Gezielte Angriffe auf Webanwendungen und Webbrowser versprechen nach aktueller Einschätzung den größtmöglichen  Erfolg, sowohl in Bezug auf Trefferquote als auch im Bezug auf wirtschaftlichen Ertrag.

Doch wo unterscheiden sich  die Angriffspunkte von Web-Applikationen im Vergleich zu klassischen, lokal installierten Anwendungen?

Das Web war ursprünglich nur als Medium gedacht, um Inhalte zu publizieren.

Die Idee, damit komplexere Applikationen wie z.B. einen Online-Shop zu realisieren, kam erst später auf.

Die genannten herkömmlichen IT-Sicherheitslösungen können – letztlich auch historisch bedingt – einen Browser-Anfrage (HTTP-Request) nicht weiter prüfen. Würden sie jeden HTTP-Request blocken, gäbe es überhaupt keine Kommunikation.

Also müssen sie jeden HTTP-Request durchlassen!

Mit anderen Worten: Die bekannten klassischen IT-Sicherheitssysteme wurden zum Schutz der Kommunikation auf Transportebene entwickelt. Hier leisten sie auch gute Arbeit, aber zum Schutz auf Anwendungsebene dienen sie  nur in sehr geringem, nicht ausreichendem Maß. Hinzu kommt, dass die Vielfalt der angebotenen Web-Script-Sprachen, Application Frameworks und Webtechnologien eine fast unbegrenzte Anzahl von Sicherheitslücken erzeugt – eine ideale Ausgangsposition für Angreifer.

Neben dem Begriff „Buffer Overflow“, den man auch aus dem klassischen Angriffsszenario auf Server kennt, gibt es im Bereich WEB-Sicherheit noch ein breites Angriffsfeld, da ja die Art der WEB-Anwendungen sehr vielfältig ist.

Begriffe wie Session-Hijacking oder Session Riding, Phishing, Cross Site Scripting , SQL-Injection, Cookie-Injection und viele weitere Begriffe definieren Verfahren zum Angriff auf bestimmte WEB-Applikationen.

Zum Schutz gibt es diverse Möglichkeiten wie Verwendung von Zertifikaten zur Authentisierung (HTTPS) oder auch der Einsatz eines Reverse-Proxy zum Schutz des WEB-Servers vor direktem Zugriff. Doch diese Verfahren kommen eigentlich aus der Transportebene und verbessern nur die Sicherheit des Gesamtsystems.

Wirkliche Sicherheit bietet aber nur eine speziell für die entsprechende WEB-Seite mit Hintergrundapplikation angepasste WEB-Application-Firewall, wie z.B. Hyperguard unseres Partners ArtofDefence.