T.Gigler: Internen Link zu 'noteAboutRisks' ergänzt

2018-12-09T23:40:30Z

Internen Link zu 'noteAboutRisks' ergänzt

T.Gigler: Created Page

2018-12-09T23:37:36Z

Created Page

New page

{{Top_10_2013:TopTemplate
|useprev=2017PrevLink
|prev={{Top_10:LanguageFile|text=releaseNotes|year=2017|language=de}}
|usenext=2017NextLink
|next={{Top_10:LanguageFile|text=top10|year=2017|language=de}}
|year=2017
|language=de
}}

{{Top_10:SubsectionTableBeginTemplate|type=main}}{{Top_10_2010:SubsectionAdvancedTemplate|type={{Top_10_2010:StyleTemplate}}|subsection=freetext|position=firstWhole|title=Was sind Sicherheitsrisiken für Anwendungen?|year=2017|language=de}}
Angreifer können im Fall der Fälle viele unterschiedliche Angriffswege in einer Applikation ausnutzen, um Schaden für das Unternehmen oder die Organisation zu verursachen. Jeder einzelne dieser Wege stellt ein Risiko dar, das unter Umständen besondere Aufmerksamkeit bedarf.
[[File:Risks-2017_de.png|frameless|650px|center]]
Manche dieser Angriffswege sind sehr leicht zu finden und auszunutzen, bei anderen kann es bedeutend schwer werden. So unterschiedlich die Wege, so unterschiedliche sind auch die Auswirkungen: Einige sind kaum erwähnenswert, andere könnten letztlich zum Untergang des Unternehmens führen. Das individuelle Risiko kann stets nur unter Beachtung aller relevanter Faktoren abgeschätzt werden: Dabei handelt es sich um die jeweiligen Wahrscheinlichkeiten, die mit Bedrohungs-quellen, Angriffsvektoren und Schwachstellen verbunden sind. Diese werden mit den zu erwartenden technischen Auswirkungen sowie den Auswirkungen auf das Unternehmen kombiniert und bestimmen damit das individuelle Gesamtrisiko.

{{Top_10_2010:SubsectionAdvancedTemplate|type={{Top_10_2010:StyleTemplate}}|subsection=freetext|position=left|title=Was sind meine Risiken?|year=2017|language=de}}
Die [[Top10|OWASP Top 10]] beschreibt die schwerwiegendsten Risiken von Webanwendungen, die für ein breites Spektrum an Organisationen relevant sind. Für jedes dieser zehn Risiken stellen wir Informationen zu den beeinflussen-den Faktoren und den technischen Auswirkungen zur Verfügung. Zur Einschätzung verwenden wir folgendes Bewertungsschema auf Basis der [[OWASP_Risk_Rating_Methodology|OWASP-Risk-Rating-Methode]]:

<center><table style="align:center; border-collapse: collapse; text-align:center;
margin: 0px 5px 0px 5px; border: 3px solid #444444;
background-color: {{Top 10:BackgroundColor|year=2017}};
padding=2; width: 97%;">

<tr style="background-color: {{Top 10:BorderColor|year=2017}}; height: 2em; font-size: 90%; color: #FFFFFF; text-shadow: 2px 2px 8px #444444; ">
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=threatAgents|language=de}}</th>
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=exploitability|language=de}}</th>
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=weakness|language=de}} {{Top_10:LanguageFile|text=prevalence|language=de}}</th>
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=weakness|language=de}} {{Top_10:LanguageFile|text=detectability|language=de}}</th>
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=technicalImpacts|language=de}}</th>
<th style="width: 16.5%; border: 3px solid #444444;">{{Top_10:LanguageFile|text=businessImpacts|language=de}}</th>
</tr>

<tr><td style="font-weight: bold; font-size:100%; border: 3px solid #444444;" rowspan="3">{{Top_10:LanguageFile|text=appSpecific|language=de}}</td>
{{Top_10-2017:SummaryTableTemplate|type=valueOnly|exploitability=3|prevalence=3|detectability=3|impact=3|language=de|year=2017|style=border: 3px solid #444444; font-size: 90% !important;}}
<td style="font-weight: bold; font-size: 100%; border: 3px solid #444444; " rowspan="3">{{Top_10:LanguageFile|text=appBusinessSpecific|language=de}}</td></tr>
<tr>
{{Top_10-2017:SummaryTableTemplate|type=valueOnly|exploitability=2|prevalence=2|detectability=2|impact=2|language=de|year=2017|style=border: 3px solid #444444; font-size: 90% !important;}}</tr>
<tr>
{{Top_10-2017:SummaryTableTemplate|type=valueOnly|exploitability=1|prevalence=1|detectability=1|impact=1|language=de|year=2017|style=border: 3px solid #444444; font-size: 90% !important;}}</tr>
</table></center>

