Coder Conquer Security: Share & Learn-Serie — Ungenügende Protokollierung und Überwachung

Während wir uns in diesen Blogs mit Themen beschäftigt haben, haben wir eine ganze Reihe gefährlicher Sicherheitslücken und böswilliger Exploits entdeckt, die Hacker einsetzen, um Netzwerke anzugreifen und Abwehrmaßnahmen zu umgehen. Sie reichen von der Ausnutzung von Schwachstellen in Programmiersprachen über das Einschleusen von Code in verschiedenen Formaten bis hin zum Hijacken von Daten während der Übertragung. Es handelt sich um eine ganze Reihe von Bedrohungen, aber wenn eine von ihnen erfolgreich ist, haben die Anwendungen des Opfers oft eine gemeinsame Komponente.

Eine unzureichende Protokollierung und Überwachung ist eine der gefährlichsten Bedingungen, die innerhalb der Verteidigungsstruktur einer Anwendung auftreten können. Wenn diese Sicherheitslücke oder dieser Zustand besteht, wird fast jeder fortgeschrittene Angriff, der dagegen unternommen wird, irgendwann erfolgreich sein. Eine unzureichende Protokollierung und Überwachung bedeutet, dass Angriffe oder Angriffsversuche sehr lange Zeit, wenn überhaupt, nicht entdeckt werden. Es gibt Angreifern im Grunde die Zeit, die sie benötigen, um eine nützliche Sicherheitslücke zu finden und auszunutzen.

In dieser Folge werden wir lernen:

• Wie Angreifer unzureichende Protokollierung und Überwachung nutzen können
• Warum unzureichende Protokollierung und Überwachung gefährlich sind
• Techniken, mit denen diese Sicherheitsanfälligkeit behoben werden kann.

Wie nutzen Angreifer unzureichende Protokollierung und Überwachung aus?

Zunächst wissen Angreifer nicht, ob ein System ordnungsgemäß überwacht wird oder ob Protokolldateien auf verdächtige Aktivitäten untersucht werden. Aber es ist leicht genug für sie, das herauszufinden. Manchmal starten sie irgendeine Form von unelegantem Brute-Force-Angriff und fragen vielleicht eine Benutzerdatenbank nach häufig verwendeten Passwörtern ab. Dann warten sie ein paar Tage und versuchen dieselbe Art von Angriff erneut. Wenn sie nicht daran gehindert werden, dies beim zweiten Mal zu tun, ist das ein gutes Zeichen dafür, dass niemand die Protokolldateien sorgfältig auf verdächtige Aktivitäten überwacht.

Obwohl es relativ einfach ist, die Abwehrmechanismen einer Anwendung zu testen und den Grad der aktiven Überwachung abzuschätzen, ist dies keine Voraussetzung für erfolgreiche Angriffe. Sie können ihre Angriffe einfach so starten, dass sie so wenig Lärm wie möglich verursachen. In den meisten Fällen bedeutet die Kombination aus zu vielen Warnmeldungen, Alarmmüdigkeit, schlechten Sicherheitskonfigurationen oder einfach einer Vielzahl ausnutzbarer Sicherheitslücken, dass sie genügend Zeit haben, um ihre Ziele zu erreichen, bevor die Verteidiger überhaupt merken, dass sie da sind.

Warum ist unzureichende Protokollierung und Überwachung gefährlich?

Eine unzureichende Protokollierung und Überwachung ist gefährlich, da sie den Angreifern Zeit gibt, nicht nur ihre Angriffe zu starten, sondern auch ihre Ziele zu erreichen, lange bevor die Verteidiger reagieren können. Wie lange das dauert, hängt vom angegriffenen Netzwerk ab. Verschiedene Gruppen wie das Open Web Application Security Project (OWASP) beziffern jedoch die durchschnittliche Reaktionszeit für Netzwerke, bei denen Sicherheitslücken verletzt wurden, auf 191 Tage oder länger.

