Warum SQL-Injection das Ungeziefer der AppSec-Welt ist (und wie CISOs es ein für alle Mal ausmerzen können)

Es gibt eine bekannte Theorie, dass Kakerlaken alles überleben können, einschließlich einer nuklearen Explosion. Diese Theorie ist zwar nur bis zu einem gewissen Grad wahr, aber aufgrund ihres einfachen Körperbaus sind sie im Verhältnis zu ihrer Größe sehr robust und unter den meisten Bedingungen schwer auszurotten.

Ich habe darüber nachgedacht ... Wenn es in der digitalen Welt ein Problem gibt, das mit Kakerlaken vergleichbar ist, dann wäre das wohl die SQL-Injection-Sicherheitslücke (SQLi) im Code. Diese Sicherheitslücke ist seit über 20 Jahren bekannt, aber Unternehmen erleiden weiterhin Schäden dadurch. Wie bei den weit verbreiteten, kostspieligen gezielten Angriffen war auch dies eine Folge von SQL-Injection. Nach dem Wahl-Hack, bei dem die Daten von 200.000 Wählern in Illinois offengelegt wurden, empfahl das FBI allen IT-Verantwortlichen, unverzüglich Maßnahmen zur Verbesserung der Sicherheitspraktiken zu ergreifen.

Der Hacker Intelligence Initiative Report von Imperva zeigt, dass zwischen 2005 und 2011 bei 83 % aller gemeldeten Datenverletzungen SQLi-Angriffe zum Einsatz kamen. Auch heute noch sind Injektionsschwachstellen die größte Bedrohung in den USA. OWASP Top 10. Relativ einfach, aber nicht ganz ungefährlich.

Es erscheint absurd, dass dieselbe Schwachstelle nach wie vor in einer beträchtlichen Anzahl von Anwendungssicherheitstests auftritt. Wir wissen genau, wie dieses Problem funktioniert, und wir wissen auch, wie man es verhindern kann. Wie ist so etwas möglich? Tatsächlich gibt es bei unserer Softwaresicherheit noch unendlich viel Raum für Verbesserungen.

Der Software-Sicherheitsbericht von Veracode – basierend auf 400.000 Anwendungsscans im Jahr 2017 – enthält einige überraschende Statistiken. Nur 30 % der Anwendungen erfüllten die OWASP Top 10-Richtlinien. Fast jede dritte neu gescannte Anwendung wies SQL-Injektionen auf, was seit fünf Jahren ein konstantes Thema ist. Dies ist ein Beweis für ein chronisches Problem. Wir lernen nicht aus unseren Fehlern, und CISOs scheinen einen harten Kampf um die Gewinnung von ausreichend Sicherheitsfachkräften zu führen. Im Allgemeinen ist das Verhältnis von AppSec-Experten zu Entwicklern mit 1:100 nicht angemessen.

Warum ist Softwaresicherheit lebenswichtig?

Es ist kein Geheimnis, dass es an Fachkräften für Cybersicherheit mangelt. Entwickler sollten jedoch auch darauf achten, dass sie Probleme nicht lösen, wenn sie auftreten, und dass sie nicht von vornherein bereit sind, Schwachstellen zu beseitigen.Aus demselben Veracode-Bericht geht hervor, dass nur für 14,4 % aller Entwicklungslücken Abhilfemaßnahmen dokumentiert wurden. Das bedeutet, dass die meisten Sicherheitslücken ohne Abhilfemaßnahmen in der Entwicklung eingereicht wurden. Weniger als ein Drittel der Sicherheitslücken wurde innerhalb der ersten 90 Tage behoben, und 42 % der Sicherheitslücken wurden nicht innerhalb der Entwicklungsphase geschlossen.

Ich spreche regelmäßig mit Sicherheitsexperten, CISOs und CEOs und habe festgestellt, dass viele Unternehmen (abgesehen von den katastrophalen Fehlalarmraten) so unzufrieden mit der Anzahl der nicht behebbaren Schwachstellen sind, dass sie die Suche ganz einstellen und nur noch die Daumen drücken, um auf das beste Ergebnis zu hoffen.

Was ist der Grund dafür, dass AppSec-Experten diese Situation zugelassen haben?

Machen Sie keinen Fehler. Die Mitarbeiter von AppSec kennen die Probleme des Codes nur zu gut. Letztendlich ist dies eine der Kernkompetenzen, die sie zu wertvollen Teamressourcen macht. Allerdings haben sie oft mit verschiedenen Faktoren zu kämpfen.