Mit dem diesjährigen Dokument haben wir die Tabellen der Risikobewertung überarbeitet, um die Berechnung des Risiko nachvollziehbarer zu machen. Für die Details der Verbesserungen sei hier auf den Abschnitt "[+RISK.md Anmerkungen zum Risikobegriff]" verwiesen. 
Jedes Unternehmen und jede Organisation unterscheidet sich von allen anderen. Ebenso die Angreifer, deren Ziele und die Auswirkungen eines Sicherheitsvorfalles. Wenn beispielsweise eine Organisation ein Content-Management-System (CMS) für eine öffentliche Webseite nutzt, eine andere Firma das gleiche CMS nutzt, um darin (datenschutzrelevante) Patientendaten zu speichern, so können Sicherheitsvorfälle auch bei Einsatz gleicher Software sehr unterschiedliche Auswirkungen haben. Es ist also notwendig bei der Risikobewertung die Risiken, die sich aus der Tätigkeit des Unternehmens ergeben im Blick zu haben und diese auch wirklich umfassen zu verstehen. 
Die Namen der Risiken tragen – soweit möglich – die allgemein üblichen Bezeichnungen um das allgemeine Verständnis zu erhöhen und möglichst wenig zu verwirren. Siehe auch: [https://cwe.mitre.org/data/index.html Common Weakness Enumeration] (CWE).

{{Top_10_2010:SubsectionAdvancedTemplate|type={{Top_10_2010:StyleTemplate}}|subsection=freetext|position=right|title=References|year=2017|language=de}}
{{Top_10_2010:SubSubsectionOWASPReferencesTemplate|year=2017|language=de}}
* [[OWASP_Risk_Rating_Methodology|OWASP Risk Rating Methodology]]
* [[Threat_Risk_Modeling|Article on Threat/Risk Modeling]]

{{Top_10_2010:SubSubsectionExternalReferencesTemplate|year=2017|language=de}}
* [https://www.iso.org/iso-31000-risk-management.html ISO 31000: Risk Management Std]
* [https://www.iso.org/isoiec-27001-information-security.html ISO 27001: ISMS]
* [https://www.nist.gov/cyberframework NIST Cyber Framework (US)]
* [https://www.asd.gov.au/infosec/mitigationstrategies.htm ASD Strategic Mitigations (AU)]
* [https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator NIST CVSS 3.0]
* [https://www.microsoft.com/en-us/download/details.aspx?id=49168 Microsoft Threat Modelling Tool]

{{Top_10_2013:BottomAdvancedTemplate
|type=box
|useprev=2017PrevLink
|prev={{Top_10:LanguageFile|text=releaseNotes|year=2017|language=de}}
|usenext=2017NextLink
|next={{Top_10:LanguageFile|text=top10|year=2017|language=de}}
|year=2017
|language=de
}}

@@ Line 45: / Line 45: @@
 | spezifisch | Difficult 1 | Uncommon 1 | Difficult 1 | Minor 1 | spezifisch  |
 ---->
-Mit dem diesjährigen Dokument haben wir die Tabellen der Risikobewertung überarbeitet, um die Berechnung des Risiko nachvollziehbarer zu machen.<br>Für die Details der Verbesserungen sei hier auf den Abschnitt "<u>[+RISK.md Anmerkungen zum Risikobegriff]</u>" verwiesen.<br>
+Mit dem diesjährigen Dokument haben wir die Tabellen der Risikobewertung überarbeitet, um die Berechnung des Risiko nachvollziehbarer zu machen.<br>Für die Details der Verbesserungen sei hier auf den Abschnitt "<u><b>[[{{Top_10:LanguageFile|text=documentRootTop10New|language=de|year=2017 }}_{{Top_10:LanguageFile|text=noteAboutRisks|language=de}}|{{Top_10:LanguageFile|text=noteAboutRisks|language=de}}]]</b></u>" verwiesen.<br>
 Jedes Unternehmen und jede Organisation unterscheidet sich von allen anderen. Ebenso die Angreifer, deren Ziele und die Auswirkungen eines Sicherheitsvorfalles. Wenn beispielsweise eine Organisation ein Content-Management-System (CMS) für eine öffentliche Webseite nutzt, eine andere Firma das gleiche CMS nutzt, um darin (datenschutzrelevante) Patientendaten zu speichern, so können Sicherheitsvorfälle auch bei Einsatz gleicher Software sehr unterschiedliche Auswirkungen haben. Es ist also notwendig bei der Risikobewertung die Risiken, die sich aus der Tätigkeit des Unternehmens ergeben im Blick zu haben und diese auch wirklich umfassen zu verstehen.<br>
 Die Namen der Risiken tragen – soweit möglich – die allgemein üblichen Bezeichnungen um das allgemeine Verständnis zu erhöhen und möglichst wenig zu verwirren. Siehe auch: <u>[https://cwe.mitre.org/data/index.html Common Weakness Enumeration]</u> (CWE).

Germany/Projekte/Top 10-2017 Sicherheitsrisiken für Anwendungen - Revision history

T.Gigler: Internen Link zu 'noteAboutRisks' ergänzt

T.Gigler: Created Page