Die Top 10 Sicherheitsrisiken von Webanwendungen und wie sie minimiert werden
Geht es um die Anforderungen an Webanwendungssicherheit, kommt man an OWASP nicht vorbei. Was ist OWASP genau, und um welche Sicherheitsrisiken geht es? Worauf legen Earlybird Kunden hinsichtlich IT-Sicherheit besonders Wert? Und welche Maßnahmen ergreifen wir von Earlybird, um Software sicher zu gestalten? Die Antworten haben wir im Beitrag zusammengefasst.
IT-Security: OWASP Standard zur Sicherheit von Webanwendungen
Die unternehmensweite IT-Security gehört, sofern es nicht eine eigene Stelle im Unternehmen dafür gibt, zum Zuständigkeitsbereich von IT-Verantwortlichen. Darunter fallen neben der Sensibilisierung der Mitarbeiter hinsichtlich möglicher Bedrohungen, vorwiegend die entsprechenden technischen Vorkehrungen, um Sicherheitsrisiken zu minimieren. So finden sich in Anforderungskatalogen für neue Software, wie Websites, sinnvollerweise auch Vorgaben hinsichtlich der IT-Security.
Geht es um die Anforderungen an Webanwendungssicherheit, kommt man an OWASP nicht vorbei. Meist ist die Rede von der OWASP Top-Ten-Liste oder dem OWASP Web Security Testing Guide.
Was ist OWASP?
OWASP, das Open-Web-Application-Security-Project, ist eine Non-Profit-Organisation, die es sich allgemein zur Aufgabe gemacht hat, weltweit die Software-Sicherheit zu verbessern. OWASP IT-Security-Spezialisten arbeiten mit Freiwilligen aus der ganzen Welt zusammen, um Richtlinien und Ressourcen für Webanwendungssicherheit zur Verfügung zu stellen.
OWASP bietet Richtlinien und Checklisten
Im Rahmen verschiedenster Projekte erarbeiten die Experten weltweit hilfreiche Inhalte zum Thema IT und Cybersicherheit, wie:
- die OWASP Top-Ten, die Auflistung und Beschreibung der aktuell kritischsten Sicherheitslücken weltweit,
- den Application Security Verification Standard (ASVS), der Guide für die generelle Testung von Web Applikationen, der gleichzeitig Entwicklern als Anforderungsliste für eine sichere Webentwicklung dient,
- den OWASP Secure Coding Practices-Quick Reference Guide, der ursprünglich von Boeing entwickelt wurde und nun als Checkliste mit Grundregeln für Softwareentwicklung eingesetzt wird,
- den Web Security Testing Guide (WSTG) als Leitfaden zur Überprüfung des IT-Security-Levels durch Spezialisten
OWASP Top 10: Sicherheitsrisiken in Webanwendungen
Die OWASP Top 10 werden von IT-Sicherheitsexperten erstellt und alle Jahre aktualisiert. Sie soll Unternehmen, die Anwendungen einsetzen, und Entwickler, die Software erstellen, darüber aufklären, wie sie die kritischsten Sicherheitsrisiken minimieren können. Zuletzt wurden die Inhalte und ihre Reihenfolge 2021 überarbeitet.
OWASP Top 10 (2021)
- Broken Access Control – Schwachstellen bei der Zugriffskontrolle
- Kryptografische Fehler – Fehlende oder fehlerhafte Verschlüsselung von Daten
- Injection – Möglichkeit, fremden Code einzufügen
- Insecure Design – Mängeln in der Architektur der Software
- Sicherheitsfehlkonfigurationen
- Komponenten mit bekannten Sicherheitslücken
- Identification and Authentication Failures - Fehler bei der Authentifizierung und Sitzungsverwaltung
- Software- und Daten Integritätsfehler
- Sicherheit Protokollierung und Überwachung
- Server-Side Request Forgery (SSRF) – fehlende Validierung beim Abrufen von Inhalten
IT-Sicherheit nach Branchen: Was ist Earlybird Kunden wichtig?
Das IT-Sicherheitsmanagement unterscheidet sich bei Österreichs Unternehmen je nach Branche. Es liegt auf der Hand, dass Finanzdienstleister wie Banken und Versicherungen schon allein aufgrund der rechtlichen Vorgaben hohe Ansprüche im Hinblick auf Sicherheit haben. Ähnlich verhält es sich bei Institutionen der öffentlichen Hand. In diesen Bereichen arbeiten wir von Earlybird meist mit spezialisierten Teams zusammen, die ihrerseits genaue Vorgaben und Vorstellungen hinsichtlich IT-Security haben. Gemeinsam arbeiten wir daran, den angestrebten Sicherheitslevel zu erfüllen.
Für Unternehmen weniger sensibler Branchen, insbesondere auch KMU, ist der Aufbau interner IT-Security Ressourcen oft einfach zu weit weg von der Kernkompetenz oder auch in der Kostenstruktur nicht abbildbar. Da ergibt es Sinn, hinsichtlich IT-Sicherheit auf einen erfahrenen Partner wie Earlybird zu setzen. Unsere Kunden, Unternehmen aus den verschiedensten Branchen, vertrauen bei IT-Setup und Betrieb auf die Erfahrung der Experten aus unserem Team.
IT-Security bei Earlybird: Unser Ansatz
Für uns hat die Sicherheit der von uns erstellten und gewarteten Software hohe Priorität. So tragen wir von Earlybird dazu bei, dass die Bedrohungen der IT-Sicherheit vermindert werden:
- CI/CD Pipelines stellen aktuelle, getestete Software sicher
- Container kapseln Funktionalität ab, womit sich Probleme erschwert verteilen
- Reverse Proxy fangen die meisten Angriffe bereits vor der Applikation ab
- Sicherungskopien und entsprechende Alerts mindern potenzielle Schäden im schlimmsten Fall
- Beschränkung von Zugriffen und konsequentes Rechtemanagement
- Schulungen und Workshops erhöhen die Achtsamkeit von Mitarbeitern und Kunden
- Laufende Weiterentwicklung der Umsetzungen und Aktualisierungen von Software
- Beachtung der Best Practice Vorgaben, wie die OWASP Top 10.