Was ist ein Web Application Security Assessment?
Ein Web Application Security Assessment – auch Webanwendungs-Pentest, Web-Pentest oder API-Pentest genannt – prüft Webanwendungen und ihre Schnittstellen gezielt auf Schwachstellen und bewertet das Risiko für konkrete Bedrohungsszenarien.
Da auf Anwendungsebene häufig kritische Geschäftsprozesse und finanzielle Transaktionen abgewickelt werden, ist diese für Angreifer von besonderem Interesse. Im Internet exponierte Web-Anwendungen unterliegen dabei aufgrund ihrer weltweiten Erreichbarkeit besonderen Gefährdungen. Sie verfügen oftmals über eine direkte Anbindung an interne Systeme (z.B. Datenbank des ERP-Systems etc.) und bilden somit auch ein potentielles Einfallstor in das interne Netzwerk.
Ziel
Identifikation von Schwachstellen in Webanwendungen und Bewertung des Risikos hinsichtlich spezifischer Bedrohungsszenarien
Fragestellung
Wie sicher ist die Webanwendung und was können externe Angreifer bzw. böswillige Benutzer im schlimmsten Falle erreichen?
Scope
Webanwendungen inkl. ihrer Schnittstellen sowie Basis- und Backend-Systeme
Web Application Security Assessment Ablauf: Methodik & Vorgehen
Bei einem Web Application Security Assessment (WASA) werden sowohl die Basissysteme (Betriebssysteme, Web Server, Datenbanken etc.) als auch die Anwendung selbst hinsichtlich vorhandener Schwachstellen analysiert. Dabei nimmt der Prüfer nicht nur die Perspektive externer Angreifer ein. Auch das Fehlverhalten privilegierter und unprivilegierter Benutzer wird im Rahmen des Assessments betrachtet. Beispiele für Angriffsversuche reichen vom Durchführen unberechtigter Aktionen, über Exploiting des Basissystems bis hin zur Datenbankmanipulation mittels Eingabe- und Abfragemasken.
Abhängig von der Art der Anwendung bzw. des Systems, den relevanten Bedrohungen und dem vereinbarten Zeitbudget erfolgt das Assessment entweder als möglichst umfassende Prüfung oder mit einem risikobasierten Ansatz, vergleichbar mit einem Penetrationstest . Beim risikobasierten Ansatz wird der Fokus auf besonders sicherheitskritische bzw. exponierte Bereiche gerichtet und der Prüfungsumfang ergibt sich aus dem im Vorfeld vereinbarten Zeitbudget.
Im Bereich der Web Application Security richten wir uns nach den Vorgaben des international anerkannten Open Worldwide Application Security Projects - OWASP.
Kernbestandteile eines SCHUTZWERK Web Application Security Assessments
Das Web Application Security Assessment umfasst üblicherweise folgende Punkte:
- Prüfung der Basissysteme (Betriebssysteme, Web Server, Load Balancer etc.)
- Prüfung der Authentifizierungsmechanismen
- Prüfung des Session Management
- Prüfung der verwendeten Backend-Schnittstellen (APIs)
- Prüfung auf Schwachstellen mit Schwerpunkt OWASP Top Ten
- Prüfung bezüglich Schwachstellen in der Applikationslogik
- Erweiterte Angriffe durch Ausnutzen identifizierter Schwachstellen
- Dokumentation inklusive Risikobewertung und Maßnahmenbeschreibung
Assessment Ergebnisse: Risikobewertung & Sicherheitsmaßnahmen
Als Ergebnis des Assessments erhalten Sie einen ausführlichen Abschlussbericht. Abhängig von Art und Umfang des Projekts umfasst der Abschlussbericht folgende Bestandteile:
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Detaillierte Beschreibung der identifizierten Schwachstellen, um diese nachvollziehen und mögliche Angriffe rekonstruieren zu können (ggf. mit Proof-of-Concept-Implementierungen)
- Detaillierte Beschreibung des iterativen Vorgehens bei der Ausnutzung verketteter Schwachstellen
- Risikobewertung der identifizierten Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen