IT-Sicherheit / Cybersecurity: Anwendungssicherheit

Prüfen, ob Daten korrekt und erlaubt sind.

„Das Formular validiert die Postleitzahl bisher nur im Browser und nicht auf dem Server.“

Eine fremde Bibliothek oder ein fremdes Paket, das eine Software zum Funktionieren braucht.

„Laut Scanbericht enthält eine Abhängigkeit im Bestellmodul eine Schwachstelle mit hohem CVSS-Score.“

Eine Vorgabe, welche Schutzfunktion eine Software erfüllen muss.

„Im Lastenheft fehlen bisher konkrete Sicherheitsanforderungen, zum Beispiel zur Verschlüsselung der Patientendaten.“

Alle Firmen und Produkte, von denen ein Unternehmen Software, Bauteile oder Dienste bezieht.

„Der Angriff kam nicht direkt, sondern über die Lieferkette: Die Täter saßen schon seit Wochen im Netz eines kleinen Dienstleisters.“

Ein kurzer Wert, der aus einer Datei berechnet wird und zeigt, ob die Datei verändert wurde.

„Vergleiche bitte die Prüfsumme mit dem Wert auf der Herstellerseite, bevor du das Tool installierst.“

Eine strukturierte Methode, mit der ein Team schon bei der Planung überlegt, wie ein System angegriffen werden könnte.

„Für das neue Kundenportal planen wir vor dem ersten Sprint eine Bedrohungsmodellierung mit Entwicklern und Fachbereich.“

Die Prüfung, ob Daten, die ein Nutzer eingibt, dem erwarteten Format entsprechen.

„Ohne serverseitige Eingabevalidierung kann ein Angreifer beliebige Zeichen an die Datenbank schicken.“

Eine geheime Zeichenfolge, mit der sich ein Programm bei einem anderen Dienst anmeldet.

„Der API-Schlüssel für den Zahlungsdienst stand im Klartext in einer Konfigurationsdatei.“

In der IT: vertrauliche Zugangsdaten wie Passwörter, Tokens oder Schlüssel, die eine Anwendung braucht.

„Geheimnisse gehören in den zentralen Tresor und nicht in den Quellcode.“

Die Folge von Schritten, mit denen ein Angreifer vom ersten Zugang bis zu seinem Ziel gelangt.

„Wenn wir die Angriffskette früh unterbrechen, erreicht der Angreifer die Kundendaten gar nicht erst.“

Etwas heimlich in ein System bringen, zum Beispiel fremde Befehle oder Schadcode.

„Über das ungeprüfte Suchfeld konnte der Tester eigene SQL-Befehle einschleusen.“

Die Prüfung von neuem Programmcode durch eine zweite Person, bevor er übernommen wird.

„Im Code-Review ist mir aufgefallen, dass die Benutzereingabe ungefiltert in die HTML-Seite geschrieben wird.“

Die automatische Prüfung des Quellcodes auf Fehler und Schwachstellen, ohne dass das Programm ausgeführt wird.

„Die statische Codeanalyse läuft bei jedem Merge-Request und markiert unsichere Funktionen.“

Eine Liste aller Komponenten und Bibliotheken, die in einer Software enthalten sind (englisch: SBOM).

„Vom Lieferanten verlangen wir zu jedem Release eine aktuelle Software-Stückliste.“

In ein System eindringen und es unter die eigene Kontrolle bringen, sodass man ihm nicht mehr vertrauen kann.

„Die Angreifer haben den Update-Server des Herstellers kompromittiert und dort eine veränderte Version abgelegt.“

Das geregelte Erzeugen, Aufbewahren, Weitergeben und Löschen von kryptografischen Schlüsseln.

„Seit wir eine zentrale Schlüsselverwaltung nutzen, liegen keine privaten Schlüssel mehr auf Dateiservern.“

Die Zeitspanne, in der ein digitales Zertifikat gültig ist.

„Kürzere Zertifikatslaufzeiten verringern den Schaden, falls ein privater Schlüssel in falsche Hände gerät.“

Die offizielle Bestätigung des Sicherheitsteams, dass eine Anwendung in Betrieb gehen darf.

„Die Sicherheitsfreigabe für das neue Kundenportal hängt noch an zwei offenen Befunden aus dem Pentest.“

Programmcode, der absichtlich Schaden anrichten soll, zum Beispiel Daten stiehlt oder verschlüsselt.

„Das manipulierte Update enthielt Schadcode, der Zugangsdaten an einen fremden Server schickte.“

Eine Datenbankabfrage, bei der die Eingabe des Nutzers getrennt vom SQL-Befehl übergeben wird.

„Mit parametrisierten Abfragen kann eine Benutzereingabe den SQL-Befehl nicht mehr verändern.“

Etwas mit einer digitalen Unterschrift versehen, damit man Herkunft und Unverändertheit prüfen kann.

„Unsere Build-Pipeline signiert jedes Installationspaket, bevor es verteilt wird.“

Eine automatische Abfolge von Schritten, die Programmcode baut, testet und bereitstellt.

„In die Build-Pipeline haben wir einen Schritt eingebaut, der den Code nach Passwörtern und Tokens durchsucht.“

Alle früheren Stände einer Datei oder eines Projekts, die ein System wie Git automatisch speichert.

„Auch nach dem Löschen der Datei war das Passwort in der Versionshistorie des Repositorys noch für jeden sichtbar.“

Das Umwandeln von Sonderzeichen, bevor Daten auf einer Webseite angezeigt werden, damit der Browser sie nicht als Code ausführt.

„Gegen Cross-Site-Scripting hilft vor allem eine konsequente Ausgabekodierung im Template.“