Hallo alle zusammen.
Anstatt über Hacking und Einbruch in Systeme zu sprechen, wie wir es normalerweise tun,
werden wir heute über Sicherheit sprechen und insbesondere über die Sicherung von Websites, Webanwendungen, mobilen Anwendungen und so
weiter.
Offensichtlich haben Hacks und Sicherheitsverletzungen enorme negative Auswirkungen auf Unternehmen, vom Verlust des Kundenvertrauens bis hin
zu finanziellen Verlusten.
Durchgesickerte Benutzerdaten, rechtliche Probleme und die Liste geht weiter.
Wenn Sie jetzt eine schnelle Google-Suche durchführen, um Ihre Website oder Anwendung zu sichern, werden Sie
eine Menge Müll erhalten.
Ich war tatsächlich so enttäuscht von den Clickbait-Artikeln, die tatsächlich keine Erklärungen oder nützliche Informationen
lieferten.
Die meisten von ihnen schlugen vor, dass Sie Backups und starke Passwörter verwenden und sicherstellen, dass Sie HTTPS verwenden.
Backups sichern Ihre Website jedoch nicht, sie helfen Ihnen lediglich bei der Wiederherstellung.
Außerdem verschlüsselt die Verwendung von ETPs die Kommunikation, aber sie sichert die Website nicht wirklich.
Der einzige nützliche Tipp war die Verwendung starker Passwörter.
Aber die meisten Hacker werden sich nicht hinsetzen und versuchen, das Passwort zu erraten, wie Sie es in Hollywood-Filmen sehen.
Sie werden sich auf Schwachstellen und Schwachstellen in Ihrer Anwendung verlassen und diese ausnutzen, um
Zugriff darauf zu erhalten, unabhängig davon, welches Kennwort Sie verwenden.
Selbst wenn Sie ein sehr, sehr komplexes Passwort haben, selbst wenn Sie HTTPS verwenden und selbst wenn Sie Backups haben, ist
vieles davon eigentlich irrelevant.
Außerdem spielt es keine Rolle, wo Sie die Anwendung gehostet haben, ob Sie eine A. W. oder ein anderer Cloud-Anbieter,
und es spielt keine Rolle, wie Sie diese Anwendung bereitstellen.
Ob Sie Kubernetes oder Docker verwenden, spielt keine Rolle.
Es ist eigentlich ganz, ganz einfach.
Wenn Sie eine anfällige Webanwendung haben, werden Hacker diese Schwachstellen oder Schwachstellen nutzen, um Zugriff
auf diese Anwendung zu erhalten.
Also genug Gerede.
Lassen Sie uns darüber sprechen, wie Sie Websites und Anwendungen tatsächlich schützen können.
Bevor wir darüber sprechen, ist es zunächst einmal sehr wichtig zu verstehen, dass es
unmöglich ist, eine hundertprozentige Sicherheit zu erreichen.
Wir versuchen lediglich, die Sicherheit unserer Anwendungen zu verbessern und sicherzustellen, dass sie so sicher wie
möglich sind.
Vor diesem Hintergrund helfen Ihnen die folgenden vier Ansätze, die Sicherheit Ihrer Anwendungen zu verbessern, unabhängig davon, um welche Art
von Anwendungen es sich handelt und unabhängig davon, wo sie installiert sind.
Wie gesagt, es spielt keine Rolle, ob Sie sie auf Amazon oder irgendwo anders auf einem WIC oder etwas anderem installieren,
und es spielt keine Rolle, wie Sie sie bereitstellen, wenn Sie Docker verwenden und so weiter.
Das erste, was Sie also tun sollten, ist sicherzustellen, dass Sie auf diese Weise sicheren Code schreiben.
Ihre Anwendung wurde von Grund auf so entwickelt, dass sie sicher ist und keine Fehler oder Schwachstellen einführt, die von
Hackern ausgenutzt werden können, um Zugang zu erhalten.
Das wäre großartig, wenn Sie es tun könnten, aber das Problem ist, dass es leichter gesagt als getan
ist, denn die Entwickler müssen geschult und die Methoden beigebracht werden, die Hacker verwenden, um Systeme auszunutzen und Zugang zu
erhalten.
