Studie belegt: Web-Anwendungen unnötig anfällig für Cyber-Angriffe
21. Januar 2021
Globale Unternehmen haben Schwierigkeiten, eine konsistente Anwendungssicherheit über mehrere Plattformen hinweg aufrechtzuerhalten. Zudem verlieren sie mit dem Aufkommen neuer Architekturen und der Einführung von Application Program Interfaces (APIs) an Transparenz.
Dies sind die zentralen Ergebnisse der Radware-Studie „2020-2021 State of Web Application Security Report“. Hintergrund dieser Entwicklung ist die Notwendigkeit, sich schnell auf ein neues Modell für Remote-Arbeit und Kundenkontakt einzustellen, die aus der Pandemie resultierte. Bei dieser Umstellung hatten viele Entscheidungsträger wenig oder gar keine Zeit für eine angemessene Sicherheitsplanung.
„Da mehr als 70 Prozent der Befragten berichten, dass ihre Produktions-Apps das Rechenzentrum bereits verlassen haben, wird die Gewährleistung der Sicherheit und Integrität dieser Daten und Anwendungen immer schwieriger, insbesondere in Multi-Cloud-Umgebungen“, betont Gabi Malka, Chief Operating Officer bei Radware. „Diese Migration in Kombination mit der zunehmenden Abhängigkeit von APIs und der Einführung ungesicherter mobiler Apps ist ein Segen für Kriminelle, die damit einen Vorsprung in der Cyber-Sicherheit haben. Während die Befragten, die bereits mehrere API-basierte Apps in Public Clouds betreiben, die Risiken zu verstehen scheinen, scheinen diejenigen, die dies noch nicht tun, gefährlich selbstgefällig zu sein.“
Mobile Apps weit weniger sicher
Mobile Apps spielen derzeit eine entscheidende Rolle, da die meisten Informationsarbeiter zu Hause arbeiten und die meisten mobile Apps für Unterhaltung, soziale Interaktion, Bildung und Einkäufe nutzen. Allerdings ist die Entwicklung mobiler Apps sehr unsicher. Dies ist zum Teil darauf zurückzuführen, dass mobile Apps häufiger von Dritten entwickelt werden.
Diese Untersuchung ergab, dass nur 36 Prozent der mobilen Apps über vollständig integrierte Sicherheitsfunktionen verfügen, und ein großer Teil hat entweder minimale oder gar keine Sicherheitsfunktionen (22 Prozent). Solange die Sicherheit mobiler Apps nicht ernst genommen wird, erwartet Radware mehr – und schwerwiegendere – Vorfälle, die den mobilen Kanal für Angriffe nutzen. Das wiederum wird wahrscheinlich den Druck auf Unternehmen erhöhen, mobile Apps abzusichern, um Kundendaten nicht Hackern auszuliefern.
APIs sind die nächste große Bedrohung
Die Abhängigkeit von und das Vertrauen in webfähige Anwendungen in Form von APIs nimmt zu. Eine Vielzahl sensibler Datentypen wird von APIs verarbeitet, z. B. Zugangsdaten, Zahlungsinformationen usw. Die Security-Spezialisten von Radware erwarten, dass API-Missbrauch der häufigste Angriffsvektor wird. Daher ist die API-Sicherheit die kritischste Lücke, die Unternehmen im Jahr 2021 schließen sollten.
Fast 40 Prozent der befragten Unternehmen gaben an, dass mehr als die Hälfte ihrer Anwendungen über APIs mit dem Internet oder Diensten Dritter verbunden sind. Etwa 55 Prozent der Unternehmen erleben mindestens einmal im Monat einen DoS-Angriff gegen ihre APIs, 49 Prozent sind mindestens einmal im Monat einer Form von Injektionsangriff ausgesetzt, und 42 Prozent leiden mindestens einmal im Monat unter einer Manipulation von Elementen oder Attributen.
Unternehmen unvorbereitet auf Bot-Verkehr
Auch das Bot-Management ist ein großes Problem, weil Unternehmen nicht darauf vorbereitet sind, den Bot-Verkehr richtig zu verwalten. Während Web Application Firewalls wichtige Verteidigungsfunktionen bieten, um Angriffe auf APIs und Ähnliches zu erkennen und zu verhindern, bieten Bot-Management-Tools eine robuste Verteidigung gegen ausgeklügelte Bot-Angriffe. Sie geben Sicherheitsteams ein besseres Verständnis für den Umgang mit einer Vielzahl von Bedrohungen und Angriffen.
Die Umfrage von Radware ergab, dass nur 24 Prozent der Unternehmen über eine spezielle Lösung verfügen, um zwischen einem echten Benutzer und einem Bot zu unterscheiden. Darüber hinaus sind nur 39 Prozent der Befragten zuversichtlich, dass sie verstehen, was mit ausgeklügelten bösen Bots passiert.
Sicherheitspersonal ist nicht Hauptentscheidungsträger
Trotz der im Bericht dargestellten Bedrohungen hat die Sicherheit bei der Anwendungsentwicklung nicht die höchste Priorität. In ca. 90 Prozent der befragten Unternehmen können Sicherheitsverantwortliche nicht über die Architektur der Anwendungsentwicklung oder das Budget entscheiden.
Etwa 43 Prozent der befragten Unternehmen gaben an, dass die Integration von Sicherheitsmechanismen die End-to-End-Automatisierung des Release-Zyklus nicht unterbrechen sollte. Dies führt zu einer Situation, in der die für Security verantwortlichen Personen nur wenig Einfluss auf die Entwicklung von Anwendungen haben.
DDoS-Attacken werden nicht verschwinden
Die häufigste Bot-Attacke ist Denial-of-Service, wobei hier unterschiedliche Formen anzutreffen sind. Etwa 86 Prozent gaben an, einen solchen Angriff erlebt zu haben, wobei ein Drittel von ihnen von wöchentlichen und 5 Prozent von täglichen Vorkommnissen berichten. Denial-of-Service auf der Anwendungsschicht erfolgt häufig in Form von HTTP/S-Floods. Fast 60 Prozent der Unternehmen erleben mindestens einmal im Monat oder öfter eine HTTP-Flut.
Methodik der Studie
Radware beauftragte Osterman Research mit der Durchführung einer Umfrage unter Entscheidungsträgern und Einflussnehmern in Unternehmen mit mindestens 1.000 Mitarbeitern. Die durchschnittliche Anzahl der Mitarbeiter in den befragten Organisationen lag bei 2.200. Zu den primären Jobfunktionen der befragten Personen gehörten Netzwerksicherheit (24 Prozent der Befragten), DevOps/DevSecOps (20 Prozent), Netzwerkbetrieb und verwandte Rollen (15 Prozent), Anwendungsentwicklung (14 Prozent), Anwendungssicherheit (9 Prozent) sowie verschiedene andere IT- und verwandte Rollen (16 Prozent). Die Mehrheit (70 Prozent) der Befragten ist entweder im Senior Management oder in Führungspositionen tätig, weitere 16 Prozent in leitenden Positionen. (rhh)
