(PM) Regensburg, 20.04.2010 - Die neue Version der "OWASP Top Ten" ist heute (19. April 2010) erschienen; dadurch ändert sich auch der PCI(Payment Card Industrie)-Standard, der Sicherheitsstandard der Kreditkartenindustrie. Darauf weist Alexander Meisel, CTO und Geschäftsführer von art of defence, hin. Der PCI-Standard gilt für Web-Shops und alle anderen Web-Anwendungen, die Kreditkarteninformationen verarbeiten. Die OWASP ist ein internationaler Zusammenschluss von Experten und Interessierten, der über Web-Applikationssicherheit aufklärt. Der PCI-Standard für Datensicherheit bei Kreditkartendaten verweist in Kapitel 6.5 auf die jeweils aktuelle Version der OWASP Top Ten, eine Zusammenstellung von zehn schwerwiegenden Risiken für Web-Anwendungen. Um PCI-compliant zu sein, müssen Unternehmen ihre PCI-relevanten Web-Applikationen explizit vor diesen Risiken schützen. Die OWASP Top Ten sind jetzt als neue Version "OWASP Top Ten 2010" erschienen (siehe www.owasp.org/index.php/Category:OWASP_Top_Ten_Project). Dabei wurden erstmals keine konkreten Schwachstellen in Applikationen, sondern Risiken von Web-Anwendungen nach ihrer Relevanz für die Unternehmenssicherheit bewertet. Dies hat unter anderem zu einer neuen Gewichtung verschiedener bekannter Schwachstellen beziehungsweise Risiken wie Injection, Cross Site Scripting oder Unsicheres Session Management geführt. Zudem sind zwei Bedrohungen neu hinzugekommen: Fehlkonfigurationen von Security-relevanten Komponenten und ungeprüfte Um- oder Weiterleitungen. Letztere werden häufig eingesetzt, um User innerhalb einer Seite weiterzuleiten. hyperguard, die Enterprise Web Application Firewall von art of defence, schirmt diese und viele weitere Schwachstellen in Web-Anwendungen ab, die über die OWASP Top Ten hinausgehen. Unternehmen, die hyperguard bereits einsetzen, sind damit schon vor dem genannten Risiko ungeprüfter Um- oder Weiterleitungen geschützt. hyperguard-Abwehr ungeprüfter Um- oder WeiterleitungenEine Möglichkeit, Um- oder Weiterleitungen technisch umzusetzen, sind sogenannte Redirects in der URL. Sie können unter bestimmten Voraussetzungen zum Risiko für die Sicherheit von Web-Anwendungen werden: Ähnlich wie bei Phishing-Angriffen lockt ein Angreifer Nutzer auf eine Website mit dieser Schwachstelle. Für die Weiterleitung setzt er den Link auf eine Webadresse seiner Wahl und lockt damit den Nutzer beispielsweise auf eine Site, die automatisch Malware auf seinem Rechner installiert. Eine andere Möglichkeit ist, dass der Angreifer durch die geschickte Wahl des Links Zugriff auf Funktionen der Applikation erhält, die von außen gar nicht aufrufbar sein dürften. Dadurch kann er sich dann gegebenenfalls weiteren Zugriff auf interne Daten oder Ähnliches verschaffen.hyperguard, die Enterprise Web Application Firewall von art of defence, bietet zur Abwehr derartiger Angriffe eine sogenannte Whitelist-Funktionalität für Weiterleitungen. In diese Liste trägt der Security-Verantwortliche die für die Applikation erlaubten Weiterleitungen ein. hyperguard überprüft dann jeden Request, ob die in einer Weiterleitung angegebene URL zulässig ist. Ist dies nicht der Fall, weist hyperguard den Request – je nach Voreinstellung – zurück. Bereits seit Jahren benutzen viele Unternehmen weltweit hyperguard insbesondere dazu, alle Anforderungen des PCI-Standards hinsichtlich Web-Anwendungssicherheit umfassend zu erfüllen. Wie das oben genannte Beispiel der Absicherung von Um- und Weiterleitungen zeigt, bietet hyperguard umfassenden Schutz, der deutlich über die jeweilige OWASP Top10 hinausgeht. hyperguard ist als Software-Plug-in, als Hardware-Appliance und als Virtual Appliance verfügbar. Sie schützt Web-Anwendungen in physikalischen, virtualisierten und Cloud-basierten Umgebungen.circa 3.900 Zeichen



art of defence GmbH
Herr Dr. Georg Heß
Bruderwöhrdstraße 15b
93055 Regensburg
+49-941-604889-58
georg.hess@artofdefence.com
www.artofdefence.com

Dr. Haffa & Partner
Frau Petra Meyer
Burgauerstr. 117
81929 München
+49-89-993191-0
artofdefence@haffapartner.de
www.haffapartner.de



Die art of defence GmbH ist auf Web-Anwendungssicherheit spezialisiert. Die Produkte des Unternehmens schützen Web-Anwendungen während des gesamten Applikationslebenszyklus vor Angriffen aus dem Internet. art of defence hilft so seinen Kunden, Compliance-Vorschriften oder Industriestandards wie die Sicherheitsrichtlinien der Kreditkartenindustrie (PCI DSS) einzuhalten. Das Regensburger Unternehmen ist über eine Niederlassung und Distributionspartner auch im US-Markt präsent. Flaggschiff-Produkt von art of defence ist die Web Application Firewall (WAF) hyperguard; diese WAF-Lösung wird als einzige am Markt vollständig in Deutschland entwickelt. Die Enterprise Web Application Firewall hyperguard von art of defence ist als Software-Plug-in, als Hardware und Virtual Appliance sowie als distributed dWAF für sehr große Infrastrukturen verfügbar. Führende deutsche Banken, Payment Provider und E-Tailer setzen beim Schutz ihrer internen und externen Web-Anwendungen auf art of defence; in den USA zählt das Unternehmen namhafte Cloud-Provider zu seinen Kunden. Weitere Informationen finden Sie unter www.artofdefence.com.