Web Application Attacks: Was ist es und was schützt davor?

Cyberkriminelle Angriffe auf Webanwendungen (Web Application Attacks) nehmen kontinuierlich zu. Web Application Firewalls (WAF) sollen davor schützen.

Was sind eigentlich Webanwendungen?

Web Applications oder zu Deutsch Webanwendungen sind wichtige Tools für alle Unternehmen, deren Geschäft ganz oder teilweise auf dem Internet basiert. Denn mit Hilfe von Webanwendungen können Unternehmen mit Geschäftspartnern und Kunden kommunizieren bzw. diese besser kennenlernen. Dies geschieht mit Hilfe von Web Applications wie Submit-Feldern, Anfrage- und Anmeldeformularen, Warenkörben etc.

Moderne Websites sind längst nicht mehr so statisch wie in den Anfangstagen. Sie erlauben es, personalisierte dynamische Inhalte nach individuellen Vorlieben und Einstellungen herunterzuladen. Darüber hinaus können Websites auch clientseitige Skripte ausführen, die den Browser beispielsweise in eine Schnittstelle für Anwendungen wie Webmail oder interaktive Kartensoftware (z.B. Google Maps) verwandeln.

Webanwendungen sind also Computerprogramme, die es den Besuchern ermöglichen, Daten über das Internet an eine Datenbank zu übermitteln und von dieser abzurufen. Sie fragen den Content-Server bzw. eine Content-Repository-Datenbank ab und generieren dynamisch Webdokumente, die dem Client (Browser des Websitebesuchers) zur Verfügung gestellt werden. Die Dokumente werden in einem Standardformat wie z.B. HTML generiert, sodass diese von allen Browsern unterstützt werden.

Als clientseitiges Skript erlaubt JavaScript das Ausführen dynamischer Elemente auf jeder Seite. Zum Beispiel, dass sich ein Bild verändert, wenn der Benutzer mit der Maus darüberfährt. Solche Applikationen sind für Unternehmen von grundlegender Bedeutung, um durch ihre Online-Präsenz langfristige und profitable Beziehungen zu Interessenten und Kunden aufzubauen.

Funktionsweise von Web Applications

Angriffe auf Webanwendungen: Web Application Attacks

400 Millionen Angriffe – diese Zahl nennt Akamai, einer der führenden Anbieter von Cloud Security Services, für den Zeitraum November 2017 bis April 2018 im Report „State of the Internet – Summer 2018“. Insbesondere die Erfassung, Verarbeitung, Speicherung und Übermittlung sensibler Kundendaten – dazu gehören persönliche Daten oder Zahlungsdaten – über Web-Applikationen macht diese zum interessanten Ziel für Cyberkriminelle. Dabei spielen Sicherheitslücken in den Web Applications eine Rolle, die etwa auf kleinere Fehler in der Codierung zurückzuführen sind. Diese Schwachstellen ermöglichen Hackern den direkten Zugriff auf Datenbanken, um sensible Daten zu manipulieren bzw. zu stehlen.

Häufigkeit der verschiedenen Angriffsarten auf Webanwendungen. Quelle: Akamai State of the Internet Security Report Q4 2017

Dabei werden drei primäre Arten von Web Application Attacks unterschieden:

1. SQL-Injection (SQLi): Mithilfe von Scheinanfragen an Datenbanken versuchen Angreifer, in wichtige Anwendungen und Datenbanken einzudringen oder sie lahmzulegen.
2. Local File Inclusion (LFI): Angreifer führen schädlichen Code auf dem Webserver aus, nachdem sie eine Anwendungsschwachstelle ausgenutzt haben.
3. Cross-Site-Scripting (XSS): Angreifer nutzen Schwachstellen, um ein Skript einzuschmuggeln, das dann im Browser des Nutzers ausgeführt wird.