Und selbst wenn Sie das tun, verlassen sich Entwickler oft auf Bibliotheken von Drittanbietern und die gesamte Anwendung könnte von
jemand anderem geschrieben werden.
Daher können Sie einfach keinen sicheren Code schreiben, da Sie nicht der Autor oder Entwickler
dieser Anwendung sind.
Was mich zum zweiten Punkt bringt.
Überprüfung des Codes.
Das ist wirklich gut, selbst wenn Sie die Anwendung selbst geschrieben haben und selbst wenn Sie sicherstellen, dass
Sie sicheren Code schreiben, ist es eine wirklich gute Idee, diesen Code von anderen Entwicklern oder einem anderen Team überprüfen
zu lassen.
Nur für den Fall, dass die Entwickler geschrieben haben, dass die Anwendung etwas übersehen oder übersehen hat, wird
dies in der Überprüfungsphase abgefangen.
Auch wenn Sie den Code verwenden, der von anderen Entwicklern oder Bibliotheken von Drittanbietern geschrieben wurde, wird dieses
Problem durch eine Codeüberprüfung behoben, da Sie alles überprüfen können.
Und noch einmal, das ist wirklich, wirklich gut, weil Sie tatsächlich jede einzelne Zeile
überprüfen und sicherstellen, dass nichts angreifbar ist oder es Hackern ermöglicht, Ihre Anwendung auszunutzen und Zugriff zu erhalten.
Der Hauptnachteil hierbei ist, dass dies bei einer großen Codebasis sehr zeitaufwändig und
auch sehr teuer sein kann.
Der dritte Ansatz, der meiner Meinung nach sehr wichtig ist, besteht darin, einen Stifttest durchführen zu lassen.
In einem Stifttest.
Sie stellen im Grunde ein Team von ethischen Hackern ein, um zu versuchen, Ihre Anwendung zu hacken.
Diese ethischen Hacker werden Ihre Anwendung auf die gleiche Weise angehen wie Black Hat-Hacker.
Sie werden versuchen, so viele Informationen wie möglich zu sammeln und alle Schwachstellen und Schwachstellen zu entdecken und zu sehen,
ob sie diese ausnutzen können, um Zugang zu erhalten.
Am Ende, wenn sie fertig sind, geben sie Ihnen einen detaillierten Bericht über alles, was sie
gefunden haben, damit Sie sie an Ihre Entwickler weitergeben und alle entdeckten Schwachstellen patchen können.
Der Hauptvorteil dieser Methode besteht darin, dass Sie Angriffsflächen testen können, die Sie mit anderen Methoden nicht
testen können, z. B. Ihre Server, auf denen Ihre Webanwendung ausgeführt wird, und das schwächste Glied,
die Mitarbeiter.
Diese Hacker, die ethischen Hacker, können also sogar Social Engineering nutzen und es mit anderen einfacheren Angriffen oder einfacheren
Schwachstellen verketten, die sie möglicherweise auf Ihrem System finden, um zu sehen, ob sie sich damit Zugang
verschaffen können.
Der Nachteil hier ist, dass es etwas teuer sein könnte und nicht zukunftssicher ist.
Was ich meine ist, wenn Sie Ihre Anwendung heute von einem wirklich guten ethischen Hacker testen lassen und
dann sicherstellen, dass Sie jede einzelne Schwachstelle, die sie finden, patchen, bedeutet dies nur, dass Ihre Webanwendung heute sicher
ist.
Es garantiert nicht, dass es für den nächsten Monat oder nächstes Jahr sicher bleibt, denn jede einzelne
Änderung, die Sie vornehmen, jede Funktion, die Sie vorantreiben, oder sogar jeder Anzeigefehler, den Sie beheben, kann andere
Fehler oder Sicherheitsschwächen mit sich bringen, die dann verwendet werden können in Ihre Anwendung hacken.
Nicht nur das, sondern auch, wenn Sie Software oder Plugins von Drittanbietern erneut aktualisieren, kann
all dies Sicherheitslücken einführen, und ein Test wird dies nicht feststellen können, da Sie heute nur die
Panthers machen, und diese zukünftigen Änderungen sind wird nicht getestet.
Der vierte Ansatz, der dieses Problem tatsächlich beheben kann, besteht darin, ein Bug-Bounty-Programm zu haben.
