What is an Application Vulnerability?

Häufige Schwachstellen-Exploits bei der Anwendung

Während regelmäßig neuartige Exploits und Zero-Days erstellt werden, nutzen diese häufig eine kleine Anzahl von Schwachstellen aus. Viele dieser Schwachstellen sind seit Jahren bekannt, tauchen aber weiterhin im Anwendungscode auf.

Die OWASP-Top-Ten-Liste ist eine bekannte Ressource, die einige der häufigsten und wirkungsvollsten Schwachstellen hervorhebt, die in der Anwendung auftreten (mit Schwerpunkt auf Webanwendung). Die aktuelle Version der OWASP Top Ten-Liste wurde 2021 veröffentlicht und umfasst die folgenden zehn Schwachstellen:

1. Defekte Zugangskontrolle
2. Kryptografische Fehler
3. Injektion
4. Unsicheres Design
5. Fehlkonfiguration der Sicherheit
6. Anfällige und veraltete Komponenten
7. Identifikations- und Authentifizierungsfehler
8. Software- und Datenintegritätsfehler
9. Sicherheitsprotokollierungs- und Überwachungsfehler
10. Serverseitige Anforderungsfälschung

Diese Liste beschreibt allgemeine Klassen von Schwachstellen mit Schwerpunkt auf den Grundursachen eines Problems. Die Common Weaknesses Enumeration (CWE) liefert Informationen zu bestimmten Fällen eines bestimmten Problems. Jede der OWASP Top Ten Schwachstellen enthält eine Liste einer oder mehrerer zugeordneter CWEs. Beispielsweise enthält „Kryptografische Fehler“ eine Liste von 29 zugeordneten CWEs, beispielsweise die Verwendung eines hartcodierten kryptografischen Schlüssels oder die unsachgemäße Überprüfung kryptografischer Signaturen.

Möglichkeiten zur Behebung von Anwendungsschwachstellen

Da Entwicklungsteams DevSecOps- Praktiken übernehmen, ist die Automatisierung des Schwachstellenmanagements von entscheidender Bedeutung, um die Sicherheit zu gewährleisten und gleichzeitig Entwicklungs- und Releaseziele zu erreichen. Entwicklungsteams können eine Vielzahl von Tools verwenden, um Anwendungsschwachstellen zu identifizieren, darunter:

• Statische Anwendungssicherheitstests (SAST): SAST-Tools analysieren den Quellcode einer Anwendung, ohne sie auszuführen. Dadurch ist es möglich, einige Schwachstellen frühzeitig im Softwareentwicklungslebenszyklus zu identifizieren, wenn sich eine Anwendung nicht in einem lauffähigen Zustand befindet.
• Dynamische Anwendungssicherheitstests (DAST): DAST-Lösungen interagieren mit einer laufenden Anwendung und führen eine Black-Box-Schwachstellenbewertung durch. DAST-Tools dienen der Suche nach bekannten und unbekannten Schwachstellen innerhalb einer Anwendung, indem sie häufige böswillige Eingaben sowie zufällige und fehlerhafte Anfragen senden, die mithilfe von Fuzzing generiert werden.
• Interaktive Anwendungssicherheitstests (IAST): IAST-Lösungen nutzen Instrumentierung, um Einblick in die laufende Anwendung zu erhalten. Mit dieser internen Sichtbarkeit können IAST-Lösungen Probleme identifizieren, die mit einem Black-Box-DAST-Ansatz möglicherweise nicht erkennbar sind.
• Software Composition Analysis (SCA): Die meisten Anwendungen umfassen Code von Drittanbietern, wie z. B. Bibliotheken und Abhängigkeiten, die ebenfalls ausnutzbare Schwachstellen enthalten können. SCA bietet Einblick in den externen Code, der in einer Anwendung verwendet wird, und ermöglicht so die Identifizierung und Behebung bekannter Schwachstellen in dieser Software.

Ein effektiver DevSecOps-Workflow integriert die meisten oder alle dieser Ansätze in automatisierte CI/CD-Pipelines. Dies maximiert die Wahrscheinlichkeit, dass Schwachstellen so schnell wie möglich identifiziert und behoben werden, während gleichzeitig der Aufwand und die Unterbrechung für Entwickler minimiert werden.