Die Sicherheitsauswirkungen der Anwendungsproliferation

Digitale Transformation, die Dringlichkeit der Pandemie und das zunehmende Aufkommen softwaredefinierter Unternehmen führen dazu, dass Organisationen heute mehr denn je auf Anwendungen angewiesen sind, um ihren Geschäftsbetrieb aufrechtzuerhalten. Viele dieser geschäftskritischen Anwendungen sind jedoch nicht ausreichend geschützt und werden häufig von Remote-Nutzern über nicht vertrauenswürdige Netzwerke aufgerufen – wodurch sie einer Reihe von Risiken und Bedrohungen ausgesetzt sind.

Kürzlich führten Fortinet und CyberSecurity Insiders eine internationale Umfrage unter Cybersicherheitsexperten durch, um die Herausforderungen besser zu verstehen, denen diese Experten gegenüberstehen, da ihre Organisationen sowohl die Zahl der eingesetzten Anwendungen als auch die Geschwindigkeit erhöhen, mit der sich diese Anwendungen verändern.

Die Umfrage ergab, dass 48 % der Befragten mehr als 100 verschiedene Anwendungen in ihrer Umgebung einsetzten; 26 % gaben an, mehr als 500 verschiedene Anwendungen zu verwenden. Diese Zunahme der Anwendungen führte zu größerer Komplexität und verschärfte bestehende Herausforderungen bei der Anwendungssicherheit.

Datenpunkt Nr. 1: Lücken bei den Kompetenzen in den Bereichen Cybersicherheit und Cloud-Sicherheit bleiben eine beunruhigende Realität.

Viele Umfrageteilnehmer sind der Ansicht, dass ihnen das qualifizierte Personal fehlt, um mit der sich ständig wandelnden Bedrohungslandschaft Schritt zu halten. Tatsächlich gaben 46 % der Befragten an, dass der Mangel an qualifiziertem Personal ganz oben auf der Liste der Hindernisse steht, mit denen Organisationen bei der Absicherung ihrer Webanwendungen konfrontiert sind.

Datenpunkt Nr. 2: Sicherheitsverletzungen kommen häufig vor, und Kunden entdecken nicht alle.

43 % der Organisationen räumten ein, dass es bei ihnen zu Sicherheitsverletzungen oder Kompromittierungen von Anwendungen gekommen ist.

35 % der Befragten räumten jedoch ein, dass sie nicht wussten, wann die letzte Sicherheitsverletzung stattgefunden hatte. Wie der Fortinet FortiGuard Labs 2021 Mid-Year Global Threat Landscape Report zeigt, hat sich die Zahl der Ransomware-Angriffe im vergangenen Jahr verzehnfacht. Bemerkenswert ist, dass prominente Webanwendungstechnologien wie Drupal, vBulletin und PHP regelmäßig in der Top-10-Liste der von Angreifern ins Visier genommenen Technologien auftauchen.

Datenpunkt Nr. 3: Die Geschwindigkeit von CI/CD erschwert die Sicherheit.

Organisationen veröffentlichen durchschnittlich 25 Softwareupdates pro Monat in der Produktionsumgebung. Das bedeutet, dass regelmäßige und häufige Tests auf Bedrohungen und Schwachstellen entscheidend sind. Dennoch bestätigten nur 21 % der Befragten, dass sie bei jeder Codeänderung testen.

Datenpunkt Nr. 4: Organisationen haben kein Vertrauen in ihre Sicherheit.

Etwas weniger als die Hälfte der befragten Organisationen gab an, sehr oder äußerst zuversichtlich hinsichtlich ihrer Anwendungssicherheit zu sein. Bei durchschnittlich 25 Anwendungsupdates pro Monat und Hunderten von Anwendungen verändert sich die Betriebsumgebung weitaus schneller, als Sicherheitsteams Schritt halten können.

Datenpunkt Nr. 5: Organisationen sollten Sicherheit nicht nachträglich aufsetzen.

