Lücke in der Security-Überwachung Application Security Gap – die versteckte Gefahr

Anbieter zum Thema

diva-e Digital Value Enterprise GmbH

WatchGuard Technologies GmbH

Fsas Technologies GmbH

Heidelberg iT Management GmbH & Co. KG

Mitunter klafft eine Sicherheits-Lücke, wenn die IT-Abteilung interne Prozesse überwacht, während der Cloud Provider lediglich die Infrastruktur abdeckt, nicht aber die spezifischen Applikationen, die unternehmenseigenen Datenbanken und Kundenportale verbinden.

Das „Application Security Gap“ (ASG) ist mancherorts ein blinder Fleck in der IT-Sicherheitslandschaft. Andreas Mihm, Director Cloud Solution Architecture bei Diva-e Conclusion, spricht von einer „deutlichen Lücke“ in der Security-Überwachung, die im Grunde aus einem Zuständigkeitsproblem heraus entsteht und häufig nicht erkannt wird.

Wer ist verantwortlich?

Die hauseigene IT-Abteilung kann zwar interne Prozesse überwachen, ein cloud-basiertes Kundenportal oder einen Onlineshop beispielsweise hingegen nicht. Der Cloud Provider wiederum überwacht zwar die Infrastruktur seiner Clouds, nicht jedoch die Applikation, die diese mit den unternehmensinternen Prozessen und Datenbanken verbindet. Eine Sicherheitslücke, die sogenannte „Application Security Gap“, entsteht. Und da die meisten Unternehmen mittlerweile cloud-basierte Applikationen einsetzen, sind sie dieser potenziellen Gefahr ausgesetzt. Eine digitale Flanke, durch die sich Angreifer fast ungehindert Zutritt verschaffen können.

Praxisbeispiel

Mihm veranschaulicht die Problematik mit einem Praxisbeispiel, nämlich den im April dieses Jahres bekannt gewordenen Cyberangriff auf das britische Unternehmen Marks & Spencer, das den Mode- und Lebensmittelkonzern teuer zu stehen gekommen sei. Der Angriffsweg verlief demnach über manipulierte Login-Zugangsdaten bei einem Helpdesk-Dienstleister. Auch das ist eine klassische Application Security Gap.

Ärger durch Umsatzausfall

Allein der Wegfall des Online-Geschäfts durch die Stilllegung sämtlicher digitaler Bestellwege, die mehrere Monate andauerte, sorgte für immense finanzielle Einbußen im operativen Geschäft. Dazu kommt ein erheblicher Imageschaden, da auch persönliche Kundendaten gestohlen wurden.

Die Auswirkungen dieses Hacker-Angriffs auf alle Unternehmensbereiche waren immens: Filialen mussten auf manuelle Prozesse zurückgreifen, ganz „altmodisch“ auf Stift und Papier, die logistischen Kosten stiegen und sogar die Lebensmittel wurden zum Teil knapp, beschreibt der Cloud-Solution-Architekt.

Fluch und Segen der Arbeitsteilung

Mihm führt aus, dass in modernen IT-Landschaften eine strikte Arbeitsteilung zwischen Entwicklung, Betrieb, Infrastruktur und Sicherheit herrscht. Dieses Modell steigere zwar Effizienz und Spezialisierung, führe jedoch häufig zu unklaren Verantwortlichkeiten. Besonders problematisch sei dies bei Cloud-nativen Applikationen zu sehen: „Die Infrastruktur wird vom Provider überwacht, die Businesslogik liegt bei den Entwicklern, und das Monitoring – wenn überhaupt vorhanden – konzentriert sich häufig auf technische Metriken wie CPU-Auslastung oder Verfügbarkeit, nicht jedoch auf sicherheitsrelevante Aspekte“, bringt es der Manager auf den Punkt.

Die Tücke des Application Security Gap

Die Application Security Gap sei deshalb so tückisch, weil sie weder durch klassische Firewalls noch durch gängige Intrusion Detection Systeme zuverlässig erkannt wird, beschreibt Mihm. Viele IT-Verantwortliche würden sich demnach auf eine zertifizierte Cloud-Infrastruktur verlassen und dabei verkennen, dass Applikationssicherheit explizit nicht Bestandteil vieler Cloud-Service-Level-Vereinbarungen ist. „Besonders gefährlich ist die Kombination aus fehlendem Wissen über die ASG, den auf mehrere Personen verteilten Verantwortlichkeiten und fehlenden Sicherheitsmaßnahmen in der DevOps-Pipeline“, so Mihm. Letzteres bezieht sich auf das Fehlen oder die unzureichende Implementierung von Sicherheitsmechanismen während des gesamten Lebenszyklus der Softwareentwicklung, insbesondere in automatisierten Continuous Integration beziehungsweise Continuous Deployment (CI/CD)-Pipelines, wie sie in DevOps-Prozessen typisch sind.

Eine Frage der Verantwortlichkeiten

Doch wie kann ein IT-Dienstleister die Abgrenzung und Verantwortlichkeiten zwischen der internen IT-Abteilung eines Unternehmens und externen Cloud Providern bei der Überwachung von Anwendungen klar definieren?

Laut dem Cloud-Spezialisten übernimmt bei der Implementierung einer Anwendung der IT-Dienstleister typischerweise immer die Aufgabe, die Anforderungen und Rahmenbedingungen des Kunden mit den Features und Services eines SaaS- oder Cloud Providers in Einklang zu bringen. Damit sei er geradezu prädestiniert, die Abgrenzung der Verantwortlichkeiten für die Sicherheit der Systemarchitektur einer Anwendung klar zu definieren, denn er wisse exakt – so Mihm –, welche Security-Features die SaaS- oder Cloud-Plattform bietet und er kenne auch die Security-Anforderungen und Aufgabenbereiche der internen IT-Abteilung.

Sicherheitsstrategie anpassen

Doch welche Schritte sind konkret notwendig, um bestehende Sicherheitskonzepte zu modernisieren und effektiv gegen Application Security Gaps vorzugehen? Mihm schöpft aus der Erfahrung aus dem Projektgeschäft und empfiehlt seinen Kunden die folgenden Schritte, um ein Sicherheitskonzept für eine Anwendung zu erstellen. Es reicht von der Entwicklung bis zur kontinuierlichen Security-Operations:

• Security Best Practices in der Entwicklung sicherstellen,

• Bedrohungslage für die jeweilige Applikation analysieren,

• Security Alerts und Response Plans einrichten und testen,

• Dauerhafte Security Operations und Reporting für jede Applikation etablieren.

Bestandsaufnahme und Analyse

Die Security-Analyse in cloud-basierten Anwendungen führt Diva-e Conclusion bei Kunden immer in zwei Schritten aus, verrät Mihm.

• Schritt 1 prüft die Verwendung von Security-Best-Practices in der Entwicklung und Konfiguration der Anwendung. Dabei werden die eingesetzten Technologien in einzelnen Reviews auf den Prüfstand gestellt, also beispielsweise in einem Secure Frontend Review, einem Secure Azure Review, in einem Secure Salesforce Review et cetera.

• Schritt 2 führt ein Threat Modelling durch und erfasst dabei die Bedrohungslage der Anwendung über die Gesamtarchitektur hinweg. Dabei werden auch Threats erfasst, die nicht durch Codeänderungen abgeschwächt werden können, sondern durch Monitoring, Threat Hunting und Prepared Reponses.

Fazit: Die Application Security Gap ist beherrschbar

„Die Application Security Gap und die Risiken von Cloud-Lösungen sind nicht zu unterschätzende strukturelle Schwachstellen – aber sie sind kein unausweichliches Schicksal“, zieht Mihm Fazit. Entscheidend sei nicht die Größe des Unternehmens, sondern das Bewusstsein, dass Applikationen und Cloud-Lösungen heute die primäre Angriffsebene sind – und damit im Zentrum jeder IT-Sicherheitsstrategie stehen müssen. Das grundsätzliche Zuständigkeitsproblem und damit die Lücke zwischen Cloud-Anbieter und Unternehmen muss seiner Ansicht nach stärker ins Blickfeld genommen werden. Mihm fügt hinzu: „Bei Themen wie Shadow-IT und dem Erteilen von Zugriffsrechten, beispielsweise auf in der Cloud ablegte Dokumente, sollten auch die Mitarbeitenden einbezogen und entsprechend sensibilisiert werden.“

(ID:50531949)