(PM) Regensburg, 20.04.2010 - Die neue Version der "OWASP Top Ten" ist heute (19. April 2010) erschienen; dadurch ändert sich auch der PCI(Payment Card Industrie)-Standard, der Sicherheitsstandard der Kreditkartenindustrie. Darauf weist Alexander Meisel, CTO und Geschäftsführer von art of defence, hin. Der PCI-Standard gilt für Web-Shops und alle anderen Web-Anwendungen, die Kreditkarteninformationen verarbeiten. Die OWASP ist ein internationaler Zusammenschluss von Experten und Interessierten, der über Web-Applikationssicherheit aufklärt.

Der PCI-Standard für Datensicherheit bei Kreditkartendaten verweist in Kapitel 6.5 auf die jeweils aktuelle Version der OWASP Top Ten, eine Zusammenstellung von zehn schwerwiegenden Risiken für Web-Anwendungen. Um PCI-compliant zu sein, müssen Unternehmen ihre PCI-relevanten Web-Applikationen explizit vor diesen Risiken schützen. Die OWASP Top Ten sind jetzt als neue Version "OWASP Top Ten 2010" erschienen (siehe www.owasp.org/index.php/Category:OWASP_Top_Ten_Project). Dabei wurden erstmals keine konkreten Schwachstellen in Applikationen, sondern Risiken von Web-Anwendungen nach ihrer Relevanz für die Unternehmenssicherheit bewertet. Dies hat unter anderem zu einer neuen Gewichtung verschiedener bekannter Schwachstellen beziehungsweise Risiken wie Injection, Cross Site Scripting oder Unsicheres Session Management geführt.

Zudem sind zwei Bedrohungen neu hinzugekommen: Fehlkonfigurationen von Security-relevanten Komponenten und ungeprüfte Um- oder Weiterleitungen. Letztere werden häufig eingesetzt, um User innerhalb einer Seite weiterzuleiten. hyperguard, die Enterprise Web Application Firewall von art of defence, schirmt diese und viele weitere Schwachstellen in Web-Anwendungen ab, die über die OWASP Top Ten hinausgehen. Unternehmen, die hyperguard bereits einsetzen, sind damit schon vor dem genannten Risiko ungeprüfter Um- oder Weiterleitungen geschützt.

hyperguard-Abwehr ungeprüfter Um- oder Weiterleitungen

Eine Möglichkeit, Um- oder Weiterleitungen technisch umzusetzen, sind sogenannte Redirects in der URL. Sie können unter bestimmten Voraussetzungen zum Risiko für die Sicherheit von Web-Anwendungen werden: Ähnlich wie bei Phishing-Angriffen lockt ein Angreifer Nutzer auf eine Website mit dieser Schwachstelle. Für die Weiterleitung setzt er den Link auf eine Webadresse seiner Wahl und lockt damit den Nutzer beispielsweise auf eine Site, die automatisch Malware auf seinem Rechner installiert. Eine andere Möglichkeit ist, dass der Angreifer durch die geschickte Wahl des Links Zugriff auf Funktionen der Applikation erhält, die von außen gar nicht aufrufbar sein dürften. Dadurch kann er sich dann gegebenenfalls weiteren Zugriff auf interne Daten oder Ähnliches verschaffen.

hyperguard, die Enterprise Web Application Firewall von art of defence, bietet zur Abwehr derartiger Angriffe eine sogenannte Whitelist-Funktionalität für Weiterleitungen. In diese Liste trägt der Security-Verantwortliche die für die Applikation erlaubten Weiterleitungen ein. hyperguard überprüft dann jeden Request, ob die in einer Weiterleitung angegebene URL zulässig ist. Ist dies nicht der Fall, weist hyperguard den Request – je nach Voreinstellung – zurück.

Bereits seit Jahren benutzen viele Unternehmen weltweit hyperguard insbesondere dazu, alle Anforderungen des PCI-Standards hinsichtlich Web-Anwendungssicherheit umfassend zu erfüllen. Wie das oben genannte Beispiel der Absicherung von Um- und Weiterleitungen zeigt, bietet hyperguard umfassenden Schutz, der deutlich über die jeweilige OWASP Top10 hinausgeht. hyperguard ist als Software-Plug-in, als Hardware-Appliance und als Virtual Appliance verfügbar. Sie schützt Web-Anwendungen in physikalischen, virtualisierten und Cloud-basierten Umgebungen.

circa 3.900 Zeichen