Sicherheit sollte während des gesamten Softwareentwicklungslebenszyklus und in jedem Teil der Organisation berücksichtigt werden. Das bedeutet, während des gesamten Entwicklungszyklus ein Management von Anwendungsschwachstellen einzusetzen, um Probleme vor der Veröffentlichung proaktiv zu erkennen und zu beheben.

Nutzen Sie so weit wie möglich automatisierte Testwerkzeuge, damit Software bereits während ihrer Entwicklung auf Schwachstellen analysiert wird. Sicherheit sollte ein integraler Bestandteil des gesamten Anwendungslebenszyklus sein – von der Entwicklung bis zum Ende der Lebensdauer.

Dies erfordert sowohl einen organisatorischen als auch einen kulturellen Wandel hin zu einer Sicherheitsorientierung in Entwicklungs-, IT- und Sicherheitsteams.

Datenpunkt Nr. 6: Die Notwendigkeit, Patches einzuspielen und ein konsequentes Schwachstellenmanagement umzusetzen, ist real.

Schwachstellenmanagement und grundlegende Cyberhygiene bilden das Fundament und gehören dennoch zu den schwierigsten Aufgaben, die konsequent und im großen Maßstab umgesetzt werden können. Sie erfordern ein kontinuierliches Engagement für Scans, das Einspielen von Patches und Tests, um die Wirksamkeit sicherzustellen – besser, Sie finden eine Schwachstelle als ein Angreifer.

Mangelnde Transparenz, unbeabsichtigte Folgen des Patchens und kundenspezifische Software machen dies selbst für die größten Organisationen zu einer Herausforderung, doch Zeit und Aufwand sind die Investition allemal wert.

Datenpunkt Nr. 7: Webanwendungen sind das Ziel – schützen Sie sie daher mit einer WAF. 

Laut dem Verizon Data Breach Investigations Report 2021 zielen inzwischen fast 80 % aller Angriffe auf Webanwendungen. Schützen Sie sie daher mit Web Application Firewalls (WAF), die darauf ausgelegt sind, bösartigen Datenverkehr zu erkennen und zu blockieren, bevor er Ihre Webanwendungen erreicht.

Als Proxy für den Anwendungsserver kann eine WAF auch die unrechtmäßige Exfiltration von Daten blockieren. Wie bei allen Sicherheitstools sollten Sie Zeit investieren, um Ihre WAFs ordnungsgemäß zu konfigurieren und zu warten.

Datenpunkt Nr. 8: Implementieren Sie Zero Trust und MFA, um den Zugriff einzuschränken.

Bei nahezu jeder Datenschutzverletzung werden Berechtigungen kompromittiert oder missbraucht, um Zugriff auf wichtige Anwendungen zu erhalten. Bemühen Sie sich daher, den Zugriff auf wichtige Anwendungen auf diejenigen Nutzer zu beschränken, die sie zur Erfüllung ihrer Aufgaben unbedingt benötigen. Die Implementierung von Strategien für Zero Trust, Multi-Faktor-Authentifizierung und Privileged Access Management hat sich als wirksame Methode erwiesen, um kritische Netzwerkressourcen zu schützen und sicherzustellen, dass nur legitimer Zugriff gewährt wird.

Schützen Sie diese Anwendungen

Anwendungssicherheit ist ein wesentlicher Bestandteil der Sicherheitsstrategie jeder Organisation. Sie sollte ganzheitlich betrachtet werden und die Anwendungssicherheit von der Entwicklung über die Produktion bis zum Ende der Lebensdauer abdecken, wobei Teams und Tools kombiniert werden, um Bedrohungen zu minimieren und gleichzeitig die Leistung sicherzustellen.

Security Fabrics bieten eine breite Palette integrierter Technologien und Automatisierung, um eine bessere Transparenz und Kontrolle über LAN, WAN, Rechenzentrum und Cloud-Edges hinweg zu ermöglichen und diese kritischen Anwendungen zu schützen.

Über den Autor: 

Jonathan Nguyen-Duy ist VP, Global Field CISO bei Fortinet