Denk einen Moment darüber nach. Was würde passieren, wenn Räuber eine Bank überfallen, Leute die Polizei rufen und sie ein halbes Jahr brauchen, um zu antworten?

Die Räuber würden schon lange weg sein, als die Polizei eintraf. Tatsächlich kann dieselbe Bank noch viele Male ausgeraubt werden, bevor die Polizei überhaupt auf den ersten Vorfall reagiert.

So ist es auch in der Cybersicherheit. Die meisten der aufsehenerregenden Sicherheitslücken, von denen Sie in den Nachrichten hören, waren keine Massenangriffe. Oft erfährt die betroffene Organisation erst dann von einer Sicherheitsverletzung, wenn die Angreifer monatelang oder sogar jahrelang mehr oder weniger die volle Kontrolle über die Daten hatten. Dies macht unzureichende Protokollierung und Überwachung zu einer der gefährlichsten Situationen, die passieren können, wenn versucht wird, eine gute Cybersicherheit zu gewährleisten.

Beseitigung unzureichender Protokollierung und Überwachung

Um eine unzureichende Protokollierung und Überwachung zu verhindern, sind vor allem zwei Dinge erforderlich. Erstens müssen alle Anwendungen in der Lage sein, Fehler bei der serverseitigen Eingabevalidierung zu überwachen und zu protokollieren. Dabei muss ausreichend Benutzerkontext vorhanden sein, damit die Sicherheitsteams erkennen können, welche Tools und Techniken, wenn nicht sogar die Benutzerkonten, von den Angreifern verwendet werden. Oder solche Eingaben sollten in einer Sprache wie STIX (Structured Threat Information eXpression) formatiert werden, die von Sicherheitstools schnell verarbeitet werden kann, um entsprechende Warnmeldungen zu generieren.

Zweitens reicht es nicht aus, einfach gute Benachrichtigungen zu generieren, obwohl das ein Anfang ist. Unternehmen müssen auch Rollen und Verantwortlichkeiten festlegen, damit diese Warnungen rechtzeitig untersucht werden können. Viele erfolgreiche Sicherheitslücken lösten tatsächlich Warnmeldungen in den angegriffenen Netzwerken aus, aber diese Warnungen wurden aufgrund von Zuständigkeitsfragen nicht beachtet. Niemand wusste, wessen Aufgabe es war, zu reagieren, oder ging davon aus, dass sich jemand anderes mit dem Problem befasste.

Ein guter Ausgangspunkt für die Zuweisung von Verantwortlichkeiten ist die Verabschiedung eines Reaktions- und Wiederherstellungsplans für Vorfälle, wie er vom National Institute of Standards and Technology (NIST) in empfohlen wird Sonderpublikation 800-61. Es gibt andere Referenzdokumente, auch solche, die für verschiedene Branchen spezifisch sind, und sie müssen nicht genau befolgt werden. Es ist jedoch von entscheidender Bedeutung, einen Plan zu erstellen, in dem festgelegt wird, wer innerhalb einer Organisation auf Warnmeldungen reagiert und wie dies rechtzeitig erfolgt.

Weitere Informationen zu unzureichender Protokollierung und Überwachung

Zum weiteren Lesen können Sie sich ansehen, was OWASP dazu sagt unzureichende Protokollierung und Überwachung. Sie können Ihr neu gewonnenes Defensivwissen auch auf die Probe stellen mit dem kostenlose Demo der Secure Code Warrior-Plattform, die Cybersicherheitsteams zu ultimativen Cyberkriegern ausbildet. Um mehr über die Beseitigung dieser Sicherheitslücke und eine Galerie mit anderen Bedrohungen zu erfahren, besuchen Sie die Blog von Secure Code Warrior.

Sind Sie bereit, unzureichende Protokollierung und Überwachung sofort zu finden, zu beheben und zu beseitigen? Besuchen Sie unsere Trainingsarena: [Fangen Sie hier an]