihre Stärken mit der spezialisierten Schulung, die sie verdienen, und verpflichten Sie sich zu einem höheren Standard bei der Softwaresicherheit.Lesen Sie unser Whitepaper, um mehr zu erfahren.

Wer ein Flugzeug steuern möchte, muss einen strengen Prozess durchlaufen, der Schulungen, praktische Erfahrung, medizinische Untersuchungen, Sicherheitswissen und Prüfungen umfasst, bevor er abheben darf. Niemand würde auf die Idee kommen, jemanden ohne diese umfassende Vorbereitung und Kompetenzprüfung in die Luft zu lassen – doch genau das passiert tagtäglich beim Schreiben von Code.