Kosten durch Web Application Attacks steigen

Laut einem Report des Ponemon Institutes erhöhten sich die durchschnittlichen Kosten von Angriffen auf Webanwendungen innerhalb eines Jahres von 3,1 Millionen US-Dollar auf 3,7 Millionen Dollar. Seit dem Jahr 2015 stiegen die Kosten für diese Art der Angriffe kontinuierlich an. Den Löwenanteil bildeten zuletzt mit fast anderthalb Millionen US-Dollar die Maßnahmen für technischen Support und Vorfallreaktion. Das entspricht einem Kostenanteil von 38 Prozent. Auch die Kosten, die durch eine Nichterreichbarkeit von Kundenservices und dadurch entstehende Einnahmeausfälle entstehen, machen mit 20 Prozent einen nicht unwesentlichen Anteil aus.

Der größte Kostenfaktor bei Web Application Attacks: Technischer Support und Vorfallreaktion. Die Verluste durch Datendiebstähle sind vergleichsweise gering. Quelle: Ponemon Institute: Trends in the Cost of Web Application & Denial of Service Attacks 2017

Ebenfalls hält der Report fest, dass es häufig Tage (46 Prozent), Wochen (20 Prozent) oder sogar Monate (8 Prozent) dauert, um kompromittierte Webanwendungen wieder zu bereinigen. Zudem hat sich die Dauer der Wiederherstellung im Laufe zweier Jahre kaum verändert. Eine weitere spannende Erkenntnis: Weniger als die Hälfte aller Webanwendungen werden jemals auf Schwachstellen hin geprüft. Die meistgenannten Gründe: Unternehmen wissen nicht, dass sie mehr Tests durchführen sollten (67 Prozent), die Geschäftsführung versteht oder sieht die Notwendigkeit nicht (54 Prozent) oder es mangelt schlicht an Budget (50 Prozent) oder Expertise (45 Prozent).

Abwehr durch Web Application Firewalls

Um den Gefahren durch Web Application Attacks wirkungsvoll zu begegnen, sind daher „Spezialisten“ wie Web Application Firewalls gefragt. Viele Unternehmen setzen inzwischen zwar Netzwerkfirewalls und Lösungen für Intrusion Detection (IDS) und Intrusion Prevention (IPS) ein. Doch eine dezidierte Web Application Firewall (WAF) gehört meist noch nicht zum Standard in deutschen Unternehmen.

Eine WAF schützt Webanwendungen, indem sie den Datenverkehr zwischen Webservern und Clients auf Anwendungsebene kontrolliert. Sie filtert, analysiert und überwacht den HTTP-Verkehr. Je nach Bedarf wird eine Web Application Firewall entweder direkt auf dem Webserver oder als eigenständige Firewall implementiert. Der wesentliche Unterschied zu anderen Firewalls liegt darin, dass eine WAF die Daten auf Anwendungsebene kontrolliert – nicht auf Netzwerk- oder Protokollebene.

Standard- und komplexe Attacken

Bekannte und sich häufig wiederholende Angriffe erkennt eine WAF mithilfe einer Signatur-Datenbank und blockiert diese rechtzeitig. Bei komplexen Angriffen basiert die Abwehr auf einer Art Lernprozess. Die WAF lernt mit der Zeit, welche Zugriffsarten auf Applikationen legitim sind und wann es sich um einen Angriff handelt. Wenn der Verdacht auf einen Angriff besteht, startet die WAF zunächst eine Rückfrage, ob es sich tatsächlich um eine Attacke handelt, die abgewehrt werden muss. Auf diese Weise werden sogenannte False-Positives reduziert.

DDoS-Angriffe ebenfalls ein Thema

Auch die Anzahl der DDoS-Angriffe (Distributed Denial of Service) nimmt weiter zu. Sie zielen darauf ab, einen Internetservice zu überlasten, sodass dieser vorübergehend nicht verfügbar ist. Hier verzeichnet der aktuelle Akamai-Report einen Anstieg um 16 Prozent (Sommer 2018 vs. Sommer 2017). Zugleich wurde im Auswertungszeitraum eine neue Rekord-Attacke mit einer Bandbreite von 1,35 Terabyte pro Sekunde erfasst und erfolgreich abgewehrt. Ebenso konnten 7821 weitere Angriffe allein durch den Anbieter Akamai mitigiert werden.

Download zum Thema

Im E-Book „DDoS“ erfahren Sie mehr darüber, was DDoS-Angriffe sind und wie Sie Ihr Unternehmen wirkungsvoll schützen können.

Jetzt kostenlos downloaden