Beispielsweise entdeckt ein AppSec-Manager ein Problem und fragt den Entwickler: „Können Sie den Code ändern?“ Die Antwort auf diese wichtige Frage ist von Organisation zu Organisation unterschiedlich, aber in der Regel sind Entwickler so sehr damit beschäftigt, strenge Sprints zur Bereitstellung von Funktionen einzuhalten, dass sie weder die Zeit noch die geeigneten Tools haben, um solche Probleme zu beheben. AppSec-Experten können zwar selbst Schwachstellen identifizieren, verfügen jedoch häufig nicht über die technischen Fähigkeiten und/oder Zugriffsrechte, um diese sofort zu beheben.

Außerdem muss man sich bewusst sein, dass es für jedes Problem einen Prozess gibt, bei dem eine Lösung gefunden, implementiert und anschließend getestet werden muss. Selbst die Behebung kleinerer Probleme, die im Code entdeckt werden, nimmt enorm viel Zeit in Anspruch, ganz zu schweigen von den erforderlichen Ressourcen. Es gibt über 700 Schwachstellen, die in Software eingebaut werden können, und es ist unmöglich, dass eine einzelne Person alle abwehrt. Aus diesem Grund halten sich die meisten Unternehmen nur an die OWASP Top 10. In der Zwischenzeit entwickeln die Entwickler weiterhin Funktionen und und führen damit immer wieder neue Schwachstellen in ihren Codes ein.

Was könnte die Lösung sein?

Einfach gesagt: Wir bieten Entwicklern keine Tools und Schulungen, um erfolgreiches sicheres Programmieren zu fördern. Es gibt keine Vorschriften, die Unternehmen dazu verpflichten, Entwicklern angemessene Sicherheitskenntnisse zu vermitteln. Es ist bedauerlich, dass auch die meisten Hochschulen und Praktikumsprogramme Junior-Entwickler nicht darauf vorbereiten, sicher zu programmieren.

Wer ein Flugzeug fliegen will, muss vor dem Flug sehr strenge Verfahren durchlaufen, die Training, praktische Erfahrung, Gesundheitsuntersuchungen, Sicherheitskenntnisse und -prüfungen umfassen. Niemand würde es wagen, sich vorzustellen, dass jemand ohne diese umfassenden Vorbereitungen und technischen Überprüfungen in die Lüfte steigen könnte, aber beim Schreiben von Code passiert genau das jeden Tag.

Entwickler müssen Zeit für Schulungen zum Schreiben sicherer Codes aufwenden. In der heutigen Welt, in der die Softwareentwicklung schnell voranschreitet und es an guten Entwicklern und Sicherheitsexperten mangelt, scheint dies jedoch keine Priorität zu haben. Es ist an der Zeit, das Gespräch zu ändern.

Die jüngsten Schlagzeilen des Weltwirtschaftsforums lauteten: „Ohne Sicherheit kann es keine digitale Wirtschaft geben.“ Darin wird betont, dass Sicherheit ein zentraler Bestandteil jeder Strategie für digitale Innovation sein muss. „Sicherheit schützt Unternehmen und ermöglicht ihnen, innovativ zu sein und neue Produkte und Dienstleistungen zu entwickeln. Sicherheit geht über eine rein defensive Rolle hinaus und verschafft Unternehmen strategische Wachstumsvorteile.“

Durch die Verbesserung der Sicherheitscodierungstechniken und -ergebnisse wird die Organisation um eine starke Cybersicherheitslage erweitert, wodurch schneller und besserer Code erstellt werden kann. Entwickler müssen keine Sicherheitsexperten sein, aber sie müssen aktiv und praktisch befugt sein, um die erste Verteidigungslinie gegen Cyberangriffe zu bilden. Entwickler können zu Helden der nächsten Generation in Sachen Sicherheit und Innovation werden. Sie sind sehr kluge Menschen, lösen Probleme kreativ und sind in der Regel sehr engagiert, wenn es darum geht, ihre Fähigkeiten zu verbessern. Nutzen Sie ihre Stärken und halten Sie höhere Standards für die Softwaresicherheit ein, indem Sie ihnen die entsprechende Fachausbildung zukommen lassen. Lesen Sie das Whitepaper Erfahren Sie mehr.

Wer ein Flugzeug fliegen will, muss vor dem Flug sehr strenge Verfahren durchlaufen, die Training, praktische Erfahrung, Gesundheitsuntersuchungen, Sicherheitskenntnisse und -prüfungen umfassen. Niemand würde es wagen, sich vorzustellen, dass jemand ohne diese umfassenden Vorbereitungen und technischen Überprüfungen in die Lüfte steigen könnte, aber beim Schreiben von Code passiert genau das jeden Tag.