Ein Bug-Bounty-Programm ist im Grunde eine Einladung an alle ethischen Hacker auf der ganzen Welt, Ihre Anwendung
zu testen und ihre Ergebnisse einzureichen.
Und Sie würden nur für gültige Fehler oder gültige Berichte bezahlen.
Der Hauptvorteil besteht hier, wie Sie wahrscheinlich schon erraten haben, darin, dass Ihre Anwendung
von einer großen Anzahl von Hackern getestet wird, sodass die Wahrscheinlichkeit höher ist, dass sie Schwachstellen finden.
Und es ist tatsächlich zukunftssicher, denn solange Sie diese Bug-Bounty-Liste live haben, werden diese Hacker Ihre
Anwendung immer weiter testen und Sie motivieren sie mit Bounties.
Dies könnte also alles sein, von einem T-Shirt bis hin zu Geldpreisen.
Um sicherzustellen, dass Ihre Anwendung tatsächlich weiter getestet wird.
Selbst wenn Sie also neue Änderungen, neue Funktionen oder Aktualisierungen vorantreiben, spielt dies keine Rolle,
da Hacker Ihre Anwendung weiterhin testen werden, in der Hoffnung, Fehler zu finden und Prämien für ihre Ergebnisse zu erhalten.
Deshalb verwenden große Unternehmen wie Facebook und Google diese Bug-Bounty-Programme, obwohl sie alle
anderen Ansätze verfolgen.
Wie ich schon sagte, verwenden sie dies immer noch, um sicherzustellen, dass ihre Systeme immer so sicher
und fehlerfrei wie möglich sind.
Der Nachteil hierbei ist zunächst, dass die Abdeckung aller Angriffsflächen nur schwer gewährleistet werden kann.
Und zweitens haben viele Unternehmen nicht die Reichweite, die Google und Facebook haben, sodass sie ihre Bug
Bounties nicht so gut bewerben können wie die großen Unternehmen.
Sie können nicht viele ethische Hacker dazu bringen, ihre Website zu testen.
Es ist eine Herausforderung für sie, diese Bug-Bounty-Programme zu erstellen und die eingereichten Berichte zu validieren.
Aber dies wird durch die Bug-Bounty-Plattformen, die wir heutzutage haben, wie Bug Bounty, Dotcom und die
anderen Plattformen, angegangen.
Bug Bounty ist eigentlich eine Schwesterfirma dieser Sicherheit.
Daher mag meine Meinung ein wenig voreingenommen sein, aber ich bin mir ziemlich sicher, dass unsere Preise die wettbewerbsfähigsten sind und
wir den gleichen Service bieten.
Jedenfalls bin ich dort in allem enthalten.
Sie haben die Wahl.
Sie können alles ausprobieren, was Sie wollen, und es tut mir leid, wenn ich Sie tatsächlich mit dem Herbstansatz verwechselt habe.
Ist das gerade erwähnt, aber meiner Meinung nach möchten Sie idealerweise alle diese vier Ansätze verfolgen,
wenn Sie können.
Das kann ziemlich teuer werden.
Deshalb tun das viele Unternehmen nicht.
Und sie würden Kompromisse eingehen und nur mit drei und vier gehen.
Also machen sie nur einen Patch-Test und haben ein Bug-Bounty-Programm.
Und dann gehen andere Unternehmen manchmal noch mehr Kompromisse ein.
Und wählen Sie einen der beiden aus, führen Sie entweder ein Bug-Bounty-Programm durch oder führen Sie einen Stifttest durch.
Meiner Meinung nach ist ein Pen-Test kein Ersatz für ein Bug-Bounty-Programm und umgekehrt.
Ich würde dir empfehlen, beide zu machen, weil, wie gesagt, jede von ihnen ihre Vor-
und Nachteile hat.
Aber wenn Sie beides wirklich nicht können, dann machen Sie zumindest eines davon als absolutes Minimum.
Als Website-Besitzer oder App-Besitzer sind Sie für die Benutzerdaten verantwortlich, die Ihnen die Benutzer anvertrauen, und
müssen daher zumindest das Nötigste tun, um sicherzustellen, dass ihre Daten sicher
behandelt werden und geschützt sind.