Germany/Projekte/Top 10 fuer Entwickler-2013/A5-Sicherheitsrelevante Fehlkonfiguration

A5 Sicherheitsrelevante Fehlkonfiguration


Anwendungs- spezifisch	Ausnutzbarkeit EINFACH	Verbreitung HÄUFIG	Auffindbarkeit EINFACH	Auswirkung MITTEL	Anwendungs-/ Geschäftsspezifisch
Nicht authentifizierte Angreifer sowie authentifizierte Nutzer könnten versuchen, Zugangsdaten anderer zu stehlen. In Betracht kommen außerdem Innentäter, die ihre Handlungen verschleiern wollen.	Angreifer benutzen Standardkonten, inaktive Seiten, ungepatchte Fehler, ungeschützte Dateien und Verzeichnisse etc., um unautorisierten Zugang zum oder Kenntnis über das Zielsystem zu erlangen.	Sicherheitsrelevante Fehlkonfiguration kann auf jeder Ebene der Anwendung, inkl. Plattform, Web- und Anwendungsserver, oder Datenbank vorkommen. Die Zusammenarbeit zwischen Entwicklern und Administratoren ist wichtig, um eine sichere Konfiguration aller Ebenen zu gewährleisten. Automatisierte Scanner können oft fehlende Sicherheitspatches, Fehlkonfigurationen, Standardkonten, nicht benötigte Dienste, usw. erkennen.		Diese Fehler geben Angreifern häufig unautorisierten Zugriff auf Systemdaten oder -funktionalitäten. Manchmal führen sie zur kompletten Kompromittierung des Zielsystems.	Ein System könnte unbemerkt kompromittiert werden. Alle Daten könnten gestohlen oder nach und nach verändert werden. Hohe Wiederherstellungskosten können entstehen.

Mögliche Angriffsszenarien

Szenario 1: Die Administratorkonsole mit Standardkonto wurde automatisch installiert und nicht entfernt. Angreifer entdecken dies, melden sich über das Standardkonto an und kapern das System.

Szenario 2: Directory Listings wurden nicht deaktiviert. Angreifer nutzen dies, um in den Besitz aller Dateien zu kommen. Sie laden alle existierenden Java-Klassen herunter, dekompilieren diese und entdecken einen schwerwiegenden Fehler in der Zugriffskontrolle.

Szenario 3: Die Konfiguration des Anwendungsservers erlaubt es, Stack Traces an Benutzer zurückzugeben. Dadurch können potentielle Fehler im Backend offengelegt werden. Angreifer nutzen zusätzliche Informationen in Fehlermeldungen aus.

Szenario 4: Der Applikationsserver wird mit Beispielapplikationen ausgeliefert, die auf dem Produktivsystem nicht entfernt wurden. Diese Beispielapplikationen besitzen bekannte Sicherheitsschwachstellen, die Angreifer ausnutzen können um den Server zu kompromittieren.

Wie kann ich 'Sicherheitsrelevante Fehlkonfiguration' verhindern?

Alle folgenden Empfehlungen sollten berücksichtigt werden:

Ein wiederholbarer Härtungsprozess, der eine schnelle und einfache Verteilung einer neuen, abgesicherten Umgebung erlaubt. Entwicklungs-, QA-, und Produktionsumgebungen sollten identisch konfiguriert sein (mit unterschiedlichen Passwörtern pro Umgebung). Der Prozess sollte automatisiert sein, um den nötigen Aufwand bei Erstellung einer neuen, sicheren Umgebung zu minimieren.
Ein Prozess, der zeitnah neuentwickelte Softwareupdates auf allen ausgerollten Umgebungen ermöglicht. Davon sind auch alle Bibliotheken und Komponenten betroffen (siehe A9).
Eine robuste Anwendungsarchitektur, mit effektiver und sicherer Trennung und Absicherung einzelner Komponenten.
Periodisch durchgeführte Tests und Audits helfen zukünftige Fehlkonfigurationen oder fehlende Patches zu erkennen und zu vermeiden.